Plantilla de evaluación de impacto de IA (Reglamento de IA, 2026)
Plantilla de evaluación de impacto de IA: finalidad, personas afectadas, riesgos, mitigaciones, supervisión humana, y cómo alimenta la EIDF del artículo 27.
Una evaluación de impacto de IA es la práctica; la ley es lo que esa práctica alimenta. El Reglamento de IA, Reglamento (UE) 2024/1689, nunca usa la expresión «evaluación de impacto de IA» —pero una única evaluación estructurada de a quién afecta un sistema de IA, qué podría salir mal y qué has hecho al respecto es la entrada que rellena a la vez tres deberes legales distintos: la evaluación de impacto relativa a los derechos fundamentales (EIDF) del artículo 27, el sistema de gestión de riesgos del artículo 9 y, cuando hay datos personales de por medio, una evaluación de impacto relativa a la protección de datos (EIPD) del artículo 35 del RGPD. Construye una buena evaluación y dejas de escribir los mismos hechos tres veces.
Esta plantilla es deliberadamente más amplia que la EIDF legal. La EIDF es un documento estrecho y obligatorio, exigido solo a determinados responsables del despliegue (véase más abajo). La evaluación de impacto de IA de aquí es una práctica voluntaria y de uso general que puedes aplicar a cualquier sistema de IA —de alto riesgo o no, proveedor o responsable del despliegue— para decidir pronto si vale la pena construir un sistema, qué controles necesita y qué documentos formales tendrá que producir al final. Piénsala como la puerta de entrada que encamina un sistema hacia el papeleo legal adecuado.
Qué es esta evaluación, y qué no es
Una evaluación de impacto de IA general capta, en un solo lugar: la finalidad del sistema, las personas a las que afecta, los riesgos para su salud, seguridad y derechos fundamentales, las mitigaciones aplicadas y la supervisión vigente. Es una práctica de gestión, no un documento jurídico en sí mismo. Solo adquiere carga jurídica cuando su contenido se traslada a un documento que el Reglamento sí exige.
Tres de esos documentos son los que más importan, y no son intercambiables:
| Documento | Fuente jurídica | Quién debe producirlo | Alcance |
|---|---|---|---|
| EIDF | Artículo 27 | Responsables del despliegue que son organismos públicos + responsables del despliegue de sistemas de solvencia (anexo III 5(b)) y de seguros de vida/salud (5(c)) | Impacto en los derechos fundamentales |
| Sistema de gestión de riesgos | Artículo 9 | Proveedores de sistemas de alto riesgo | Riesgos para la salud, la seguridad y los derechos fundamentales a lo largo del ciclo de vida |
| EIPD | Artículo 35 del RGPD | Responsables del tratamiento, cuando el tratamiento es de alto riesgo para los interesados | Riesgos para los datos personales |
La EIDF y la EIPD se solapan, pero no son lo mismo. El artículo 27, apartado 4 es explícito en que una EIDF puede apoyarse en una EIPD ya realizada —así que hacer la evaluación de impacto una sola vez, en una estructura compartida, es exactamente lo que el Reglamento invita a hacer—. Tras el Ómnibus Digital, ese apartado permite además remitirse a las partes pertinentes de la EIPD o incorporarlas, y el artículo 27, apartado 5 prevé que la Oficina de IA facilite un cuestionario modelo con una herramienta automatizada.
Quién debe de verdad una EIDF (y quién no)
Aquí es donde la mayoría de los equipos sobredimensiona el alcance. La EIDF del artículo 27 no es un deber de todo responsable del despliegue de un sistema de alto riesgo. Vincula a dos grupos: (1) los responsables del despliegue que son organismos públicos u operadores privados que prestan servicios públicos, y (2) los responsables del despliegue de dos tipos concretos de sistemas del anexo III —solvencia/puntuación crediticia (anexo III 5(b)) y evaluación de riesgos y fijación de precios en seguros de vida y salud (5(c))—. Un fabricante privado que despliega una herramienta de selección de alto riesgo no debe, solo por eso, una EIDF —aunque sigue teniendo deberes de responsable del despliegue conforme al artículo 26, y el proveedor sigue debiendo el sistema de gestión de riesgos del artículo 9—.
Así que la evaluación de impacto de IA sirve a dos lectores. El proveedor la usa para sembrar el artículo 9. El responsable del despliegue en el ámbito la usa para sembrar la EIDF del artículo 27. Los demás la usan como buena práctica y como el rastro de pruebas que una autoridad pedirá conforme al artículo 26.
La salvedad de la fecha límite
Para los sistemas autónomos de alto riesgo (anexo III, artículo 6, apartado 2), los requisitos de alto riesgo —incluidos el sistema de gestión de riesgos del artículo 9 y la EIDF del artículo 27— están atados a la fecha de aplicación del alto riesgo: el 2 de diciembre de 2027, fijado por el Ómnibus Digital —Reglamento (UE) 2026/1744, publicado en el Diario Oficial el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026— en lugar del 2 de agosto de 2026 original. Planifica con el 2 de diciembre de 2027 como fecha de aplicación. Hacer una evaluación de impacto de IA ahora, antes de que muerda esa fecha, es la jugada barata.
La plantilla — campos que captar
1. Identificación y finalidad del sistema — nombre, versión, responsable; la finalidad prevista en términos llanos; si actúas como proveedor (art. 16) o responsable del despliegue (art. 26); clasificación de riesgo preliminar conforme a los artículos 5 y 6.
2. Personas y grupos afectados — quién está sujeto a las salidas del sistema o se ve afectado por ellas (solicitantes, pacientes, clientes, empleados, el público); grupos vulnerables; cifras estimadas y frecuencia de uso.
3. Riesgos para la salud, la seguridad y los derechos fundamentales — los daños concretos: discriminación, pérdida de acceso a un servicio, fallo de seguridad, intrusión en la privacidad, falta de vías de reparación. Asigna cada uno al derecho y al grupo afectado. Esta es la columna que fluye directamente a una EIDF.
4. Riesgo para los interesados (vínculo con la EIPD) — datos personales tratados; base jurídica; la referencia de la EIPD del artículo 35 del RGPD cuando exista o se requiera.
5. Mitigaciones — medidas técnicas y organizativas que reducen cada riesgo; riesgo residual tras la mitigación; lo que no se puede mitigar y la decisión de proceder (o no).
6. Supervisión humana — el diseño de supervisión del artículo 14 (para los proveedores) y las personas competentes asignadas para operarla (deber del responsable del despliegue, artículo 26); cómo un supervisor puede intervenir, anular o detener.
7. Gobernanza y revisión — responsable, aprobación, desencadenante de revisión (cambio de modelo, nuevos datos, incidente) y el vínculo con el registro de gestión de riesgos del artículo 9 y, cuando proceda, la EIDF del artículo 27.
Ejemplo resuelto: la herramienta de triaje de prestaciones de una autoridad municipal
Stadtwerk Nordhafen, un organismo de servicios municipales con unos 240 empleados que sirve a una ciudad alemana de tamaño medio, planea desplegar un sistema de alto riesgo que tría las solicitudes de ayudas a la vivienda (anexo III, acceso a servicios públicos esenciales). Como es un organismo público que despliega un sistema de alto riesgo, debe una EIDF del artículo 27. En lugar de empezar el formulario de EIDF en frío, hace primero la evaluación de impacto de IA: enumera las personas afectadas (unos 9.000 solicitantes al año, incluidos residentes mayores y con discapacidad), nombra los derechos en juego (acceso a la asistencia social, no discriminación, el derecho a una decisión motivada) y registra el riesgo de que la herramienta despriorice los casos no estándar. Asigna a dos trabajadores sociales formados como supervisores competentes del artículo 14 conforme al artículo 26, que pueden anular cualquier resultado de triaje. Reutiliza su EIPD existente del artículo 35 del RGPD para la sección de protección de datos conforme al artículo 27, apartado 4. La evaluación completa rellena entonces la EIDF directamente —un análisis, dos documentos, sin contradicción entre ellos—.
Cómo ayuda Confir
Confir ejecuta el análisis de impacto como una entrada estructurada —finalidad, personas afectadas, riesgos para los derechos fundamentales, mitigaciones y supervisión del artículo 14— y encamina las respuestas a la salida adecuada: la EIDF del artículo 27 para los responsables del despliegue en el ámbito, el registro de gestión de riesgos del artículo 9 para los proveedores, y una referencia cruzada a la EIPD del RGPD para que los dos nunca se dupliquen. Como la lógica es determinista y basada en reglas, los mismos hechos producen el mismo encaminamiento y el mismo resultado cada vez, con la regla que se activó a la vista en lenguaje sencillo.
Guías relacionadas
- Evaluación de impacto relativa a los derechos fundamentales (EIDF) del artículo 27
- Plantilla de EIDF
- EIDF frente a EIPD: en qué se diferencian
- Sistema de gestión de riesgos del artículo 9
- Plantilla de plan de gestión de riesgos
- Intersección del RGPD y el Reglamento de IA
- Obligaciones del responsable del despliegue conforme al Reglamento de IA
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →