Este artículo es para quien usa IA con datos personales en su empresa y ha concluido, con razón, que su sistema no es de alto riesgo para el AI Act: un chatbot de atención, una herramienta que puntúa clientes para las campañas, un sistema que resume llamadas. La conclusión es correcta y no contesta otra pregunta, la del RGPD: ¿ese tratamiento necesita una evaluación de impacto relativa a la protección de datos, una EIPD? Las dos clasificaciones siguen reglas distintas, y en España la segunda la concreta una lista de la Agencia Española de Protección de Datos.
La figura pone en paralelo los dos instrumentos. La FRIA, del Art. 27 del AI Act, la debe el responsable del despliegue que es un organismo de Derecho público o una entidad privada que presta servicios públicos, con un sistema de alto riesgo del anexo III salvo su punto 2, o quien despliega los sistemas del anexo III, punto 5, letras b) y c); se hace antes del primer uso y tiene seis contenidos. La DPIA —la EIPD—, del Art. 35 del RGPD, la debe el responsable del tratamiento cuando sea probable que el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas; se hace antes del tratamiento y tiene un contenido mínimo de cuatro letras. Entre los dos, una franja: son instrumentos independientes, y el Art. 27(4) permite que la FRIA reutilice la evidencia de la DPIA.
Lo que exige el RGPD
El Art. 35.1 obliga al responsable a hacer una evaluación de impacto «cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas». El criterio es el alto riesgo para las personas, no la etiqueta de la tecnología. Y esa obligación general no depende de ninguna lista: si el alto riesgo es probable, la evaluación hace falta aunque el tratamiento no encaje en ningún criterio.
El Art. 35.3 enumera tres supuestos en los que la evaluación se requiere «en particular»: la evaluación sistemática y exhaustiva de aspectos personales, basada en un tratamiento automatizado, sobre la que se tomen decisiones con efectos jurídicos o que afecten significativamente de modo similar; el tratamiento a gran escala de categorías especiales de datos o de datos penales; y la observación sistemática a gran escala de una zona de acceso público.
Y el Art. 35.4 añade la pieza que interesa aquí: «La autoridad de control establecerá y publicará una lista de los tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos».
La lista de la AEPD
La lista publicada por la AEPD recoge once criterios y fija una regla de combinación: será necesario realizar una EIPD «en la mayoría de los casos en los que dicho tratamiento cumpla con dos o más criterios», salvo que el tratamiento figure en la lista de los que no la requieren (Art. 35.5). Cuantos más criterios reúna, dice la propia lista, mayor es el riesgo y mayor la certeza de que la evaluación hace falta. Y se presenta como «una lista no exhaustiva».
Dos de sus criterios describen buena parte de la IA que usa una empresa:
- Criterio 1: tratamientos que impliquen «perfilado o valoración de sujetos».
- Criterio 2: tratamientos que impliquen «la toma de decisiones automatizadas o que contribuyan en gran medida a la toma de tales decisiones».
Otros son más específicos, pero igual de frecuentes: las categorías especiales de datos (criterio 4), los datos biométricos para identificar de manera única a una persona (criterio 5), el tratamiento a gran escala (criterio 7), los datos de personas vulnerables (criterio 9) y las nuevas tecnologías o el uso innovador de tecnologías consolidadas (criterio 10).
Con esa regla, una herramienta que puntúa a los clientes para priorizar campañas, y lo hace a gran escala, reúne al menos dos criterios, el 1 y el 7, y la lista dice que en la mayoría de esos casos hace falta una EIPD. Ese mismo sistema no es de alto riesgo para el AI Act: puntuar clientes para campañas comerciales no figura entre los usos del anexo III, que sí incluye, por ejemplo, evaluar la solvencia de personas físicas. Y no por eso deja de necesitar la evaluación.
Una EIPD no mira solo la seguridad
La confusión de fondo suele ser otra: pensar que la EIPD es un análisis de seguridad informática. El Art. 35.7 exige que incluya, como mínimo, «una evaluación de los riesgos para los derechos y libertades de los interesados». Los derechos y libertades, no solo la confidencialidad de los datos.
Por eso la EIPD de un filtro de candidaturas, cuando se hace, tiene que evaluar la discriminación: el riesgo de que el sistema descarte a personas por motivos que no deberían contar es un riesgo para sus derechos, y está dentro del objeto de la evaluación. Ese filtro es, además, de alto riesgo para el AI Act, y cuando se le aplique el Art. 26 —desde el 2 de diciembre de 2027 para los sistemas de alto riesgo del anexo III y desde el 2 de agosto de 2028 para los del anexo I—, su apartado 9 dirá que, para esa evaluación, los responsables del despliegue «utilizarán la información facilitada conforme al artículo 13 del presente Reglamento»: la que el proveedor tiene que darles.
Dos clasificaciones que no son la misma
Nada de lo anterior depende del AI Act. La clasificación de un sistema como de alto riesgo sale del Reglamento de IA; la necesidad de una EIPD sale del RGPD y de la lista de la AEPD. Un sistema puede ser de riesgo mínimo para uno y exigir evaluación por el otro, y un sistema de alto riesgo tampoco se libra de la EIPD por tener FRIA. Los dos términos tienen su entrada en el glosario: EIPD y FRIA.
La FRIA del Art. 27 es otro instrumento, con otro sujeto y otra fecha. La deben, para sistemas de alto riesgo del anexo III salvo su punto 2, los responsables del despliegue que sean organismos de Derecho público o entidades privadas que presten servicios públicos, y quienes despliegan los sistemas del anexo III, punto 5, letras b) y c); su única fecha de aplicación es el 2 de diciembre de 2027. Cuando concurren, el Art. 27(4) permite a la FRIA «incluir referencias cruzadas a las secciones pertinentes de dicha evaluación de impacto relativa a la protección de datos o incluir las partes pertinentes de esta». Reutilizar, no sustituir.
En la práctica
- Pasa cada tratamiento con IA por la lista antes de ponerlo en marcha. Cuenta criterios y deja escrito el resultado, también cuando sea «no hace falta».
- Si toca datos de salud, lee con cuidado el caso de la sanidad privada. El Art. 35.3.b exige tratamiento a gran escala, y no todo centro lo alcanza.
- Si usa biometría, la distinción entre verificar e identificar decide mucho. El criterio 5 de la lista habla de identificar de manera única a una persona.
- Revisa la EIPD cuando cambie el tratamiento. Un sistema que empieza resumiendo llamadas y acaba puntuando a los clientes ha cambiado de criterios, y la valoración que hiciste al principio ya no vale.
- No esperes a 2027. El RGPD ya se aplica, y la lista también.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.