EIPD para sistemas de IA — RGPD Artículo 35 + reglamento IA
Cuándo los sistemas de IA requieren una EIPD según el Artículo 35 del RGPD, cómo se solapa con la FRIA del Artículo 27 del reglamento IA, y cómo evitar la duplicación.
Una evaluación de impacto relativa a la protección de datos (DPIA) es obligatoria según el artículo 35 del RGPD cuando un sistema de IA implica un tratamiento sistemático a gran escala de datos personales, utiliza elaboración de perfiles automatizada con efectos significativos sobre las personas o trata datos de categorías especiales. Los sistemas de IA pueden activar varias obligaciones de DPIA simultáneamente. Las DPIA deben completarse antes de que comience el tratamiento, las revisa el delegado de protección de datos y deben actualizarse cuando el sistema cambie de forma sustancial. No realizar una DPIA obligatoria conlleva multas del RGPD de hasta 10 millones de euros o el 2 % de la facturación mundial.
¿Cuándo requiere un sistema de IA una DPIA?
El artículo 35(3) del RGPD especifica tres activadores automáticos. La mayoría de las autoridades de control también han publicado listas de tipos de tratamiento que siempre requieren una DPIA en su jurisdicción.
Elaboración de perfiles sistemática a gran escala o decisiones automatizadas
Sistemas de IA que elaboran perfiles de personas a gran escala o toman decisiones automatizadas con efectos jurídicos significativos o similares (art. 35(3)(a)). Incluye IA de puntuación crediticia, detección de fraude, cribado de candidatos y algoritmos de tarificación de seguros.
Tratamiento a gran escala de datos de categorías especiales
Sistemas de IA que tratan a gran escala datos de salud, datos biométricos para la identificación única, origen racial o étnico, opiniones políticas, creencias religiosas, datos genéticos o afiliación sindical (art. 35(3)(b) + art. 9).
Observación sistemática de zonas de acceso público
Sistemas de IA que monitorizan sistemáticamente a personas en espacios públicos a gran escala mediante vídeo, audio u otras tecnologías de vigilancia (art. 35(3)(c)). Incluye monitorización de smart cities, analítica de CCTV y seguimiento del comportamiento.
DPIA vs FRIA: entender el solapamiento
Cuando un sistema de IA de alto riesgo trata datos personales (lo que activa una DPIA) y además lo despliega un organismo del sector público (lo que activa una FRIA según el art. 27), las organizaciones afrontan dos obligaciones de evaluación que se solapan. El Reglamento de IA permite expresamente combinar o coordinar estas evaluaciones para reducir duplicidades — pero siguen siendo jurídicamente distintas.
Una DPIA se centra estrictamente en los riesgos del tratamiento de datos personales. Una FRIA cubre impactos más amplios sobre los derechos fundamentales, incluidos la no discriminación, la dignidad, el juicio justo y el acceso a los servicios — muchos de los cuales no son derechos de protección de datos. Combinar las evaluaciones está permitido, pero los elementos de la FRIA deben documentarse por separado para cumplir el art. 27.
DPIA (art. 35 RGPD)
- →Activada por: riesgo del tratamiento de datos personales
- →Alcance: derechos de protección de datos
- →Consulta obligatoria al DPO
- →Puede requerir consulta previa a la autoridad de control (art. 36)
- →Se aplica a todas las organizaciones (públicas y privadas)
FRIA (art. 27 del Reglamento de IA)
- →Activada por: IA de alto riesgo + despliegue en el sector público
- →Alcance: todos los derechos fundamentales de la Carta de la UE
- →Se fomenta la consulta a los representantes de los trabajadores
- →Debe registrarse en la base de datos del Reglamento de IA de la UE
- →Se aplica solo a responsables del despliegue del sector público o delegados
Proceso de DPIA en 6 pasos para sistemas de IA
Describir el tratamiento y sus finalidades
Documente qué datos personales se tratan, cómo se recogen, la finalidad del tratamiento y su base jurídica, los plazos de conservación y quién tiene acceso. Para los sistemas de IA, incluya las entradas/salidas del modelo, las fuentes de los datos de entrenamiento y los flujos de datos del pipeline de inferencia.
Evaluar la necesidad y la proporcionalidad
Demuestre que el tratamiento de datos personales es necesario y proporcionado a la finalidad del sistema de IA. Considere la minimización de datos, la limitación de la finalidad y si existen alternativas menos invasivas para la privacidad.
Identificar y evaluar los riesgos para la privacidad
Enumere los riesgos para la privacidad: divulgación ilícita, acceso no autorizado, ataques de inversión de modelo, riesgo de reidentificación a partir de las salidas de la IA, elaboración de perfiles discriminatoria y desviación de uso. Valore cada uno por probabilidad y gravedad.
Implementar medidas técnicas y organizativas
Documente las medidas que mitigan los riesgos identificados: cifrado, controles de acceso, privacidad diferencial, registro de auditoría, minimización de datos en el entrenamiento, saneamiento de las salidas del modelo y procedimientos de respuesta a brechas.
Consultar al DPO y a las partes afectadas
El artículo 35(2) exige consultar al DPO cuando se haya designado uno. El artículo 35(9) exige recabar, cuando proceda, la opinión de los interesados o de sus representantes. Documente ambas consultas.
Documentar los riesgos residuales y obtener la aprobación
Registre los riesgos residuales que no puedan mitigarse por completo y si son aceptables para el responsable del tratamiento. Si persisten riesgos residuales altos, puede ser necesaria una consulta previa a la autoridad de control (art. 36) antes de iniciar el tratamiento.
Cómo apoya Scanara el cumplimiento de la DPIA
Detección de activadores de DPIA
Scanara señala las características del sistema de IA que activan obligaciones de DPIA según el art. 35 del RGPD — tratamiento biométrico, elaboración de perfiles a gran escala, decisiones automatizadas con efectos significativos.
Documentación de los flujos de datos
Los resultados del escaneo identifican patrones de tratamiento de datos en su base de código de IA — entradas y salidas del modelo, pipelines de datos de entrenamiento — proporcionando la base fáctica para el paso 1 de la DPIA.
Aviso de solapamiento FRIA/DPIA
Cuando se activan tanto una DPIA como una FRIA, Scanara identifica el solapamiento y sugiere un plan de evaluación coordinado para satisfacer ambas obligaciones con la mínima duplicación.
Preguntas frecuentes
Cómo ayuda Scanara
Scanara automatiza el cumplimiento de la Ley de IA de la UE del código al dossier. Conecte sus repos de GitHub y obtenga informes de cumplimiento en minutos.