Skip to main content

Evaluación de impacto relativa a los derechos fundamentales (FRIA) según el artículo 27

Qué responsables del despliegue deben realizar una FRIA antes del primer uso, qué cubre y cómo se relaciona con la EIPD del RGPD.

Determinados responsables del despliegue de sistemas de IA de alto riesgo deben evaluar el impacto en los derechos fundamentales antes del primer uso (artículo 27). Quedan cubiertos los organismos de Derecho público y las entidades privadas que prestan servicios públicos. También quedan cubiertos los responsables del despliegue de sistemas de calificación crediticia y de seguros de vida y de salud. Son los puntos 5, letras b) y c), del anexo III. Los sistemas del anexo III, punto 2, quedan excluidos.

La obligación se aplica desde el 2 de diciembre de 2027. Después, el responsable del despliegue notifica los resultados a la autoridad de vigilancia del mercado. El artículo 99(4) no menciona el artículo 27, por lo que las sanciones se rigen por la normativa nacional (artículo 99(1)). Siguiente paso: compruebe si el artículo 27 le afecta y empiece la evaluación.

Tres grupos de responsables del despliegue deben realizar una FRIA

El artículo 27 abarca los sistemas de alto riesgo del artículo 6(2), es decir, la vía del anexo III, salvo el anexo III, punto 2 (infraestructuras críticas). No abarca los sistemas del anexo I. Tres grupos de responsables del despliegue deben realizar la evaluación.

  • Organismos de Derecho público

    Los responsables del despliegue que son organismos de Derecho público deben realizar una FRIA por cada sistema de alto riesgo del anexo III que desplieguen, salvo el punto 2.

  • Entidades privadas que prestan servicios públicos

    Las entidades privadas que prestan servicios públicos deben realizar una FRIA para los mismos sistemas.

  • Responsables de sistemas de solvencia y seguros

    Todo responsable del despliegue de un sistema que evalúa la solvencia de personas físicas o establece su puntuación crediticia (anexo III, punto 5, letra b), o que se usa para la evaluación de riesgos y la fijación de precios en seguros de vida y salud (letra c), debe realizar una FRIA. Los sistemas usados solo para detectar el fraude financiero no están cubiertos por la letra b.

La FRIA abarca seis elementos y después se notifica a la autoridad

  1. 1

    1. Sus procesos

    Describa los procesos en los que usará el sistema, conforme a su finalidad prevista (artículo 27(1), letra a).

  2. 2

    2. Período y frecuencia de uso

    Describa el período de tiempo y la frecuencia con que se prevé usar cada sistema (letra b).

  3. 3

    3. Personas afectadas

    Identifique las categorías de personas físicas y grupos que probablemente se verán afectados por el uso en el contexto específico (letra c).

  4. 4

    4. Riesgos de daño específicos

    Identifique los riesgos de daño específicos para esas categorías, teniendo en cuenta la información facilitada por el proveedor con arreglo al artículo 13 (letra d).

  5. 5

    5. Supervisión humana

    Describa cómo se aplica la supervisión humana, según las instrucciones de uso (letra e).

  6. 6

    6. Medidas si se materializan los riesgos

    Establezca las medidas que se adoptarán si se materializan los riesgos, incluidos los mecanismos de gobernanza interna y de reclamación (letra f).

  7. 7

    7. Notificar a la autoridad

    Notifique los resultados a la autoridad de vigilancia del mercado y presente la plantilla cumplimentada (artículo 27(3)). En el caso del artículo 46(1), los responsables del despliegue pueden quedar exentos de esta notificación.

La FRIA se puede reutilizar, actualizar y vincular a una DPIA

  • Reutilización y actualización

    La obligación se aplica al primer uso del sistema. En casos similares, el responsable del despliegue puede basarse en FRIA realizadas anteriormente o en evaluaciones de impacto existentes elaboradas por el proveedor. Si durante el uso cambia algún elemento o deja de estar actualizado, debe adoptar las medidas necesarias para actualizarlo (artículo 27(2)).

  • Vínculo con la evaluación de impacto relativa a la protección de datos

    Si una obligación del artículo 27 ya se cumple mediante una evaluación de impacto relativa a la protección de datos conforme al artículo 35 del Reglamento (UE) 2016/679 o al artículo 27 de la Directiva (UE) 2016/680, la FRIA puede remitirse a ella o incluir partes pertinentes de ella (artículo 27(4), modificado por el Reglamento (UE) 2026/1744). La Oficina de IA elabora un cuestionario modelo, también como herramienta automatizada, para ayudar a los responsables del despliegue a cumplir (artículo 27(5)).

  • Las autoridades públicas también registran los resultados

    Los responsables del despliegue que son autoridades públicas registran su uso del sistema en la base de datos de la UE, incluido un resumen de las conclusiones de la FRIA (artículo 49(3) y anexo VIII, sección C, punto 4). Para los puntos 1, 6 y 7 del anexo III, en los ámbitos de la garantía del cumplimiento del Derecho, la migración, el asilo y la gestión del control fronterizo, la inscripción figura en una sección segura no pública y omite ese resumen (artículo 49(4)).

Cómo ayuda Scanara con su FRIA

Scanara no decide si el artículo 27 le afecta ni notifica a la autoridad. Ambas cosas siguen siendo suyas.

Evaluación FRIA guiada

Las preguntas siguen los seis elementos del artículo 27(1). Scanara redacta el informe FRIA a partir de sus respuestas y crea una versión nueva cuando cambia un elemento (artículo 27(2)).

Vínculo con una DPIA

Puede vincular a la FRIA una DPIA aprobada del mismo sistema. Así, la FRIA puede remitirse a ella (artículo 27(4)).

Documento de notificación

Scanara exporta un documento para la notificación a la autoridad de vigilancia del mercado (artículo 27(3)). Usted mismo lo envía.

Abrir la demo de Scanara

Lea más sobre las normas relacionadas

Preguntas frecuentes sobre la FRIA

¿Sustituye a la FRIA una evaluación de impacto relativa a la protección de datos del RGPD?

No. Una evaluación de impacto relativa a la protección de datos puede aportar partes de la FRIA, porque el artículo 27(4) permite al responsable del despliegue remitirse a ella o incluir partes pertinentes, pero solo para las obligaciones del artículo 27 que ya cumple. La FRIA debe seguir cubriendo cada elemento del artículo 27(1).

¿Con qué frecuencia debe actualizarse una FRIA?

El artículo 27 no fija un ciclo. La obligación se aplica al primer uso de un sistema, y el responsable del despliegue debe actualizar la FRIA si considera que algún elemento ha cambiado o ya no está actualizado (artículo 27(2)).

¿Qué ocurre si un responsable del despliegue omite la FRIA?

Omitir una FRIA obligatoria infringe el Reglamento. El artículo 99(4) enumera las obligaciones de los responsables del despliegue del artículo 26, pero no las del artículo 27. Los Estados miembros establecen las normas sobre sanciones para cualquier infracción del Reglamento (artículo 99(1)), así que consulte las normas nacionales de su Estado miembro. Cuando la Oficina de IA es competente con arreglo al artículo 75(1), puede imponer las multas del artículo 99(4) por el incumplimiento de cualquier disposición aplicable, incluidas las que no figuran en el artículo 99(4) (artículo 75 quater(4), letra a).

¿Se publica la FRIA?

El responsable del despliegue debe notificar los resultados a la autoridad de vigilancia del mercado (artículo 27(3)). Los que son autoridades públicas registran además un resumen de las conclusiones en la base de datos de la UE (artículo 49(3), anexo VIII, sección C, punto 4). El Reglamento no obliga a los demás responsables a publicar su FRIA.

Scanara prepara pruebas a partir de sus repositorios

Scanara lee sus repositorios de GitHub conectados y ejecuta análisis basados en reglas de patrones habituales de IA y aprendizaje automático. Puede pasar por alto código no estándar. Por separado, genera borradores de documentación a partir de plantillas y de sus respuestas en las evaluaciones, como pruebas para su trabajo de cumplimiento. Usted decide la clasificación.