Evaluación de impacto relativa a la protección de datos (DPIA) para sistemas de IA: artículo 35 del RGPD
La EIPD es una obligación del RGPD, no del Reglamento de IA. Cuándo la necesitan los sistemas de IA y su relación con la FRIA.
Una evaluación de impacto relativa a la protección de datos (DPIA) es una obligación del artículo 35 del RGPD, no del Reglamento de IA. El responsable del tratamiento debe realizarla antes de un tratamiento que probablemente entrañe un alto riesgo para los derechos y libertades de las personas. Son casos típicos los sistemas de IA que elaboran perfiles de personas, tratan a gran escala categorías especiales de datos o vigilan zonas públicas.
El Reglamento de IA se refiere a la DPIA en el artículo 26(9) y en el artículo 27(4). Las multas del RGPD por infringir el artículo 35 alcanzan 10 millones EUR o el 2 % del volumen de negocios mundial anual. Se aplica la cuantía superior (artículo 83(4) del RGPD). Siguiente paso: compruebe si su sistema trata datos personales y quién es el responsable del tratamiento.
El artículo 35(3) del RGPD señala tres casos en los que se exige una DPIA
Evaluación sistemática y exhaustiva basada en un tratamiento automatizado
Abarca la evaluación de aspectos personales, incluida la elaboración de perfiles, en la que se basan decisiones que producen efectos jurídicos o afectan significativamente de modo similar a la persona (artículo 35(3), letra a)). Ejemplo: la calificación crediticia.
Tratamiento a gran escala de categorías especiales de datos o de datos sobre infracciones
Abarca las categorías especiales de datos del artículo 9(1) del RGPD y los datos sobre condenas e infracciones penales del artículo 10 (artículo 35(3), letra b)). Ejemplo: un sistema de IA que trata datos de salud a gran escala.
Observación sistemática a gran escala de una zona de acceso público
Abarca la observación de zonas públicas a gran escala (artículo 35(3), letra c)). Ejemplo: el análisis de vídeo en un espacio público.
Las autoridades de control publican listas de otros tipos de tratamiento que requieren una DPIA (artículo 35(4) del RGPD).
Una DPIA tiene cuatro partes mínimas
Descripción del tratamiento
Una descripción sistemática de las operaciones de tratamiento y de sus fines, incluido, cuando proceda, el interés legítimo perseguido (artículo 35(7), letra a)).
Necesidad y proporcionalidad
Una evaluación de si el tratamiento es necesario y proporcionado en relación con sus fines (artículo 35(7), letra b)).
Riesgos para los interesados
Una evaluación de los riesgos para los derechos y libertades de las personas cuyos datos se tratan (artículo 35(7), letra c)).
Medidas frente a los riesgos
Las garantías, medidas de seguridad y mecanismos que abordan los riesgos y demuestran el cumplimiento del RGPD (artículo 35(7), letra d)).
El responsable del tratamiento también recaba el asesoramiento del delegado de protección de datos, si ha sido designado (artículo 35(2)). Recaba la opinión de los interesados o de sus representantes cuando proceda (artículo 35(9)). Revisa la DPIA al menos cuando cambia el riesgo (artículo 35(11)). Si la DPIA muestra un alto riesgo que el responsable no mitiga, consulta antes a la autoridad de control (artículo 36).
Una DPIA y una FRIA son evaluaciones distintas que pueden compartir contenido
Normas y objetos distintos
La DPIA procede del RGPD y se refiere a la protección de los datos personales. La FRIA procede del artículo 27 del Reglamento de IA y se refiere a los derechos fundamentales.
Obligados distintos
La DPIA recae en el responsable del tratamiento, público o privado. La FRIA recae solo en los responsables del despliegue enumerados en el artículo 27(1).
Contenido compartido
Si la DPIA ya cumple una obligación del artículo 27, la FRIA puede remitirse a ella o incluir partes de ella (artículo 27(4)). La FRIA sigue debiendo cubrir cada elemento del artículo 27(1).
Qué hace la evaluación DPIA de Scanara
Scanara no decide si hace falta una DPIA. Usted, como responsable del tratamiento, lo decide con su delegado de protección de datos.
Preguntas DPIA guiadas
Un banco de preguntas sigue el contenido del artículo 35(7) del RGPD. Usted responde; Scanara guarda las respuestas como pruebas y redacta un borrador del informe DPIA.
Respuestas rellenadas a partir de los análisis
Si ha analizado un repositorio, Scanara rellena las respuestas con los resultados del análisis. Usted las revisa y las corrige.
Vínculo con la FRIA
Una evaluación FRIA puede referenciar una DPIA aprobada del mismo sistema (artículo 27(4)).
Lea más sobre las normas relacionadas
Reglamento IA vs RGPD: diferencias y solapamientos
Compara el Reglamento de IA y el RGPD, incluido dónde se solapan una DPIA y una FRIA.
Evaluación de impacto relativa a los derechos fundamentales (FRIA) según el artículo 27
Explica la evaluación del Reglamento de IA que puede remitirse a una DPIA.
Artículo 27: evaluación de impacto relativa a los derechos fundamentales
Cubre qué responsables del despliegue deben evaluar el impacto sobre los derechos fundamentales antes del primer uso.
Preguntas frecuentes sobre la DPIA
¿Exige el Reglamento de IA una DPIA?
No. La obligación procede del artículo 35 del RGPD. El Reglamento de IA solo se remite a ella: los responsables del despliegue de sistemas de alto riesgo usan para su DPIA la información del proveedor conforme al artículo 13, cuando proceda (artículo 26(9)).
¿Sustituye a la FRIA una evaluación de impacto relativa a la protección de datos del RGPD?
No. Una evaluación de impacto relativa a la protección de datos puede aportar partes de la FRIA, porque el artículo 27(4) permite al responsable del despliegue remitirse a ella o incluir partes pertinentes, pero solo para las obligaciones del artículo 27 que ya cumple. La FRIA debe seguir cubriendo cada elemento del artículo 27(1).
¿Cuándo hace falta una DPIA para un sistema de IA?
Cuando el tratamiento probablemente entrañe un alto riesgo para los derechos y libertades de las personas físicas (artículo 35(1) del RGPD). El artículo 35(3) señala tres casos en los que se exige: la evaluación sistemática y exhaustiva basada en un tratamiento automatizado, el tratamiento a gran escala de categorías especiales de datos o de datos sobre infracciones, y la observación a gran escala de zonas públicas. Consulte también la lista de su autoridad de control.
¿Qué ocurre si se omite una DPIA obligatoria?
Multas de hasta 10 millones EUR o, para una empresa, de hasta el 2 % del volumen de negocios total anual mundial del ejercicio financiero anterior, si esta cuantía es superior (artículo 83(4), letra a), del RGPD).
Scanara prepara pruebas a partir de sus repositorios
Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.