FRIA — Evaluación de impacto relativa a los derechos fundamentales
Evaluación del impacto que la utilización de un sistema de IA de alto riesgo puede tener en los derechos fundamentales, que determinados responsables del despliegue deben llevar a cabo antes de desplegarlo (Art.27).
Es la evaluación que hace quien usa el sistema, no quien lo fabrica, y solo la deben unos pocos.
Qué obligaciones lleva asociadas
Obligación legal del responsable del despliegue, aplicable desde el 02/12/2027, y solo cuando concurre uno de estos supuestos: que el responsable del despliegue sea un organismo de Derecho público o una entidad privada que presta servicios públicos y despliegue un sistema de alto riesgo del Art.6(2) —con excepción de los del ámbito del Anexo III, punto 2, infraestructuras críticas—; o que despliegue un sistema del Anexo III, punto 5, letras b) o c): evaluación de solvencia o calificación crediticia de personas físicas, o evaluación de riesgos y fijación de precios en seguros de vida y de salud, y aquí no importa si es público o privado. Fuera de esos supuestos no hay mandato: una pyme privada que no presta servicios públicos, no evalúa solvencia y no fija precios de seguros de vida o salud no está obligada, y hacerla de todos modos es buena práctica.
Qué no es
No es una DPIA. La evaluación de impacto en protección de datos del Art.35 del RGPD —obligación legal aplicable desde el 25/05/2018— y la FRIA son instrumentos estructuralmente independientes: distinto objeto, distinto sujeto obligado y distinto desencadenante. No es obligación del proveedor: el proveedor aporta información por la vía del Art.13; la evaluación la hace quien despliega. Y no la debe todo el que despliega alto riesgo: el Art.27(1) acota los sujetos y excluye expresamente el ámbito del Anexo III, punto 2. Pero tampoco es «solo para el sector público»: una entidad privada que despliegue un sistema del Anexo III, punto 5, letras b) o c) —solvencia o calificación crediticia de personas físicas, seguros de vida y de salud— sí está obligada, preste o no servicios públicos.
El matiz que casi nadie recoge
El Reglamento (UE) 2026/1744 reforzó por dos vías la relación con la DPIA, y las dos son permisos, no sustituciones: si alguna de las obligaciones del Art.27 ya se cumple mediante la evaluación de impacto en protección de datos, el responsable del despliegue podrá incluir referencias cruzadas a sus secciones pertinentes o incorporar sus partes pertinentes (Art.27, apartado 4); y la Oficina de IA elaborará un modelo de cuestionario, incluida una herramienta automatizada, que ofrecerá esa misma posibilidad (Art.27, apartado 5). Referenciar no es reemplazar: los seis contenidos del Art.27(1) —procesos en que se usará, período y frecuencia de uso previstos, categorías de personas y colectivos afectados, riesgos específicos de perjuicio, medidas de supervisión humana con arreglo a las instrucciones de uso, y medidas si los riesgos se materializan, incluidos gobernanza interna y mecanismos de reclamación— tienen que quedar cubiertos.