Evaluación de impacto de IA: a quién obliga de verdad y cómo hacerla
La evaluación de impacto de IA es uno de esos entregables que suenan a trámite y que, bien hecho, es lo único que te deja decidir con criterio antes de poner un sistema a funcionar sobre personas. Conviene además separar dos cosas que se confunden mucho: lo que obliga la norma y lo que simplemente es buena idea.
Qué es una evaluación de impacto de IA
En primer lugar, es un documento que responde a cinco preguntas antes de desplegar un sistema: para qué se usa, durante cuánto tiempo, a quién puede afectar, qué puede salir mal y qué medidas tomas para evitarlo.
Sin embargo, lo importante no es el documento. Es que obliga a nombrar a las personas afectadas, y ese ejercicio cambia bastantes decisiones de diseño.
Además, es el paso natural después de haber clasificado tus sistemas. Si todavía no lo has hecho, empieza por ahí y vuelve luego.
A quién obliga de verdad la evaluación de impacto de IA
Aquí hay bastante confusión circulando, por lo que conviene concretar. El Reglamento Europeo de IA contempla una evaluación de impacto sobre derechos fundamentales, conocida por sus siglas en inglés como FRIA, y su alcance es más estrecho de lo que mucha gente cree.
Están obligados, en concreto, tres grupos:
- Organismos de derecho público que usen, por ejemplo, sistemas de alto riesgo.
- Entidades privadas que presten, del mismo modo, servicios públicos.
- Quienes usen determinados sistemas de evaluación crediticia o de seguros de vida y salud.
Es decir, una pyme que usa IA para redactar propuestas o resumir reuniones no está en esa lista. Por tanto, si alguien te vende una FRIA obligatoria sin preguntarte a qué te dedicas, desconfía.
Y hay un segundo matiz de calendario. Las obligaciones de alto riesgo se aplazaron en julio de 2026 al 2 de diciembre de 2027, así que ni siquiera los obligados tienen la fecha encima todavía.
Qué debe contener la evaluación de impacto de IA
Cuando sí toca, el contenido mínimo está además bastante definido. Son seis bloques.
- Descripción de los procesos en los que se usa el sistema y su finalidad prevista.
- Después, el periodo y la frecuencia de uso.
- Categorías de personas y colectivos que pueden verse afectados.
- Riesgos concretos para sus derechos.
- Medidas de supervisión humana y, también, de mitigación y gobernanza.
- Mecanismos de información, reclamación y reparación.
Fíjate en el último punto, que es el que casi siempre falta. De hecho, si una persona afectada por una decisión no sabe a quién reclamar, el resto del documento sirve de poco.
Dónde encaja la evaluación de impacto de protección de datos
Esta es la pregunta que más nos hacen. La respuesta corta: son dos cosas distintas y una no sustituye a la otra.
Es decir, la evaluación de impacto del RGPD mira los riesgos derivados de tratar datos personales. En cambio, la de derechos fundamentales mira el efecto sobre las personas aunque no haya datos personales de por medio.
Por otro lado, sí se pueden coordinar. Lo sensato es hacer un solo proceso de análisis y dos apartados identificables, en lugar de dos documentos que nadie vuelve a leer.
Por qué hacer la evaluación de impacto de IA aunque no te obliguen
Vamos ahora con la parte que nos parece más útil, aunque sea también la menos comercial.
En la mayoría de empresas con las que trabajamos no existe obligación legal de hacer este ejercicio. Aun así, lo hacemos, por tres razones muy prácticas.
Primero, porque es la respuesta que piden los clientes grandes en sus cuestionarios de proveedor. Segundo, porque obliga a decidir quién supervisa qué, que es justo lo que suele estar sin asignar. Y tercero, porque documenta el razonamiento mientras el proyecto está fresco, no un año después cuando nadie recuerda por qué se hizo así.
Además, una versión corta de dos páginas por sistema es suficiente para una pyme. No hace falta una plantilla de cuarenta.
Cómo hacerla sin que se eternice
Este es el orden que seguimos y se puede replicar.
- Parte de los sistemas que ya tienes identificados en tu inventario de sistemas de IA.
- Quédate solo con los que apoyan decisiones sobre personas, que suelen ser, en concreto, uno o dos.
- Reúne una hora a quien usa el sistema y a quien responde del área, nunca solo al departamento técnico.
- Escribe los seis bloques en lenguaje normal, sin copiar artículos de la norma.
- Y, por último, ponle fecha de revisión y un responsable con nombre.
Finalmente, revísala cuando cambie el sistema, el contexto de uso o las personas afectadas. Esos tres disparadores están en la propia norma y son los que de verdad importan.
Preguntas frecuentes sobre la evaluación de impacto de IA
¿Tengo que enviarla a alguna autoridad?
Depende de tu caso concreto, es decir, de si estás dentro de los supuestos obligados. Por eso conviene validarlo con asesoramiento legal antes de asumir que sí o que no.
¿Vale una plantilla descargada de internet?
Como punto de partida sí. Sin embargo, el valor no está en la plantilla. Está en la conversación de una hora con quien usa el sistema.
¿Cada cuánto se revisa?
Cuando cambia algo relevante y, en todo caso, una vez al año como mínimo. Un documento de hace tres años no demuestra nada.
¿Esto es asesoramiento jurídico?
No. Es orientación de implantación, así que cualquier decisión con efectos legales conviene contrastarla. Puedes consultar el detalle del artículo 27 en esta referencia del AI Act.
Si quieres hacerla bien y rápido
En ArtiLabs la hacemos como parte del trabajo de gobernanza y, por lo general, se resuelve en un par de sesiones. Si quieres tenerla antes de que te la pida un cliente, cuéntanos tu caso.
