Alethexis
Todas las funcionalidades

Evaluar riesgo e impacto

Evaluación de impacto sobre derechos fundamentales (FRIA)

Saber si la FRIA te alcanza y, si la haces, documentarla derecho a derecho y con su aprobación registrada.

Prueba gratis 14 díasVer demo

Para qué sirve

La FRIA evalúa el impacto que la utilización de un sistema de IA de alto riesgo puede tener en los derechos fundamentales de las personas. No la debe todo el que usa un sistema de alto riesgo: el Art. 27.1 la exige antes de desplegar los sistemas de alto riesgo del anexo III —salvo los del punto 2— a los organismos de Derecho público, a las entidades privadas que prestan servicios públicos y a quien despliega los sistemas del anexo III, punto 5, letras b) y c).

Su única fecha de aplicación es el 2 de diciembre de 2027. En una empresa privada que no presta servicios públicos ni despliega esos sistemas del punto 5 no concurre ningún supuesto: ahí hacerla es voluntario: una forma de dejar documentada la diligencia sobre un sistema de alto riesgo.

La sección HRA-1 del módulo M3 High-Risk Ready te lleva por la evaluación y deja trazable cada paso. Instrumento independiente de la DPIA: cada una tiene su propio registro, su propio flujo y su propio PDF.

Cómo funciona

Comprueba si te alcanza

El primer bloque hace cuatro preguntas: si tu organización es un organismo de Derecho público o una entidad privada que presta servicios públicos, si el sistema es del anexo III, punto 2, y si es de los del punto 5, letras b) o c). Estas dos últimas llegan marcadas si la clasificación del sistema ya registró esa letra. Si no concurre ningún supuesto, la plataforma te lo dice y puedes seguir de forma voluntaria.

Documenta el contenido por bloques

Personas y colectivos afectados, procesos y periodo de uso, riesgos de perjuicio, medidas de supervisión humana y mecanismos de reclamación, cada uno en su bloque y con su referencia a las letras del Art. 27.1. En el bloque de riesgos ves los riesgos que el registro de riesgos ya tiene sobre ese sistema. El último bloque recoge la conclusión.

Valora cada derecho, sin nota global

Diez derechos de la Carta, de la dignidad humana a la presunción de inocencia y los derechos de la defensa, que marcas como afectados o descartados con su razonamiento. Cada derecho afectado puede valorarse en una matriz, con riesgo inherente y residual: es una metodología de Alethexis (control interno metodológico). El Art. 27 pide describir los riesgos de perjuicio específicos; no pide cuantificarlos. Los derechos no se compensan entre sí, así que cada uno conserva su nivel.

Remite a la DPIA sin sustituirla

Si una DPIA del sistema ya cubre parte de lo que la FRIA evalúa, indicas cuál y qué secciones cruzas o incorporas. La DPIA no evita la FRIA: la complementa. También puedes señalar una FRIA anterior o la evaluación del proveedor en casos similares.

Revisión y aprobación registrada

La lidera el AI Officer, la revisa el DPO cuando hay datos personales y el Owner registra la aprobación. Estados: borrador, en revisión, aprobación registrada y archivada. Si después cambia algo, se abre una versión nueva y la anterior queda como histórico; un riesgo inherente de 15 o más registrado sobre el sistema la marca para revisión.

Pantalla de la evaluación FRIA (HRA-1) con el documento y su estado, con datos de ejemplo
Cuenta de demostración · datos ficticios

Qué te llevas

  • PDF de la FRIA con huella

    Al registrar la aprobación se genera el PDF: sistema, versión y fecha, supuestos del Art. 27.1 confirmados, el contenido de cada bloque, la valoración por derecho en su propia sección metodológica y las aprobaciones registradas. La plataforma registra la huella de integridad SHA-256 del fichero y la muestra junto al botón de descarga, para que puedas comprobar que el documento no ha cambiado. El PDF se genera en español.

  • Evidencia e histórico

    El PDF queda archivado como evidencia del sistema y entra en su expediente de alto riesgo. Cada versión nueva genera un documento nuevo; las anteriores se conservan.

Fundamento

Los controles del catálogo de Alethexis que esta funcionalidad ayuda a documentar, con su base legal cuando la tienen y su naturaleza.

  • LCObligación legal con fecha futura confirmada
  • IMControl interno metodológico
LCObligación legal con fecha futura confirmadaM3-HRA-011

Evaluación del ámbito de la FRIA (Art.27.1)

Para sistemas P5 del anexo III (el Art.27.1 remite al artículo 6, apartado 2, y no alcanza a los sistemas del anexo I), evaluar si el responsable del despliegue queda dentro del ámbito del Art.27.1: organismos de Derecho público; entidades privadas que prestan servicios públicos; y responsables del despliegue de sistemas del anexo III, punto 5, letras b) (solvencia o calificación crediticia de personas físicas, salvo los sistemas utilizados para detectar fraudes financieros) y c) (evaluación de riesgos y fijación de precios en seguros de vida y salud). Quedan exceptuados los sistemas del anexo III, punto 2 (infraestructuras críticas). El ámbito no se enuncia por letras: las letras a) a f) del Art.27.1 son el contenido de la evaluación. El resultado positivo activa la obligación de FRIA desde 02/12/2027.

Base legal

Reglamento (UE) 2024/1689, artículo 27, apartado 1:

Antes de desplegar uno de los sistemas de IA de alto riesgo a que se refiere el artículo 6, apartado 2, con excepción de los sistemas de IA de alto riesgo destinados a ser utilizados en el ámbito enumerado en el anexo III, punto 2, los responsables del despliegue que sean organismos de Derecho público, o entidades privadas que prestan servicios públicos, y los responsable del despliegue de sistemas de IA de alto riesgo a que se refiere el anexo III, punto 5, letras b) y c), llevarán a cabo una evaluación del impacto que la utilización de dichos sistemas puede tener en los derechos fundamentales.
IMControl interno metodológicoM3-HRA-020

Reutilización de material de la DPIA en la FRIA (Art.27.4)

FRIA y DPIA son instrumentos independientes y ninguna sustituye a la otra: cuando concurre un supuesto del Art.27.1, la FRIA se realiza igualmente. El Art.27(4) permite que al llevarla a cabo se incluyan referencias cruzadas a las secciones pertinentes de la evaluación de impacto relativa a la protección de datos, o se incorporen a la FRIA partes de esta. Es una facultad del responsable del despliegue. Evidencia: referencia a la evaluación reutilizada y constancia de qué secciones se han cruzado o incorporado, conservadas como anexo de la FRIA.

Base legal

Sin base legal directa.

IMControl interno metodológicoM3-HRA-030

Separación estructural DPIA vs FRIA (no fusionar)

FRIA (Art.27 EU AI Act) y DPIA (Art.35 RGPD) tienen base normativa distinta, alcance distinto y autoridad receptora distinta. Aunque pueden compartir información, deben mantenerse como entregables, tablas y PDFs separados con huellas SHA-256 independientes. Nunca se entrega uno como sustituto del otro.

Base legal

Sin base legal directa.

Datos del catálogo de controles. Las etiquetas indican la naturaleza normativa de cada control; no son una declaración de cumplimiento.

Disponible en

  • M3High-Risk Ready

Los módulos se acumulan: M2 incluye todo lo de M1, y M3 incluye M1 y M2.

Relacionado

Preguntas frecuentes

¿Mi empresa está obligada a hacer la FRIA?
Solo si concurre un supuesto del Art. 27.1, y desde el 2 de diciembre de 2027. Una empresa privada que no presta servicios públicos ni despliega sistemas del anexo III, punto 5, letras b) o c), no está en ninguno; para ella, hacer la FRIA es voluntario. Si dudas de si prestas un servicio público, por ejemplo por un concierto con la Administración, conviene consultarlo con un asesor.
¿Puedo usar mi DPIA en lugar de la FRIA?
No. Son instrumentos independientes: la FRIA mira los derechos fundamentales y la DPIA, la protección de datos personales. Cuando concurre un supuesto del Art. 27.1, la FRIA hay que hacerla; si la DPIA ya cubre alguna de sus obligaciones, la FRIA puede remitir a sus secciones o incorporarlas.
¿Tengo que puntuar cada derecho?
No. La valoración por derecho es una metodología de Alethexis y una FRIA sin ella se puede enviar a revisión igualmente. Si valoras un derecho afectado, necesita sus cuatro variables —probabilidad, exposición, gravedad y esfuerzo de reversión— y su razonamiento antes de enviarla.
¿Alethexis presenta la FRIA ante la autoridad?
No. Alethexis estructura y custodia tu FRIA y te permite dejar registrado si has notificado sus resultados a la autoridad de vigilancia del mercado. La presentación y el criterio jurídico sobre tu caso siguen siendo de tu organización.

Pruébalo con tus propios sistemas

Prueba gratis 14 díasVer demo