Redactado por Daniel Fernández-Viagas Gallego, quien es (entre otras muchas cosas) Auditor Interno y Lead Auditor en norma ISO 27001:2022, ISO 9001,14001 y 20000. 20 años de experiencia integrando sistemas de gestión. DPD certificado según esquema de la AEPD desde 2019, CDPP por el ISMS Forum, técnico de ciberseguridad por INCIBE (España), premio 2024 de la Agencia Española de protección de datos a la difusión del derecho fundamental a la protección de datos en redes sociales. Docente de numerosos proyectos formativos en España relacionados con privacidad y protección de datos desde 2010, así como en proyectos internacionales con USACH en Chile, Ecuador o Perú (…)
A) Introducción:
Con la aparición de nuevas tecnologías, cada vez mas disruptivas y algunas altamente intrusivas, se hace necesario evaluar los riesgos que pueden ocasionar tanto en el presente como a futuro.
El enfoque de la gestión del riesgo es esencial, teniendo claro que este riesgo real es hacía los derechos y libertades de los interesados o afectados, sobre los datos que estamos tratando, usando o sobre casos de uso de IA que afecten directamente a las personas.
Dos instrumentos centrales en este cometido son la Evaluación de Impacto sobre los Derechos Fundamentales (FRIA, por sus siglas en inglés) y la Evaluación de Impacto en Protección de Datos (EIPD). Ambas metodologías, aunque con focos y detonantes normativos distintos, comparten un núcleo: la identificación y mitigación de los riesgos que generan los tratamientos de datos personales y el despliegue de sistemas de IA sobre los titulares de derechos, es decir, las personas afectadas por la tecnología, no las organizaciones que la desarrollan o explotan.
B) El eje antropocéntrico. Protección de la persona titular de derechos:
Tanto el Reglamento General de Protección de Datos (RGPD) como el Reglamento de Inteligencia Artificial (RIA) y los modelos FRIA-EIPD que derivan de ellos, parten de un principio axial: el riesgo tiene sentido únicamente en la medida en que afecta a los derechos de las personas cuyos datos son objeto de tratamiento o sobre quienes se despliega un sistema de IA. Es decir, se trata de un enfoque antropocéntrico y no meramente organizacional. En la gestión del riesgo se tiende a tener una visión de cumplimiento y de protección del negocio, es lógico puesto que se pretende que la empresa que va a tratar datos o que va a usar una solución de IA no quiere incumplir la norma y para ello debe evaluar y gestionar sus riesgos.
Pero además del análisis de riesgos que la organización realice para detectar, evaluar y mitigar los riesgos derivados del tratamiento y uso de IA, debe calcular el potencial riesgo para el usuario final, con especial foco en el riesgo a sus derechos y libertades. En ese momento debe cambiar la visión, hacerlo de una forma neutral y pensando en el usuario final, uno de los puntos mas complicados de realizar, puesto que requiere una alta madurez de la organización.
C) Cambiando el punto de vista del riesgo:
Tradicionalmente, los análisis de riesgos en tecnologías de la información tendían a centrarse en los peligros para la organización: reputación, sanciones, pérdidas económicas, etc. El RGPD y el RIA invierten esta perspectiva para situar en el centro los potenciales efectos negativos sobre los derechos y libertades de los interesados. Así, se consideran riesgos como la discriminación, el menoscabo de la privacidad, el acceso restringido a servicios o la toma de decisiones automatizadas que afecten considerablemente a la persona. No quiere decir que el análisis de riesgos tradicional no nos sirva, pero debe ser complementado, por ejemplo, si hacemos un análisis de riesgos a la confidencialidad, integridad y disponibilidad de la información, deberemos añadir un par de items y analizar el riesgo a derechos y libertades y la consecuencia si se produce una brecha de seguridad o violación de datos personales.
D) La EIPD y el riesgo a derechos y libertades:
La EIPD, recogida en el artículo 35 del RGPD, requiere que el responsable del tratamiento realice, antes de iniciar el tratamiento o cuando se modifique sustancialmente, una evaluación sistemática de los efectos que puede generar dicho tratamiento para los derechos y libertades de las personas físicas. Deberá especialmente considerarse la probabilidad y gravedad del riesgo, y proponer garantías sustantivas y organizativas para mitigarlos. Ejes centrales de la EIPD son la idoneidad del tratamiento, la necesidad del mismo, que deberá estar muy justificada, sobre todo la proporcionalidad del tratamiento. No es un mero documento, es una herramienta que nos da visibilidad, ayuda a la organización y proporciona un estudio minucioso antes de realizar el tratamiento de datos personales. Requiere que se haga desde un equipo multidisciplinar y que el DPO intervenga asesorando y realizando el memorándum final para ayudar al responsable del tratamiento.
El enfoque se centra en:
• 1) Derechos individuales (acceso, rectificación, supresión, etc.). El usuario debe tener control sobre sus datos y debe poder ejercitar sus derechos.
• 2) Libertades fundamentales (intimidad, no discriminación, libertad de expresión…).
• 3) Se valoran tanto impactos directos como indirectos, previstos o posibles. A su vez, debemos tener en cuenta una posible brecha de seguridad en el tratamiento y sus consecuencias.
El RGPD exige, particularmente, una visión cualitativa y centrada en la afectación al individuo: no basta con mitigar amenazas técnicas, sino que toda acción debe justificarse bajo el prisma de la proporcionalidad y la necesidad respecto al derecho afectado.
E) FRIA: El avance en la óptica de riesgos con IA:
Con la entrada en vigor del RIA, la UE introduce la FRIA, reforzando y ampliando la lógica del análisis de riesgo a derechos fundamentales más allá de la protección de datos: comprende la dignidad, igualdad, acceso a servicios, libertad de expresión, salud, y otros consagrados en la Carta de Derechos Fundamentales de la UE.
El RIA obliga a responsables públicos y privados que desplieguen determinados sistemas de IA de alto riesgo a realizar una evaluación del impacto en estos derechos antes de su primer uso y a lo largo del ciclo de vida del sistema. Esto es fundamental, no solo en la fase de diseño de la solución o caso de uso, debemos tener previstas las posibles consecuencias a largo plazo
La FRIA surge como respuesta a dos grandes cuestiones:
• Rápida expansión de la IA: El avance y la implantación acelerada de sistemas de IA en sectores clave (educación, salud, justicia, administración pública, recursos humanos) implican la toma de decisiones automatizadas o asistidas por IA que pueden tener impactos significativos sobre derechos fundamentales, por ejemplo, el derecho a la no discriminación, a la intimidad, a la protección de datos, a la libertad de expresión y de reunión, al acceso a servicios esenciales, etc.
• Limitación de los marcos previos: Antes del RIA, el marco normativo europeo se centraba sobre todo en la protección de datos personales (mediante, por ejemplo, el RGPD). Sin embargo, los efectos sociales y jurídicos de la IA desbordan ampliamente estos aspectos: una IA puede infringir derechos fundamentales, aunque no trate datos personales. El RIA reconoce explícitamente la necesidad de ir más allá del enfoque datos centrado y pide una evaluación holística orientada a los derechos fundamentales.
F) Necesidad de la FRIA:
La evaluación de impacto sobre los derechos fundamentales es necesaria por varias razones:
Riesgo significativo: Los sistemas de IA, sobre todo los de alto riesgo según el RIA presentan posibilidades concretas de causar daños sustanciales a colectivos o personas: discriminación algorítmica, marginación de grupos vulnerables, vulneración de la privacidad, afectación a la dignidad, etc.
Obligación legal: El artículo 27 del RIA establece que toda entidad (pública y, en ciertas circunstancias, privada) que despliegue sistemas de IA de alto riesgo debe realizar una FRIA antes de su puesta en funcionamiento, identificando los riesgos para los derechos fundamentales y proponiendo medidas de prevención o mitigación.
Enfoque proactivo: Se trata de una herramienta preventiva y no meramente reactiva. El objetivo es que las organizaciones diseñen, desarrollen e implementen los sistemas de IA teniendo en cuenta desde el inicio el respeto efectivo a los derechos fundamentales (“by design” y “by default”), y corrijan o replanteen aquellos usos donde los riesgos sean demasiado altos o inasumibles.
Complementariedad con otras evaluaciones: Si la organización ya ha hecho una Evaluación de Impacto en Protección de Datos (EIPD, p.ej., según el RGPD), la FRIA no la duplica, sino que la complementa: la FRIA cubre un rango más amplio de derechos y escenarios, y el RIA prevé que ambas se coordinen. También puede complementar un análisis de riesgos previo realizado por la organización.
Objetivos de la FRIA:
Los principales objetivos de la FRIA son:
• Identificar derechos y colectivos afectados: Analiza exhaustivamente qué derechos fundamentales pueden verse afectados antes, durante y después del despliegue del sistema de IA, y qué categorías de personas o grupos (incluyendo colectivos vulnerables) pueden estar en riesgo.
• Evaluar riesgos de la IA: La FRIA no se limita a identificar los riesgos, sino que los evalúa de manera sistemática, considerando variables como la probabilidad, la severidad del daño, la exposición y la dificultad de revertir posibles efectos adversos.
• Diseñar medidas de mitigación: Propone, desde la fase de diseño, controles, salvaguardas técnicas y organizativas destinados a prevenir, reducir o eliminar los impactos negativos previstos sobre los derechos fundamentales.
• Ofrecer un marco de gobernanza y rendición de cuentas: Garantiza la trazabilidad de la toma de decisiones, la supervisión humana adecuada, la transparencia ante la sociedad y las autoridades, y el cumplimiento documentado de esta obligación.
• Garantizar la adaptabilidad y revisión: La FRIA se concibe como un proceso iterativo, que debe actualizarse ante cambios tecnológicos, organizativos, legales o sociales que varíen el contexto o los riesgos asociados al sistema de IA. Recuerda, es un documento vivo que debe ser revisado y adaptado si se producen cambios.
En definitiva, la FRIA es:
• Una herramienta jurídica, ética y técnica integrada en el ciclo de vida de la IA.
• Un requisito legal en la UE (fruto del RIA) para sistemas de IA de alto riesgo.
• Una obligación y una oportunidad para toda organización que quiere desarrollar IA confiable, centrada en el ser humano y alineada con los valores europeos.
• No se trata solo de cumplir con la ley, sino de anticipar y evitar los posibles impactos negativos de la IA y así consolidar la confianza social en el desarrollo y uso responsable de estas tecnologías en Europa y a escala internacional.
Este análisis implica:
• Identificar los derechos o colectivos afectados.
• Estimar la probabilidad y gravedad del menoscabo a cada derecho potencialmente afectado, sin compensar unas áreas con otras.
• Documentar y justificar las medidas de prevención y control, así como los riesgos residuales que, en su caso, deban ser asumidos, documentados o comunicados a la autoridad supervisora.
• La metodología FRIA incorpora matrices y parámetros concretos para evaluar la probabilidad (combinando probabilidad y grado de exposición), gravedad (incluyendo intensidad y dificultad para revertir el perjuicio), e impacto global, para cada derecho individualmente considerado.
Comparación y complementariedad: EIPD y FRIA
Ambos instrumentos comparten una filosofía de “accountability” robusta y enfoque proactivo: el gestor o desarrollador no solo debe cumplir la ley, sino demostrar que tenía previsto y gestionó adecuadamente los riesgos para los derechos afectados. Las diferencias principales radican en:
Cobertura de derechos: La EIPD se centra en los derechos relativos a la protección de datos y privacidad, mientras que la FRIA extiende el análisis a todos los derechos fundamentales potencialmente impactados por la IA.
Obligatoriedad:
La EIPD se activa ante “alto riesgo” para los derechos establecidos en el RGPD, típicamente asociado a nuevos tratamientos, tecnologías emergentes, gran escala o datos especialmente sensibles. La FRIA se requiere para sistemas de IA de alto riesgo según listado sectorial (educación, empleo, salud, seguridad, etc.) y exige una revisión integral, contextual y dinámica.
Cabe destacar, por mandato legal, que cuando ambos instrumentos resultan preceptivos, por ejemplo, cuando un sistema de IA de alto riesgo trata datos personales, la FRIA complementa a la EIPD, no la sustituye, y puede basarse en elementos ya analizados en la EIPD.
De la seguridad técnica a la gobernanza ética:
La evolución desde la EIPD hacia la FRIA muestra que el análisis de riesgos va más allá del cumplimiento formalista: el núcleo es garantizar de manera efectiva y verificable los derechos de las personas afectadas, desde la fase de diseño hasta la explotación y actualización del sistema tecnológico. Tanto legislador como supervisor entienden que el verdadero desafío no es solo reducir la probabilidad de incidentes, sino anticipar y mitigar cómo la introducción de nuevas tecnologías puede alterar el ejercicio real y efectivo de los derechos fundamentales de los ciudadanos en la sociedad digital.
El modelo europeo, reflejado en estas herramientas, representa, así, una apuesta consciente y diferenciadora por una gobernanza tecnológica centrada en el ser humano, en la que el respeto a los derechos de sus titulares constituye no solo el fin último, sino también el criterio rector de todo el proceso de innovación y explotación tecnológica.
Es un modelo de avance, de innovación y de mejora, pero sin perder de vista los valores de respeto a derechos fundamentales, no se trata de frenar la innovación, se trata de hacer el camino de la forma más ética posible.
Daniel Fernández-Viagas Gallego
Sevilla, a martes 19 de agosto del 2025
Perfil de LinkedIn para contacto, disponible en:
https://www.linkedin.com/in/daniel-fern%C3%A1ndez-viagas-gallego-716446174/?originalSubdomain=es