Evaluación de impacto para sistemas IA de alto riesgo FRIA

La evaluación de impacto FRIA es una obligación clave introducida por el Reglamento de inteligencia artificial (RIA) en el despliegue de los sistemas IA de alto riesgo.

Esta evaluación tiene por objeto identificar, analizar y mitigar los posibles efectos que el uso de una IA puede generar sobre los derechos fundamentales de las personas afectadas.

La evaluación FRIA no sustituye a la evaluación de impacto en protección de datos (PIA) prevista en el Reglamento General de Protección de Datos (RGPD), sino que se configura como un instrumento adicional y complementario, con un enfoque más amplio y centrado en el respeto a los derechos fundamentales en sentido amplio, incluyendo, pero no limitándose, a la protección de datos personales.

En este artículo se explica qué es una FRIA, cuándo debe realizarse, cuál es su contenido mínimo, quién debe intervenir en su elaboración y qué consecuencias jurídicas puede tener su omisión.

Asimismo, se aborda su diferenciación con la PIA y su conexión con otras obligaciones del Reglamento de IA.

1. ¿Qué es una evaluación de impacto FRIA en el contexto del RIA?  

La evaluación de impacto relativa a los derechos fundamentales (FRIA, por sus siglas en inglés: Fundamental Rights Impact Assessment) es una obligación específica que impone el RIA en el contexto del uso de sistemas de inteligencia artificial clasificados como de alto riesgo.

Esta evaluación tiene como finalidad identificar, analizar y mitigar los posibles efectos negativos que el uso de dichos sistemas pueda generar sobre los derechos fundamentales reconocidos en el Derecho de la Unión Europea, tales como el derecho a la no discriminación, la libertad de expresión, la libertad de pensamiento, el derecho a la intimidad, a la protección de datos personales o al acceso a servicios básicos, entre otros.

A diferencia de otras evaluaciones de impacto ya existentes en el marco normativo europeo, como la PIA (Evaluación de Impacto en Protección de Datos conforme al RGPD), la FRIA no se centra exclusivamente en el tratamiento de datos personales, sino que adopta un enfoque más amplio sobre el conjunto de derechos fundamentales que pueden verse afectados por el funcionamiento o los resultados de un sistema de IA.

El artículo 29 del Reglamento de IA establece que los desarrolladores y proveedores de sistemas de alto riesgo deben llevar a cabo esta evaluación antes de la puesta en el mercado o la puesta en servicio del sistema. La FRIA forma parte del conjunto de medidas de gestión de riesgos que deben integrarse desde las fases más tempranas del diseño y desarrollo del sistema, siguiendo el principio de prevención.

Su objetivo principal es cumplir con una obligación documental, además de garantizar que el diseño, entrenamiento, validación y uso del sistema de IA no comprometan derechos fundamentales de personas físicas, especialmente en contextos sensibles como la salud, la justicia, el empleo, la educación o la seguridad pública.

2. ¿En qué se diferencia la FRIA de la evaluación de impacto en protección de datos (PIA)?  

La Evaluación de Impacto relativa a los Derechos Fundamentales (FRIA, por sus siglas en inglés: Fundamental Rights Impact Assessment) y la Evaluación de Impacto en Protección de Datos (PIA, del inglés Data Protection Impact Assessment) son instrumentos jurídicos distintos, aunque ambos comparten una finalidad preventiva y se articulan como herramientas de análisis de riesgos.

Mientras que la PIA tiene como objetivo garantizar la protección de datos personales conforme al Reglamento General de Protección de Datos (RGPD), la FRIA está prevista en el Reglamento de inteligencia artificial (RIA) y se orienta a identificar y mitigar los efectos que un sistema de inteligencia artificial de alto riesgo pueda generar sobre un espectro más amplio de derechos fundamentales.

2.1 Objeto de análisis

• La PIA se limita a analizar riesgos derivados del tratamiento de datos personales: licitud, minimización, proporcionalidad, seguridad y garantías del tratamiento. Se activa cuando dicho tratamiento, por su naturaleza, alcance o fines, puede entrañar un riesgo elevado. Se centra exclusivamente en la protección de datos personales y en el cumplimiento del RGPD.
• La FRIA, en cambio, abarca una dimensión más amplia, que incluye el impacto sobre la privacidad junto con otros derechos fundamentales como la igualdad, la no discriminación, la libertad de pensamiento, el acceso a servicios esenciales, la protección de colectivos vulnerables o el derecho a un juicio justo. Puede ser exigible incluso si el sistema no trata datos personales.

2.2 Ámbito normativo

• La PIA se regula en el artículo 35 del RGPD y es de obligado cumplimiento en los casos previstos por dicho reglamento.
• La FRIA forma parte del régimen previsto en el RIA y su obligación se establece en el artículo 27 y siguientes, dentro del capítulo relativo a los requisitos aplicables a los sistemas de IA de alto riesgo. Esta evaluación forma parte del conjunto de medidas que deben adoptarse antes de la puesta en el mercado o en servicio del sistema.

2.3 Supervisión y autoridades competentes

• La PIA debe ser supervisada por la Agencia Española de Protección de Datos (AEPD) en el caso de España. Cuando los riesgos detectados no puedan mitigarse de forma adecuada, es preceptiva una consulta previa a dicha autoridad, conforme al artículo 36 del RGPD.
• La FRIA, en cambio, será supervisada en el marco del RIA por la autoridad competente en materia de inteligencia artificial. En España, el Real Decreto 729/2023 establece que la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) es la autoridad nacional responsable de supervisar el cumplimiento del RIA. Entre sus funciones se encuentra la verificación de sistemas de IA de alto riesgo y la evaluación de su impacto en los derechos fundamentales. El Real Decreto prevé, además, mecanismos de coordinación con la Agencia Española de Protección de Datos (AEPD), lo que resulta especialmente relevante cuando un sistema de IA afecta simultáneamente a la protección de datos personales y a otros derechos fundamentales, siendo necesario realizar tanto una FRIA como una PIA.

A nivel de la Unión Europea, el cumplimiento y la aplicación uniforme del RIA están coordinados por la AI Office, un organismo dependiente de la Comisión Europea, y por el European AI Board, que agrupa a las autoridades nacionales competentes.

2.4 Complementariedad e integración

Ambas evaluaciones pueden y, en muchos casos, deben coexistir. Cuando un sistema de IA de alto riesgo implique tratamiento de datos personales, será necesario realizar tanto una PIA como una FRIA, atendiendo a sus respectivos marcos jurídicos.

Los informes de comités y expertos recomiendan abordar ambas evaluaciones desde las primeras fases de desarrollo del sistema, es decir, desde el diseño de los sistemas, incluso mediante aproximaciones integradas, con el fin de garantizar el cumplimiento coordinado del RGPD y del RIA sin duplicar procesos ni generar cargas desproporcionadas.

3. ¿Cuándo debe realizarse una evaluación FRIA?  

La Evaluación de Impacto relativa a los Derechos Fundamentales (FRIA) debe realizarse antes de la puesta en el mercado o la puesta en servicio del sistema de inteligencia artificial, tal como establece el artículo 27 y siguientes del Reglamento de inteligencia artificial (RIA).

Se trata de una evaluación de carácter ex ante que forma parte del conjunto de obligaciones preventivas del RIA dirigidas a los sistemas de IA de alto riesgo. No puede realizarse de forma sobrevenida ni posponer su ejecución al momento del uso efectivo: debe anticiparse a cualquier aplicación operativa del sistema.

3.1 ¿En qué momento exacto del proceso debe realizarse?

La FRIA debe integrarse en el ciclo de vida del sistema de IA en la fase de diseño o desarrollo, como parte del sistema de gobernanza interna y gestión de riesgos exigido por el RIA. En concreto:

• Antes de la validación técnica o despliegue en entornos reales.
• Antes de la adopción contractual, en caso de contratación pública o integración en servicios institucionales.
• Antes de que el sistema tome decisiones o genere resultados que puedan afectar a personas físicas.

Esto implica que la FRIA debe haberse finalizado y documentado antes de que el sistema sea accesible a usuarios finales o tenga un impacto efectivo, lo que incluye versiones piloto que ya puedan tener consecuencias materiales.

3.2 ¿Quién está obligado a realizarla?

El RIA establece esta obligación para:

• Proveedores de sistemas de IA de alto riesgo, cuando desarrollan o comercializan el sistema.
• Usuarios (especialmente organismos públicos) que despliegan o adoptan sistemas de IA de alto riesgo, incluso aunque no sean sus desarrolladores directos.

En el caso de Administraciones Públicas, el artículo 27.1 impone expresamente la obligación de realizar una FRIA cuando el sistema de IA se utilice en el marco de servicios públicos o para la toma de decisiones que afecten a derechos de personas físicas.

Esto incluye, entre otros:

• Sistemas utilizados en educación, sanidad, empleo o seguridad;
• Herramientas algorítmicas de puntuación, clasificación o evaluación automatizada;
• Plataformas institucionales que operen con técnicas de IA generativa o aprendizaje automático en procesos sensibles.

3.3 ¿Debe actualizarse o repetirse?

Definitivamente decretamos un sí. El RIA establece que la FRIA no debe considerarse una acción única ni estática y que debe actualizarse:

• Cuando haya modificaciones sustanciales en el diseño, los datos, los modelos utilizados o las funcionalidades del sistema;
• Cuando surjan nuevos riesgos o se identifiquen efectos no previstos en la evaluación inicial;
• Y cuando se incorporen nuevos contextos de uso, especialmente si implican poblaciones distintas o entornos sensibles.

En estos casos, deberá revisarse la FRIA para garantizar que sigue cumpliendo su objetivo preventivo y que se documentan adecuadamente las nuevas medidas de mitigación adoptadas.

4. ¿Qué contenido mínimo debe incluir la evaluación FRIA?

La Evaluación de Impacto relativa a los Derechos Fundamentales (FRIA / EIDF) es una obligación del artículo 27 del RIA para los sistemas de IA de alto riesgo. Su objetivo es anticipar y mitigar los efectos que estos sistemas pueden generar sobre los derechos fundamentales. El contenido mínimo se articula en tres fases diferenciadas, según el modelo metodológico propuesto por las autoridades de protección de datos.

Fase 1: Análisis del contexto y derechos en juego

Esta primera fase permite identificar quiénes son los potenciales afectados y qué derechos pueden estar comprometidos por el uso del sistema de IA.

Debe incluir una descripción clara del sistema: finalidad, funcionalidades, tipo de IA, fuentes de datos, entorno operativo y nivel de autonomía.

También debe analizarse el contexto de uso, con especial atención a colectivos vulnerables, situaciones de dependencia o asimetrías de poder.

Se identifican los derechos fundamentales potencialmente afectados: privacidad, igualdad, no discriminación, libertad de expresión, tutela judicial efectiva, entre otros.

Este análisis debe incorporar una valoración cualitativa y cuantitativa del riesgo y se evalúa la gravedad del impacto, su probabilidad y el alcance de las consecuencias.

Fase 2: Evaluación de riesgos e impacto

A partir del análisis anterior, se identifican los riesgos concretos para los derechos fundamentales y se valoran sus implicaciones jurídicas y sociales.

Se analiza qué puede salir mal, si existe riesgo de sesgo, falta de transparencia, discriminación indirecta o exclusión automatizada.

Debe evaluarse la compatibilidad del sistema con los principios de proporcionalidad, necesidad y minimización del riesgo.

En esta fase también se incluye el estudio de riesgos acumulativos o sistémicos, especialmente si el sistema se combina con otros tratamientos de datos o infraestructuras automatizadas.

Fase 3: Medidas de mitigación y seguimiento

Con base en los riesgos detectados, deben definirse medidas técnicas, organizativas y jurídicas para reducirlos o eliminarlos de forma efectiva y proporcionada.

Entre las medidas posibles se incluyen:

– Supervisión humana significativa.

– Control de calidad y sesgos en datos de entrenamiento.

– Garantías de transparencia, trazabilidad y explicabilidad.

– Canales accesibles de reclamación, revisión o corrección.

– Adaptaciones específicas para grupos vulnerables.

Además, esta fase debe incluir el seguimiento y revisión periódica de la eficacia de las medidas adoptadas. La evaluación FRIA no es un documento estático, sino un proceso iterativo.

Cuando proceda, también debe reflejarse la participación de partes interesadas: usuarios, colectivos afectados, expertos o comités de ética. Sus aportaciones deben integrarse y documentarse.

Finalmente, la FRIA debe quedar formalizada por escrito, disponible para su revisión por parte de la autoridad competente.

No se exige su publicación, pero sí su conservación, actualización y trazabilidad. Debe acreditarse que ha sido elaborada antes de la puesta en servicio del sistema y que sus conclusiones se han tenido en cuenta.

5. ¿Qué actores deben intervenir en su elaboración?  

Al tratarse de una evaluación transversal sobre el impacto ético, jurídico y social de un sistema de IA de alto riesgo, su correcta elaboración requiere la intervención de perfiles multidisciplinares, tanto desde dentro de la organización responsable como desde actores externos relevantes.

El RIA no establece una plantilla cerrada de participantes, pero sí exige que se incorpore conocimiento técnico especializado, perspectiva jurídica, y, cuando proceda, la visión de los grupos afectados.

A continuación, se detallan los principales actores que deberían formar parte del proceso de elaboración de una FRIA:

5.1 Responsables del sistema de IA

Ya sean proveedores (quienes desarrollan o comercializan el sistema) o usuarios (quienes lo implementan), son los sujetos jurídicamente obligados a realizar la FRIA antes de poner el sistema en servicio. Tienen la responsabilidad de:

• Coordinar el proceso de evaluación.
• Garantizar el cumplimiento del contenido mínimo exigido por el RIA.
• Documentar la trazabilidad de las decisiones tomadas a partir de los riesgos identificados.

5.2 Expertos técnicos en inteligencia artificial

Su participación es clave para:

• Describir adecuadamente el funcionamiento del sistema.
• Explicar el tipo de modelo utilizado, sus parámetros, fuentes de datos, sesgos potenciales o efectos emergentes.
• Evaluar la autonomía del sistema y su capacidad de aprendizaje o autoajuste.
• Identificar variables sensibles o decisiones críticas automatizadas.

En sistemas complejos, puede ser necesaria la intervención de perfiles especializados en auditoría algorítmica, explicabilidad (explainable AI) o diseño ético de sistemas (ethics by design).

5.3 Juristas y especialistas en derechos fundamentales

Encargados de:

• Identificar los derechos fundamentales potencialmente afectados en función del contexto de uso.
• Analizar el marco normativo aplicable (como el RGPD, Carta de Derechos Fundamentales de la UE, jurisprudencia europea, etc.).
• Evaluar la proporcionalidad de las medidas de mitigación propuestas y su adecuación a las obligaciones legales.

Su rol es esencial para asegurar que la evaluación de impacto FRIA tenga enfoque jurídico estructurado.

 5.4 Representantes de las partes interesadas o personas afectadas

El artículo 27 del RIA, junto con los principios de buena gobernanza digital, promueve la participación de colectivos afectados por el uso del sistema, cuando ello sea adecuado y proporcionado.

Esto puede implicar:

• Consultas a organizaciones sociales, defensorías o asociaciones sectoriales.
• Integración de perspectivas inclusivas o interseccionales en la identificación de impactos.
• Recogida de observaciones sobre efectos colaterales o posibles discriminaciones indirectas.

Esta participación mejora la legitimidad de la evaluación y que ayuda a detectar riesgos no evidentes desde el plano técnico o jurídico.

5.5 Comité interno o externo de evaluación

De manera opcional pero altamente recomendable, en organizaciones públicas o entidades de gran tamaño, puede optarse por constituir un comité evaluador que revise, valide o acompañe el proceso de elaboración de la FRIA. Este comité puede incluir:

• Responsables de cumplimiento normativo (compliance).
• Delegados de protección de datos (DPO).
• Oficiales de ética digital o responsables de IA confiable.
• Personal de supervisión interna o control de calidad.

En determinados casos, puede ser útil recurrir a expertos externos independientes, especialmente cuando se trate de sistemas complejos, sensibles o con alta visibilidad institucional.

La evaluación de impacto FRIA se posiciona como una herramienta de análisis estructural y su correcta elaboración exige una cooperación entre perfiles técnicos, jurídicos, sociales y organizativos, por ende, su valor, dependerá directamente de la diversidad y profundidad de las voces implicadas.

6. ¿Es obligatorio publicar o compartir la FRIA?  

El RIA no establece una obligación general de publicar o difundir públicamente el contenido íntegro de la evaluación de impacto relativa a los derechos fundamentales (FRIA). Sin embargo, sí impone ciertas obligaciones en materia de documentación, conservación y disponibilidad del informe, que varían en función del rol del sujeto obligado y del contexto de uso del sistema de IA.

6.1 Documentación obligatoria y deber de disponibilidad

Conforme al artículo 27.4 del RIA, los usuarios de sistemas de IA de alto riesgo que sean organismos del sector público deberán:

• Conservar la FRIA de forma accesible y actualizada.
• Estar en condiciones de facilitarla a las autoridades competentes, cuando así lo requieran.

Esto implica un deber de custodia y trazabilidad, pero no conlleva, por sí mismo, una obligación de publicidad general ni de divulgación automática.

En el caso de sistemas utilizados en entornos no públicos (por ejemplo, por entidades privadas), se mantiene igualmente el deber de realizar y conservar la FRIA, sin que exista, en la actualidad, un mandato de publicación o registro público centralizado.

6.2 ¿Es recomendable su publicación voluntaria?

Aunque no sea obligatorio, la publicación parcial o total de una FRIA, o de un resumen ejecutivo accesible, puede ser una buena práctica de transparencia y responsabilidad algorítmica, especialmente en contextos como:

• Contrataciones públicas tecnológicas.
• Proyectos piloto con financiación pública o europea.
• Procesos automatizados que afecten a colectivos vulnerables.
• Sistemas cuyo impacto social o jurídico sea significativo.

Además, la publicación voluntaria puede fortalecer la confianza del público, facilitar la auditoría externa y actuar como mecanismo preventivo ante riesgos reputacionales o contenciosos legales.

Tanto la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) como la AI Office de la Comisión Europea tienen la facultad de requerir el acceso a la FRIA en el ejercicio de sus funciones de inspección, control de mercado o supervisión del cumplimiento del RIA.

La ausencia o deficiencia de esta documentación puede constituir un incumplimiento sancionable.

7. ¿Qué relación existe entre la FRIA y otras obligaciones del Reglamento de IA?  

La evaluación FRIA es sólo una de las múltiples obligaciones que establece el RIA para los sistemas de IA de alto riesgo. Se trata de un instrumento conectado funcionalmente con el resto de requisitos regulatorios, cuyo objetivo conjunto es garantizar el despliegue seguro, confiable y respetuoso con los derechos fundamentales de estos sistemas.

El RIA articula una arquitectura jurídica basada en la gestión proactiva de riesgos. En este marco, la FRIA se inserta dentro de un conjunto más amplio de obligaciones que deben desplegarse de forma coordinada. Algunas de las más relevantes son:

7.1 Sistema de gestión del riesgo (art. 9 RIA)

Los proveedores de sistemas de IA de alto riesgo deben establecer y mantener un sistema de gestión de riesgos que contemple:

• Identificación de riesgos.
• Evaluación continua de su evolución.
• Implementación de medidas de mitigación.

La FRIA, aunque exigida principalmente a usuarios públicos, se alinea metodológicamente con este sistema, y sus resultados pueden retroalimentar el análisis de riesgo general del sistema.

7.2 Evaluación de conformidad (arts. 43 y ss.)

Antes de su comercialización, los sistemas de IA de alto riesgo deben someterse a una evaluación de conformidad para verificar que cumplen con todos los requisitos técnicos y jurídicos del RIA. Aunque esta evaluación recae en los proveedores, los hallazgos de una FRIA pueden ser relevantes para acreditar la adecuación del sistema desde el punto de vista del respeto a los derechos fundamentales.

7.3 Supervisión humana (art. 14)

El diseño del sistema debe prever mecanismos efectivos de supervisión humana significativa. La FRIA puede ayudar a:

• Identificar puntos críticos que requieren intervención humana.
• Justificar el nivel de autonomía técnica permitido.
• Proponer medidas que garanticen la intervención o rectificación por parte de personas responsables.

7.4 Transparencia y explicabilidad (art. 13)

La obligación de proporcionar a los usuarios información clara sobre el funcionamiento del sistema se vincula directamente con los derechos analizados en la FRIA (libertad, autonomía individual, no discriminación, etc.). La FRIA puede servir como base para cumplir con estas exigencias.

7.5 Registro y trazabilidad (arts. 12 y 60)

La documentación generada a través de la FRIA contribuye a los deberes de trazabilidad y conservación de registros que impone el RIA. Puede formar parte del expediente técnico o del repositorio documental obligatorio.

7.6 Sinergia con otras evaluaciones: PIA, DPIA y más

Además de sus vínculos internos con el RIA, la FRIA se relaciona con otras evaluaciones de impacto reguladas en distintos instrumentos jurídicos, especialmente:

• La Evaluación de Impacto en Protección de Datos (PIA) del artículo 35 del RGPD, cuando el sistema trate datos personales.
• Las evaluaciones éticas o sociales voluntarias en proyectos de innovación tecnológica, especialmente cuando exista financiación pública o comunitaria.
• Las evaluaciones previas al desarrollo normativo, previstas en el derecho administrativo, si el sistema se implementa mediante regulación.

En este contexto, la FRIA puede:

• Servir de puente entre lo técnico y lo jurídico.
• Integrarse en un procedimiento único con otras evaluaciones, evitando duplicidades.
• Aportar elementos relevantes a la toma de decisiones estratégicas o institucionales.

8. ¿Qué implicaciones tiene no realizar una FRIA cuando es obligatoria?

La evaluación FRIA es una obligación prevista en el artículo 27 del RIA para usuarios de sistemas de IA de alto riesgo, especialmente en el sector público. Su omisión constituye una infracción normativa y puede afectar directamente a la legalidad del uso del sistema.

No disponer de una FRIA válida puede considerarse un defecto de conformidad, comprometer la puesta en servicio del sistema e incluso ser interpretado como una falta de diligencia. Esto se traduce en posibles consecuencias jurídicas, contractuales y reputacionales, particularmente graves en entornos institucionales.

El RIA establece un régimen sancionador que prevé multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual, además de la posibilidad de que las autoridades competentes, como AESIA o la AI Office, suspendan o retiren el sistema del mercado.

Más allá del plano legal, la ausencia de esta evaluación también debilita la trazabilidad, la transparencia y la capacidad de defensa ante auditorías o reclamaciones. En sectores especialmente sensibles, como justicia, sanidad o educación, no realizar una FRIA puede suponer una pérdida de legitimidad e incrementar el riesgo institucional.

La correcta elaboración de la evaluación FRIA constituye una garantía sustantiva en la construcción de sistemas de inteligencia artificial responsables y respetuosos con los derechos fundamentales. Comprender su alcance, su momento procedimental y su articulación con el resto del marco normativo europeo es esencial para asegurar el cumplimiento del RIA y anticipar riesgos jurídicos y operativos.

Si necesitas asesoramiento especializado en la evaluación de impacto o en la implementación de sistemas de IA conforme al nuevo marco europeo, es fundamental contar con abogados expertos en inteligencia artificial que conozcan en profundidad la normativa, los estándares técnicos y los principios que rigen esta nueva era regulatoria.