¿Qué es una evaluación de impacto sobre la protección de datos (DPIA)?
Privacidad, seguridad e identidad
Una evaluación de impacto sobre la protección de datos (DPIA) es una evaluación estructurada y documentada que una organización debe realizar antes de tratar datos personales que puedan suponer un alto riesgo para los derechos y libertades de las personas. Exigida por el artículo 35 del GDPR, describe el tratamiento, analiza su necesidad y proporcionalidad, evalúa los riesgos y establece medidas para reducirlos. Para la IA de alto riesgo que utiliza datos personales, suele ser el requisito obligatorio previo para que el tratamiento pueda comenzar lícitamente.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Una DPIA es una evaluación de riesgos centrada específicamente en los datos personales. La ley no la exige cada vez que una organización trata datos. Se aplica cuando una actividad planificada puede suponer un alto riesgo para las personas, por ejemplo porque implica elaboración de perfiles a gran escala, datos sensibles, vigilancia sistemática o tecnología nueva. El objetivo es detectar los problemas con antelación y diseñar las protecciones necesarias antes de que nada entre en funcionamiento.
Es un requisito legal, no una mera formalidad. En virtud del GDPR, la DPIA debe completarse antes de que comience el tratamiento. Si la evaluación revela un alto riesgo que la organización no puede reducir a un nivel aceptable, esta debe consultar a su autoridad de protección de datos antes de proceder. Omitir una DPIA obligatoria constituye en sí misma una infracción que las autoridades pueden sancionar.
La DPIA también se distingue de otras dos evaluaciones más amplias con las que suele confundirse: la evaluación de impacto de la IA, que analiza los efectos más amplios de un sistema de IA, como la equidad y el impacto social, y la evaluación de impacto sobre los derechos fundamentales, que el EU AI Act exige a determinados responsables del despliegue de IA de alto riesgo en relación con el conjunto de derechos. La DPIA es más específica y más antigua: está centrada en la privacidad y se define en la legislación de protección de datos.
Por qué es importante
La DPIA es importante porque constituye con frecuencia el requisito legal que el tratamiento de alto riesgo debe superar antes de poder llevarse a cabo, y los sistemas de IA que utilizan datos personales suelen situarse en el lado de alto riesgo de esa línea. La elaboración de perfiles que afecta significativamente a las personas, el uso a gran escala de datos sensibles, la identificación biométrica y la toma de decisiones automatizada son todos factores desencadenantes, y muchos despliegues de IA implican al menos uno de ellos.
Para las organizaciones, una DPIA sólida es la principal forma de demostrar responsabilidad proactiva. Muestra a la autoridad reguladora que los riesgos se identificaron y abordaron antes del lanzamiento. Una DPIA deficiente o inexistente es un hallazgo habitual en los procedimientos sancionadores, y puede ser penalizada por sí sola, con independencia de cualquier problema subyacente en el tratamiento. La autoridad reguladora del Reino Unido ha advertido que no realizar una DPIA cuando es obligatorio puede exponer a una organización a medidas de ejecución, incluida una multa de hasta 8,7 millones de libras, o el 2 por ciento de la facturación anual global si esta cifra fuera superior.
Para las personas, la DPIA es una salvaguarda que actúa antes de que se produzca el daño. Obliga a la organización a preguntarse, en la fase de diseño y no tras una reclamación, si el tratamiento es necesario, si existen opciones menos intrusivas y qué podría salir mal.
Cómo funciona
El desencadenante legal
El desencadenante principal se encuentra en el artículo 35(1) del GDPR: cuando un tipo de tratamiento, en particular el que utiliza nuevas tecnologías, pueda suponer un alto riesgo para los derechos y libertades de las personas físicas, el responsable debe realizar una DPIA antes de que comience el tratamiento. La prueba es prospectiva. Se basa en el riesgo anticipado, no en el daño probado, y debe tener en cuenta la naturaleza, el alcance, el contexto y los fines del tratamiento.
Cuándo es obligatoria
El artículo 35(3) enumera tres supuestos que requieren en particular una DPIA: una evaluación sistemática y exhaustiva de aspectos personales basada en el tratamiento automatizado, incluida la elaboración de perfiles, sobre la que se basen decisiones con efectos jurídicos o igualmente significativos; el tratamiento a gran escala de categorías especiales de datos conforme al artículo 9 o de datos relativos a condenas e infracciones penales conforme al artículo 10; y la observación sistemática a gran escala de una zona de acceso público. Más allá de estos supuestos, las directrices del Grupo de Trabajo del Artículo 29 WP248 rev.01, adoptadas el 4 de octubre de 2017 y respaldadas por el Comité Europeo de Protección de Datos, establecen nueve criterios para identificar el tratamiento de alto riesgo: evaluación o puntuación; toma de decisiones automatizada con efectos jurídicos o similares; vigilancia sistemática; datos sensibles o de naturaleza muy personal; datos tratados a gran escala; cotejo o combinación de conjuntos de datos; datos relativos a personas vulnerables; uso innovador de nueva tecnología; y tratamiento que impide a las personas ejercer un derecho o utilizar un servicio. Como regla general, cumplir dos o más criterios apunta a que se requiere una DPIA, aunque un solo criterio puede ser suficiente. Las autoridades nacionales también publican sus propias listas en virtud del artículo 35(4).
Qué debe contener
El artículo 35(7) establece el contenido mínimo. Una DPIA debe incluir: una descripción sistemática del tratamiento y sus fines; una evaluación de la necesidad y proporcionalidad del tratamiento en relación con dichos fines; una evaluación de los riesgos para los derechos y libertades de los interesados; y las medidas previstas para hacer frente a esos riesgos, incluidas las garantías y medidas de seguridad. Para valorar el riesgo, la evaluación debe ponderar tanto la probabilidad como la gravedad del posible daño.
Quiénes participan
El responsable del tratamiento es el encargado de la DPIA, aunque el trabajo se externalice. Cuando se haya designado un delegado de protección de datos, el responsable debe recabar su asesoramiento en virtud del artículo 35(2) y dejarlo constancia de ello. Cuando proceda, el responsable también debe recabar la opinión de las personas afectadas o de sus representantes en virtud del artículo 35(9). Una sola evaluación puede abarcar un conjunto de operaciones de tratamiento similares, y grupos de responsables pueden realizar una DPIA conjunta.
Cuándo debe consultarse a la autoridad reguladora
El artículo 36 establece el paso de escalada. Si, tras las mitigaciones previstas, la DPIA indica que el tratamiento seguiría suponiendo un alto riesgo, el responsable debe consultar a la autoridad de supervisión antes de comenzar. El umbral es el riesgo residual, no el riesgo inicial. La autoridad debe responder en un plazo de ocho semanas, prorrogable por otras seis semanas en casos complejos, y puede asesorar, imponer condiciones o ejercer sus competencias para restringir o prohibir el tratamiento.
Un documento vivo
La DPIA no es un trámite puntual. El artículo 35(11) exige al responsable que revise la evaluación, al menos cuando se produzca un cambio en el riesgo que representa el tratamiento. La buena práctica la trata como un proceso continuo que acompaña al proyecto y se revisa cuando cambia el tratamiento, los datos o la tecnología.
Ejemplos
Chatbot de IA generativa dirigido a un público amplio que incluye menores. Cuando la Oficina del Comisionado de Información del Reino Unido examinó el chatbot "My AI" de Snap, emitió un aviso de ejecución provisional el 6 de octubre de 2023, concluyendo provisionalmente que Snap no había identificado ni evaluado adecuadamente los riesgos para varios millones de usuarios de "My AI" en el Reino Unido, incluidos menores de entre 13 y 17 años. Snap presentó cuatro versiones inadecuadas de la DPIA antes de que su quinta versión, elaborada en noviembre de 2023, fuera aceptada; la ICO concluyó en su resolución de 21 de mayo de 2024 que esta evaluación revisada, que contenía un desglose significativamente más detallado de las operaciones de tratamiento y una evaluación de riesgos más completa, incluidos los riesgos para los menores de 13 a 17 años, cumplía ahora con el artículo 35. El caso estableció el nivel de detalle que esperan las autoridades reguladoras: categorías claras de datos personales, quién tiene acceso, plazos de conservación y el volumen y alcance geográfico de los usuarios, en lugar de cifras indeterminadas.
Entrenamiento de un modelo de IA con datos personales. La CNIL francesa advierte que "la creación de un conjunto de datos para el entrenamiento de un sistema de IA puede generar un alto riesgo para los derechos y libertades de las personas. En ese caso, la evaluación de impacto sobre la protección de datos es obligatoria". Señala que para el desarrollo de sistemas de alto riesgo cubiertos por el EU AI Act que impliquen datos personales, una DPIA es en principio necesaria, y que la evaluación debe abordar riesgos específicos de la IA, como la discriminación automatizada causada por el sistema, el riesgo de que se puedan extraer datos personales del modelo y, en el caso de los sistemas generativos, el riesgo de producir contenido ficticio sobre una persona real, así como los riesgos derivados de ataques como el envenenamiento de datos o la inversión de modelos.
Reconocimiento facial e identificación biométrica. Los datos biométricos utilizados para identificar a alguien de forma unívoca son una categoría especial de datos, y los despliegues como el reconocimiento facial en tiempo real requieren habitualmente una DPIA porque combinan datos sensibles, vigilancia sistemática y tecnología innovadora. En sus Directrices 05/2022 sobre el uso de la tecnología de reconocimiento facial en el ámbito policial, adoptadas en su versión definitiva el 17 de mayo de 2023, el EDPB afirma que la mayoría de los casos de despliegue y uso de dicha tecnología conllevan un alto riesgo intrínseco para los derechos y libertades de los interesados, y que la autoridad que la despliega debe por tanto consultar a la autoridad de supervisión competente.
Malentendidos frecuentes
"La DPIA es opcional." Para el tratamiento de alto riesgo es un requisito legal en virtud del artículo 35, no una cuestión de elección. Cuando se cumple el desencadenante, no realizarla constituye en sí misma una infracción.
"La DPIA es lo mismo que una evaluación de impacto de la IA o una evaluación de impacto sobre los derechos fundamentales." No lo es. La DPIA está centrada en la privacidad y se define en la legislación de protección de datos. Una evaluación de impacto de la IA es más amplia y analiza la equidad y los efectos más generales. La evaluación de impacto sobre los derechos fundamentales prevista en el artículo 27 del EU AI Act abarca el conjunto de los derechos fundamentales y se aplica a determinados responsables del despliegue de IA de alto riesgo.
"Una vez redactada, la DPIA está terminada." Es un documento vivo. El artículo 35(11) exige su revisión cuando cambia el riesgo, y la buena práctica la mantiene actualizada a medida que evoluciona el tratamiento.
"La DPIA debe demostrar que no existe ningún riesgo." No es así. Debe identificar los riesgos, reducirlos en la medida de lo posible y documentar cualquier riesgo residual para que la organización pueda decidir si procede o si consulta a la autoridad reguladora.
"Si utilizamos IA, siempre necesitamos una DPIA." No de forma automática. El desencadenante es el alto riesgo para las personas. Muchos usos de la IA lo cumplen, pero el responsable debe evaluar el tratamiento concreto en lugar de dar por supuesto que se requiere.
Riesgos y límites
El límite principal que conviene tener claro es el del alcance. Una DPIA evalúa los riesgos para las personas derivados del tratamiento de sus datos personales. No es una revisión general de la seguridad de la IA ni una evaluación de impacto sobre los derechos fundamentales. El EU AI Act permite que una DPIA y una evaluación de impacto sobre los derechos fundamentales se realicen conjuntamente y se nutran mutuamente cuando el contenido se solapa de forma genuina, pero la evaluación de derechos fundamentales es más amplia y ambas no son intercambiables.
También existe un límite en lo que una DPIA puede decidir. Informa una decisión; no autoriza por sí sola el tratamiento de alto riesgo. Cuando el riesgo residual sigue siendo elevado, el artículo 36 traslada la decisión a la autoridad reguladora, que puede detener el tratamiento. La Opinión 28/2024 del EDPB sobre modelos de IA, adoptada el 17 de diciembre de 2024, no abordó expresamente las DPIA, por lo que no debe interpretarse como orientación sobre estas, aunque trate cuestiones adyacentes como el anonimato y la base jurídica para la IA.
Un riesgo práctico es tratar la DPIA como un trámite burocrático. Las autoridades reguladoras evalúan el fondo: si los riesgos se analizaron de forma genuina, si se consideraron opciones menos intrusivas y si las mitigaciones son concretas. Una plantilla genérica que enumera riesgos sin evaluar su probabilidad y gravedad no cumple el estándar del artículo 35(7).
Próximos pasos
Realizar el cribado con antelación. Incorporar un paso de cribado de la DPIA en la gobernanza de proyectos y contratación, de modo que el tratamiento de alto riesgo se identifique antes del desarrollo y no tras el lanzamiento. Utilizar los supuestos del artículo 35(3) y los nueve criterios del WP248 como lista de verificación, y consultar la lista publicada por la autoridad reguladora nacional.
Iniciar la DPIA en la fase de diseño. Recoger los cuatro elementos obligatorios: una descripción del tratamiento, una prueba de necesidad y proporcionalidad, una evaluación de riesgos que pondere la probabilidad y la gravedad, y mitigaciones concretas. En el caso de la IA, documentar los riesgos específicos de la IA, como el sesgo, la extracción de datos y el efecto de las decisiones automatizadas, y dejar constancia de por qué no se eligió ninguna alternativa menos arriesgada.
Involucrar a las personas adecuadas. Recabar y registrar el asesoramiento del delegado de protección de datos cuando haya uno designado, y considerar la posibilidad de solicitar la opinión de las personas afectadas. Mantener la evaluación bajo revisión y actualizarla cuando cambie el tratamiento o la tecnología.
Conocer el punto de escalada. Si el riesgo residual sigue siendo elevado tras la mitigación, consultar a la autoridad de supervisión en virtud del artículo 36 antes de proceder al tratamiento, y prever el plazo de respuesta de ocho semanas. Cuando el mismo sistema de IA también active el EU AI Act, coordinar la DPIA con cualquier evaluación de impacto sobre los derechos fundamentales para evitar duplicar el trabajo, respetando al mismo tiempo sus diferentes alcances.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Es siempre obligatoria una DPIA cuando se tratan datos personales?
No. Solo es obligatoria cuando el tratamiento pueda suponer un alto riesgo para las personas. El GDPR y las orientaciones de las autoridades reguladoras establecen los desencadenantes; el tratamiento rutinario de bajo riesgo no la requiere.
¿Cuándo exactamente debe realizarse una DPIA?
Antes de que comience el tratamiento. Debe iniciarse en una fase temprana del proyecto y desarrollarse en paralelo al diseño y al desarrollo, de modo que sus conclusiones puedan orientar el proyecto antes de que nada entre en funcionamiento.
¿Qué debe contener una DPIA?
Como mínimo, los cuatro elementos del artículo 35(7): una descripción sistemática del tratamiento y sus fines, una evaluación de necesidad y proporcionalidad, una evaluación de los riesgos para las personas y las medidas para hacer frente a esos riesgos.
¿Cuándo debemos consultar a la autoridad reguladora?
En virtud del artículo 36, cuando la DPIA muestre que el tratamiento seguiría siendo de alto riesgo tras las mitigaciones previstas. La autoridad de supervisión dispone de ocho semanas para responder, prorrogables por seis semanas, y no se puede comenzar hasta que la consulta haya concluido.
¿En qué se diferencia una DPIA de una evaluación de impacto sobre los derechos fundamentales?
La DPIA está centrada en la privacidad y es obligatoria en virtud de la legislación de protección de datos. La evaluación de impacto sobre los derechos fundamentales prevista en el artículo 27 del EU AI Act es más amplia, abarca el conjunto de los derechos fundamentales y se aplica a determinados responsables del despliegue de IA de alto riesgo.
¿El uso de IA requiere automáticamente una DPIA?
No de forma automática, pero sí con frecuencia. Muchos usos de la IA implican elaboración de perfiles, datos sensibles, tratamiento a gran escala o tecnología innovadora, que son desencadenantes de alto riesgo. El responsable debe evaluar el tratamiento concreto en lugar de dar por supuesto que se requiere.
¿Quién es responsable de la DPIA?
El responsable del tratamiento, aunque el trabajo se externalice a un encargado o a un asesor. Cuando se haya designado un delegado de protección de datos, el responsable debe recabar y registrar su asesoramiento.
¿Puede una sola DPIA cubrir varias actividades de tratamiento?
Sí. Una sola evaluación puede abarcar un conjunto de operaciones similares que presenten riesgos elevados similares, y grupos de responsables pueden realizar una DPIA conjunta.