¿Quién necesita realmente una EIDF? El alcance estrecho del Artículo 27
¿Quién necesita una EIDF? El Artículo 27 vincula a organismos públicos, prestadores de servicios públicos, solvencia y seguros de vida/salud — antes del primer uso, para el 2 de diciembre de 2027.
Con arreglo al Artículo 27 del Reglamento (UE) 2024/1689, la Ley de IA de la UE, la evaluación de impacto relativa a los derechos fundamentales (EIDF) vincula a un conjunto reducido de responsables del despliegue. Es una obligación del responsable del despliegue, nunca una obligación del proveedor como tal, y alcanza únicamente a tres categorías de responsables del despliegue: los organismos de Derecho público, las entidades privadas que prestan servicios públicos, y cualquier responsable del despliegue de sistemas de puntuación crediticia o de seguros de vida y salud del Anexo III. Cada uno debe completar la evaluación antes del primer uso del sistema de alto riesgo.
Todos los demás que despliegan IA de alto riesgo del Anexo III, incluida la mayoría de las empresas privadas, deben cumplir los deberes del responsable del despliegue del Artículo 26 pero ninguna EIDF. La obligación sigue el calendario del Anexo III: aplazada del 2 de agosto de 2026 al 2 de diciembre de 2027 con el Digital Omnibus, adoptado en junio de 2026 (Parlamento Europeo el 16 de junio, Consejo el 29 de junio). Este capítulo expone los tres desencadenantes, la exclusión, los seis contenidos exigidos, las reglas de plazos y una tabla de decisión para pasar por ella tu inventario de IA.
La respuesta corta: un conjunto reducido de organizaciones
Una obligación del responsable del despliegue, no del proveedor — Artículo 3(4)
El Artículo 27 se dirige a los responsables del despliegue. Con arreglo al Artículo 3(4), un responsable del despliegue es cualquier persona física o jurídica, autoridad pública, agencia u otro organismo que utilice un sistema de IA bajo su autoridad, fuera de un uso personal no profesional. Los proveedores como tales nunca quedan alcanzados. La EIDF evalúa el contexto de despliegue, que el proveedor no puede conocer de antemano.
La única forma de que un proveedor deba una EIDF es siendo también responsable del despliegue. Un organismo público que construye internamente un sistema de puntuación de elegibilidad y lo aplica a sus propios ciudadanos lleva ambos sombreros, y el sombrero de responsable del despliegue arrastra la EIDF. Para el texto legal, consulta el Artículo 27 completo. Este capítulo asume que tu sistema ya está clasificado como de alto riesgo con arreglo al Artículo 6(2) y al Anexo III.
Tres desencadenantes, una exclusión — Artículo 27(1)
El Artículo 27(1) nombra exactamente tres categorías de desencadenante, todas ligadas a los sistemas de alto riesgo mencionados en el Artículo 6(2):
- los organismos de Derecho público que despliegan cualquier sistema del Anexo III;
- las entidades privadas que prestan servicios públicos que despliegan cualquier sistema del Anexo III;
- cualquier responsable del despliegue, público o privado, de sistemas de puntuación crediticia del Anexo III punto 5(b) o de sistemas de evaluación de riesgos y fijación de precios de seguros de vida y salud del punto 5(c).
Hay una exclusión incorporada. Los sistemas destinados a utilizarse como componentes de seguridad en infraestructuras críticas (Anexo III punto 2) quedan excluidos del deber de EIDF, incluso cuando el responsable del despliegue es un organismo público. Así que la mayoría de los despliegues del sector privado del Anexo III no desencadenan nada aquí. Una empresa privada que ejecuta IA de cribado de contratación con arreglo al Anexo III punto 4(a) debe el conjunto completo de deberes del responsable del despliegue del Artículo 26, pero ninguna EIDF.
Los tres desencadenantes del Artículo 27 en detalle
Organismos de Derecho público
El primer desencadenante abarca el sector público en el sentido amplio de la UE: ministerios, municipios, autoridades regionales, agencias ejecutivas, tribunales, universidades públicas y hospitales públicos. Si tal organismo despliega cualquier sistema de alto riesgo del Anexo III, ya sea la calificación de exámenes, la elegibilidad para prestaciones sociales o la clasificación de expedientes de migración, se debe la EIDF antes del primer uso. La única excepción es la exclusión del Anexo III punto 2 mencionada arriba.
Entidades privadas que prestan servicios públicos — Considerando 96
El segundo desencadenante alcanza a las organizaciones privadas que prestan servicios de naturaleza pública. El texto operativo no define exhaustivamente los servicios públicos. El Considerando 96 es el mejor anclaje interpretativo, y apunta a la educación, la sanidad, los servicios sociales, la vivienda y la administración de justicia. Una clínica de propiedad privada que presta atención financiada con fondos públicos, un operador privado que asigna vivienda social, un contratista que gestiona flujos de trabajo de justicia administrativa: todos se sitúan dentro de la lógica de la EIDF pese a su propiedad privada.
Aquí hay una zona gris real, porque el texto operativo deja el término abierto y la práctica nacional puede variar en los márgenes. Si tu modelo se sitúa cerca del límite (prestado de forma privada, financiado con fondos públicos, esencial para el acceso), planifica a favor de la EIDF y no en contra.
Puntuación crediticia y seguros de vida/salud — Anexo III puntos 5(b) y 5(c)
El tercer desencadenante es sectorial, no de estatus. Cualquier responsable del despliegue de un sistema del Anexo III punto 5(b), es decir, la evaluación de solvencia y la puntuación crediticia de personas físicas, con una excepción expresa para la detección de fraude financiero, debe una EIDF. También la debe cualquier responsable del despliegue de un sistema del punto 5(c) de evaluación de riesgos y fijación de precios de personas físicas en seguros de vida y salud. Un banco o una aseguradora totalmente privados quedan alcanzados solo por este motivo. La guía sobre la IA de puntuación crediticia recorre el límite del 5(b) en detalle.
El punto 5(c) tiene un límite claro: cubre únicamente los seguros de vida y salud. La fijación de precios de los seguros de automóvil, de bienes o de responsabilidad civil queda fuera del punto 5(c) y no desencadena el Artículo 27 por este motivo.
Quién necesita una EIDF: la tabla de decisión
Cómo leer la tabla
Pasa cada sistema del Anexo III de tu inventario por los tres desencadenantes, y después aplica la exclusión del punto 2. Solo los aciertos van al calendario de la EIDF. Los fallos permanecen en tu lista de comprobación del Artículo 26.
| Responsable del despliegue | Sistema y punto del Anexo III | Desencadenante | ¿EIDF exigida? |
|---|---|---|---|
| Ministerio | IA de elegibilidad para prestaciones sociales — punto 5(a) | Organismo de Derecho público | Sí |
| Municipio | IA de calificación de exámenes — punto 3 | Organismo de Derecho público | Sí |
| Clínica privada, atención financiada con fondos públicos | IA de triaje de pacientes urgentes — punto 5(d) | Entidad privada que presta servicios públicos | Sí |
| Banco privado | IA de puntuación crediticia — punto 5(b) | Desencadenante sectorial — cualquier responsable del despliegue | Sí |
| Aseguradora | IA de evaluación de riesgos y fijación de precios de vida/salud — punto 5(c) | Desencadenante sectorial — cualquier responsable del despliegue | Sí |
| Empresa privada | IA de cribado de contratación — punto 4(a) | Ninguno — los deberes del Artículo 26 siguen aplicándose | No |
| Aseguradora | IA de fijación de precios de automóvil o bienes | Fuera del punto 5(c) | No |
| Proveedor SaaS que vende, no despliega | Cualquier sistema de alto riesgo | Solo el rol de proveedor | No |
| Operador de red, aun siendo organismo público | IA de seguridad de infraestructuras críticas — punto 2 | Exclusión expresa del Artículo 27(1) | No |
Los casos límite que la tabla resuelve
Tres filas zanjan las confusiones más habituales. La fila de contratación confirma que la clasificación de alto riesgo por sí sola nunca crea un deber de EIDF para un responsable del despliegue privado ordinario. La fila de SaaS confirma que vender un sistema no es desplegarlo. La fila del operador de red confirma que la exclusión gana al desencadenante del organismo público: los sistemas del Anexo III punto 2 están exentos de EIDF incluso en manos públicas.
Qué debe contener la EIDF: seis elementos exigidos
Los seis elementos — Artículo 27(1)(a)–(f)
La EIDF no es de forma libre. El Artículo 27(1) prescribe seis elementos:
- una descripción de los procesos del responsable del despliegue en los que se utilizará el sistema de alto riesgo, en consonancia con su finalidad prevista;
- el periodo de tiempo y la frecuencia con que se pretende utilizar el sistema;
- las categorías de personas físicas y grupos que puedan verse afectados en el contexto específico de uso;
- los riesgos concretos de perjuicio que puedan repercutir en esas categorías, teniendo en cuenta la información que el proveedor facilita en las instrucciones de uso del Artículo 13;
- una descripción de cómo se aplicarán las medidas de supervisión humana, de nuevo siguiendo las instrucciones de uso;
- las medidas que se adoptarán si esos riesgos se materializan — incluidas las disposiciones de gobernanza interna y los mecanismos de reclamación.
El elemento cuatro soporta la mayor parte del peso analítico: convierte las divulgaciones generales de riesgo del proveedor en una exposición específica del despliegue para las personas que tu sistema toca realmente.
Uso de la plantilla de la Oficina de IA — Artículo 27(5)
El Artículo 27(5) encarga a la Oficina de IA elaborar un cuestionario de plantilla, incluida una herramienta automatizada, para aliviar la carga de los responsables del despliegue. No necesitas esperarla. La plantilla de EIDF te da una estructura funcional correspondida elemento por elemento con el Artículo 27(1)(a)–(f), lista para completar a partir de las instrucciones de uso de tu proveedor.
Plazos: antes del primer uso, después mantenla al día
Primer uso, no cada uso — Artículo 27(1) y (2)
La EIDF debe realizarse antes de que el sistema se utilice por primera vez. Se aplica a ese primer uso. En casos similares, el Artículo 27(2) permite al responsable del despliegue apoyarse en una EIDF realizada previamente, o en una evaluación de impacto existente realizada por el proveedor, en lugar de reconstruirla desde cero para cada implantación.
Deberes de actualización y notificación — Artículo 27(2) y (3)
El deber continúa después del primer día. Si alguno de los seis elementos cambia durante el uso, como un nuevo grupo afectado, una frecuencia distinta o una supervisión revisada, el responsable del despliegue debe actualizar la evaluación. Una vez realizada la EIDF, el Artículo 27(3) exige al responsable del despliegue notificar los resultados a la autoridad de vigilancia del mercado, presentando la plantilla cumplimentada. Existe una exención estrecha de la notificación para el escenario de despliegue urgente del Artículo 46(1).
Qué plazo se aplica — 2 de diciembre de 2027
El Digital Omnibus aplaza la fecha de aplicación de alto riesgo del Anexo III del 2 de agosto de 2026 al 2 de diciembre de 2027. Fue adoptado en junio de 2026 — votación en el pleno del Parlamento Europeo el 16 de junio, adopción del Consejo el 29 de junio — y entra en vigor con su publicación en el Diario Oficial, un trámite que no cambia la fecha. La nueva fecha es una fecha de calendario fija. Se rechazó el enfoque de parar el reloj condicionado a las normas, así que no planifiques en torno a la disponibilidad de normas armonizadas.
Programа cada EIDF frente al primer uso del sistema que la desencadena, no frente al plazo reglamentario, porque el primer uso puede llegar antes.
El puente con la EIPD: apóyate en el Artículo 35 del RGPD, no dupliques
Qué puedes reutilizar de una EIPD existente — Artículo 27(4)
Cuando cualquier obligación de EIDF ya se cumple mediante una evaluación de impacto relativa a la protección de datos realizada con arreglo al Artículo 35 del RGPD, o con arreglo al Artículo 27 de la Directiva (UE) 2016/680 para el tratamiento con fines policiales, el Artículo 27(4) dispone que la EIDF complementa esa EIPD. Reutiliza la correspondencia de personas afectadas, la identificación de riesgos y el inventario de mitigaciones que ya tienes, y deja constancia de las diferencias.
En qué va la EIDF más allá de la protección de datos
El alcance de la EIDF es más amplio que los datos personales. Cubre todo el espectro de los derechos fundamentales, incluidos la no discriminación, el acceso a los servicios esenciales, la protección de los consumidores y el derecho a la tutela judicial efectiva, no solo la privacidad. La EIDF se apoya en la EIPD pero no la sustituye, y ambas pueden exigirse en paralelo para el mismo sistema. Consulta EIDF frente a EIPD para la comparación elemento por elemento y la EIPD para sistemas de IA para la vertiente del RGPD del flujo de trabajo. La secuencia eficiente parte de la EIPD existente, corresponde sus secciones con los seis elementos del Artículo 27(1), y escribe solo lo que falta. Eso es un mapeo de deficiencias, no evaluaciones duplicadas.
Ejecución: qué cuesta saltarse la EIDF
Los niveles de multa del Artículo 99
El Artículo 99(4) fija multas de hasta 15 millones de euros o el 3 % del volumen de negocio anual mundial total, la cifra que sea mayor. Enumera expresamente las obligaciones del responsable del despliegue del Artículo 26 y no enumera expresamente el Artículo 27. Por tanto, la ejecución de la EIDF discurre principalmente a través de las facultades correctoras de las autoridades de vigilancia del mercado, y no a través de un nivel de multa nombrado.
Eso no es una licencia para saltársela. El deber de notificación del Artículo 27(3) hace visibles las omisiones, y una notificación de EIDF ausente es una de las deficiencias más fáciles de detectar para una autoridad. Facilitar información incorrecta, incompleta o engañosa a las autoridades, incluida la notificación de la EIDF, arriesga multas de hasta 7,5 millones de euros o el 1 % del volumen de negocio anual mundial total con arreglo al Artículo 99(5). El tercer nivel es el 1 %, no la cifra más alta que cita algún comentario secundario. Para las pymes y las empresas emergentes, el Artículo 99(6) limita cada multa a la que sea menor de las dos, el porcentaje o el importe indicados.
Rendición de cuentas del sector público — Artículo 99(8)
Para los responsables del despliegue del sector público, la mayor circunscripción de la EIDF, el Artículo 99(8) deja a cada Estado miembro decidir en qué medida pueden imponerse multas administrativas a sus propias autoridades y organismos públicos. La rendición de cuentas discurre a través de las normas nacionales y la supervisión administrativa, y no de una multa uniforme de la UE.
Tu plan de acción de EIDF antes del 2 de diciembre de 2027
Cinco pasos que programar ahora
- Confirma la clasificación. Verifica que cada sistema es de alto riesgo del Anexo III con arreglo al Artículo 6(2). El borrador de directrices de la Comisión sobre la clasificación de alto riesgo con arreglo al Artículo 6(5), publicado el 19 de mayo de 2026, con una consulta específica abierta hasta el 23 de junio de 2026 y una versión final esperada más adelante en 2026, da ejemplos prácticos de qué entra y qué queda fuera. No son jurídicamente vinculantes: la interpretación autorizada corresponde al Tribunal de Justicia de la UE, y el texto final puede cambiar.
- Filtra cada despliegue frente a los tres desencadenantes del Artículo 27 y la exclusión del Anexo III punto 2, usando la tabla de decisión de arriba.
- Recupera tus EIPD existentes del Artículo 35 del RGPD como base y correspóndelas con los seis elementos de la EIDF.
- Redacta la EIDF con la plantilla de EIDF, cubriendo los procesos, el periodo y la frecuencia, los grupos afectados, los riesgos concretos, la supervisión humana, y las disposiciones de gobernanza y reclamación.
- Programa su finalización antes del primer uso de cada sistema desencadenante, agenda la notificación a la autoridad de vigilancia del mercado, y establece un desencadenante de revisión para cualquier cambio en los seis elementos.
Dónde encaja este capítulo en la guía
El capítulo 5 estableció qué rol tienes: proveedor, responsable del despliegue o ambos. Este capítulo resolvió si ese rol conlleva una EIDF. El capítulo 7 corrige el calendario del que depende cada plazo de esta guía, incluido el de abajo.
La decisión que debes tomar: identifica cuáles de tus sistemas del Anexo III desencadenan el Artículo 27, y después programa la EIDF antes del primer uso de cada uno, frente a la fecha de alto riesgo del 2 de diciembre de 2027 fijada por el Digital Omnibus adoptado. Si ninguno de tus sistemas la desencadena, tu trabajo continúa con los deberes del responsable del despliegue del Artículo 26. Si alguno la desencadena, la EIDF va al frente de tu plan de despliegue, no al final.
Cómo ayuda Confir
El módulo AITO de Confir (Transparencia y Supervisión Humana) ejecuta el flujo de trabajo del Artículo 27 de principio a fin. La recopilación establece primero si estás alcanzado siquiera. Filtra cada sistema registrado frente a los tres desencadenantes del Artículo 27(1) y la exclusión del Anexo III punto 2, de modo que una EIDF solo aparece en tu lista de tareas cuando el Reglamento realmente la exige. Para los despliegues que califican, el módulo te guía por los seis elementos obligatorios, extrae las entradas de riesgo de las instrucciones de uso del Artículo 13 del proveedor archivadas, señala el solapamiento con una EIPD existente del Artículo 35 del RGPD para que dejes constancia de las diferencias en lugar de duplicados, y produce una EIDF fechada y estructurada lista para la notificación a la autoridad de vigilancia del mercado.
El motor es determinista y basado en reglas. Las mismas respuestas de desencadenante producen el mismo resultado de alcance y la misma estructura de evaluación cada vez, sin inferencia de modelos ni alucinaciones. La fecha de alto riesgo está fijada en el 2 de diciembre de 2027 con arreglo al Digital Omnibus adoptado; el conjunto de reglas lo refleja, y cada plazo de EIDF afectado en tu espacio de trabajo lo sigue.
Preguntas frecuentes
¿Quién necesita una EIDF según la Ley de IA de la UE?
Los responsables del despliegue — no los proveedores — de sistemas de alto riesgo del Anexo III, y solo en tres casos: los organismos de Derecho público, las entidades privadas que prestan servicios públicos, y cualquier responsable del despliegue de sistemas de puntuación crediticia (Anexo III punto 5(b)) o de sistemas de evaluación de riesgos y fijación de precios de seguros de vida y salud (punto 5(c)). El Artículo 27 exige la evaluación antes del primer uso del sistema.
¿Necesitan las empresas privadas una evaluación de impacto relativa a los derechos fundamentales?
Normalmente no. Una empresa privada que despliega IA de contratación o de vigilancia de empleados debe los deberes del responsable del despliegue del Artículo 26 pero ninguna EIDF. El Artículo 27 alcanza a los responsables del despliegue privados solo si prestan servicios públicos — como la educación, la sanidad, los servicios sociales o la vivienda — o despliegan sistemas de puntuación crediticia o de evaluación de riesgos de seguros de vida y salud con arreglo a los puntos 5(b) y 5(c) del Anexo III.
¿Es una EIDF lo mismo que una EIPD?
No. Una EIPD con arreglo al Artículo 35 del RGPD evalúa los riesgos para los datos personales; una EIDF con arreglo al Artículo 27 evalúa los riesgos para todos los derechos fundamentales, incluidas la no discriminación y el acceso a los servicios. El Artículo 27(4) permite que la EIDF complemente una EIPD existente para que los responsables del despliegue eviten duplicar el solapamiento, pero ninguna sustituye a la otra — ambas pueden exigirse en paralelo.
¿Cuándo debe completarse una EIDF?
Antes de que el responsable del despliegue utilice por primera vez el sistema de alto riesgo, con arreglo al Artículo 27(1). Se aplica al primer uso; en casos similares los responsables del despliegue pueden apoyarse en una EIDF realizada previamente y deben actualizarla siempre que cambie algún elemento. La obligación sigue el calendario del Anexo III: aplazada del 2 de agosto de 2026 al 2 de diciembre de 2027 con el Digital Omnibus, adoptado en junio de 2026.
¿Qué debe incluir una evaluación de impacto relativa a los derechos fundamentales?
Seis elementos con arreglo al Artículo 27(1): los procesos del responsable del despliegue en los que se utilizará el sistema en consonancia con su finalidad prevista; el periodo y la frecuencia de uso; las categorías de personas y grupos que puedan verse afectados; los riesgos concretos de perjuicio para ellos; las medidas de supervisión humana que se están aplicando; y las medidas, la gobernanza interna y los mecanismos de reclamación si los riesgos se materializan.
¿Necesitan los proveedores de sistemas de IA de alto riesgo una EIDF?
No como proveedores. El Artículo 27 vincula únicamente a los responsables del despliegue. Un proveedor completa la evaluación de la conformidad, la gestión de riesgos y la documentación técnica antes de introducir el sistema en el mercado; la EIDF evalúa el contexto de despliegue que el proveedor no puede conocer. Un proveedor que también despliega su propio sistema en un contexto desencadenante — por ejemplo, un organismo público que usa IA interna — debe una EIDF en su rol de responsable del despliegue.
¿Qué pasa si no haces una EIDF?
La ejecución es menos directa que para otros deberes: el nivel de responsable del despliegue de 15 millones de euros o el 3 % del Artículo 99(4) cita expresamente el Artículo 26 y no el Artículo 27. Pero las autoridades de vigilancia del mercado tienen facultades correctoras, el deber de notificación del Artículo 27(3) expone las omisiones, y facilitar información incorrecta o engañosa a las autoridades arriesga hasta 7,5 millones de euros o el 1 % con arreglo al Artículo 99(5).