¿Qué es una evaluación de impacto sobre derechos fundamentales para la IA?
Gobernanza, riesgo y aseguramiento
Una evaluación de impacto sobre derechos fundamentales para la IA es una revisión estructurada de cómo un uso concreto de la IA podría afectar a los derechos básicos de las personas y a los valores públicos, incluidos la dignidad, la igualdad, la privacidad, el debido proceso, el acceso a la tutela y las garantías democráticas. No es simplemente una verificación técnica de riesgos. Se centra en el contexto real de uso, las personas que podrían verse afectadas, los daños que podrían derivarse, los controles existentes y la evidencia necesaria antes y durante el despliegue en producción.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Una evaluación de impacto sobre derechos fundamentales, conocida habitualmente como FRIA, plantea una pregunta sencilla pero exigente: si utilizamos este sistema de IA aquí, en este proceso, sobre estas personas, ¿qué derechos podría vulnerar y qué debemos hacer antes de su uso? El enfoque es contextual. El mismo modelo puede presentar riesgos para los derechos muy distintos en un chatbot de consumo, un proceso de bienestar social, una decisión de crédito o un flujo de trabajo policial.
No es lo mismo que una evaluación de impacto sobre la protección de datos, una evaluación de impacto de la IA de carácter general ni una revisión de sesgos. Una DPIA se centra en los datos personales y la legislación sobre privacidad. Una revisión de sesgos se centra en el trato injusto. Una FRIA es más amplia y puede abarcar la dignidad, la igualdad, la expresión, la autonomía, el acceso a la justicia, la posibilidad de impugnación, la tutela, la integridad democrática y las garantías del Estado de derecho.
La etiqueta "derechos fundamentales" está estrechamente vinculada al derecho europeo. En la gobernanza internacional más amplia, el trabajo estrechamente relacionado suele enmarcarse como evaluación de impacto en los derechos humanos, la democracia y el Estado de derecho. La forma jurídica más clara en la actualidad se encuentra en el EU AI Act, que exige a determinados responsables del despliegue de IA de alto riesgo que evalúen el efecto del uso sobre los derechos fundamentales antes del primer uso. Más allá de la UE, la misma lógica de gobernanza aparece en el marco del Council of Europe y la metodología HUDERIA, así como en marcos de riesgo voluntarios como el AI RMF de NIST.
Por qué es importante
Para las organizaciones, una FRIA es importante porque los fallos de la IA de alto impacto no son solo problemas técnicos o comerciales. Pueden denegar el acceso a servicios públicos, distorsionar decisiones de crédito o seguros, profundizar la discriminación, debilitar los derechos de explicación y recurso, coartar la libertad de expresión o trasladar juicios sensibles a sistemas opacos. Una evaluación centrada en los derechos obliga al responsable del despliegue a examinar el proceso real en el que operará la IA, identificar quiénes pueden verse afectados de forma desproporcionada y decidir si el uso debe continuar, limitarse o rediseñarse.
También genera evidencia. Realizada correctamente, una FRIA deja constancia de la finalidad prevista, los grupos afectados, los escenarios de daño, la supervisión humana, las vías de reclamación, los indicadores de seguimiento y los responsables. Ese registro resulta útil para la interlocución con los reguladores, la diligencia debida en contratación, la auditoría interna, la supervisión del consejo de administración y la respuesta a incidentes. En la UE puede ser necesario ejecutarla junto con una DPIA, lo que la convierte en un puente práctico entre el cumplimiento normativo, el control operativo y el despliegue responsable.
Cómo funciona
La pregunta central
Una FRIA se ocupa del uso de la IA en contexto, no de afirmaciones abstractas sobre el modelo. La evaluación pregunta para qué está diseñado el sistema, dónde se situará en un proceso de decisión, con qué frecuencia se utilizará, qué personas o grupos pueden verse afectados, qué derechos pueden estar en juego y qué daños podrían producirse si el sistema falla, presenta sesgos, es opaco, se utiliza en exceso o se emplea más allá de su finalidad prevista.
En la versión jurídica de la UE, el artículo 27 exige a determinados responsables del despliegue que documenten el proceso en el que se utilizará el sistema de IA de alto riesgo, el período y la frecuencia de uso, las categorías de personas que probablemente se verán afectadas, los riesgos de daño, las medidas de supervisión humana que se aplicarán y los mecanismos internos de gobernanza y reclamación que se utilizarán si esos riesgos se materializan. En la gobernanza internacional más amplia, la misma lógica se extiende más allá de los derechos individuales a la democracia y el Estado de derecho.
Dónde reside la obligación jurídica más clara
La versión de derecho positivo más clara es el EU AI Act. El artículo 27 se aplica a determinados responsables del despliegue de sistemas de IA de alto riesgo del Anexo III en virtud del artículo 6(2), no a todos los sistemas de alto riesgo del Reglamento. Abarca organismos regidos por el derecho público, entidades privadas que prestan servicios públicos, y responsables del despliegue de IA para la evaluación de la solvencia crediticia o la calificación crediticia de consumidores, así como para la evaluación del riesgo y la fijación de precios en seguros de vida y salud. El ámbito de los servicios públicos puede alcanzar áreas como la sanidad, los servicios sociales, la vivienda y la administración de justicia cuando los servicios se prestan en interés público.
La obligación está vinculada al despliegue, no solo al suministro. Debe completarse antes del primer uso, actualizarse cuando cambien elementos relevantes, y sus resultados deben notificarse a la autoridad de vigilancia del mercado. La Comisión también ha explicado por qué existe esta obligación: algunos riesgos para los derechos fundamentales solo pueden identificarse en el contexto real de uso, especialmente en entornos marcados por la asimetría de poder. La Oficina de IA tiene el cometido de elaborar una plantilla de cuestionario para simplificar el cumplimiento. Con arreglo al calendario escalonado del AI Act, el cuerpo principal del Reglamento se aplica a partir del 2 de agosto de 2026 en el texto publicado, aunque un acuerdo político de mayo de 2026 en el marco del Ómnibus Digital aplazaría varias fechas de alto riesgo, por lo que conviene verificar la fecha aplicable según la situación actual y no darla por supuesta.
En qué se diferencia de evaluaciones similares
La evaluación de la conformidad del proveedor o su gestión interna de riesgos no son lo mismo. El trabajo del lado del proveedor pregunta si el sistema tal como se comercializa cumple los requisitos de tipo producto del Reglamento. Una FRIA del lado del responsable del despliegue pregunta si esta organización debe utilizar ese sistema en este flujo de trabajo, para estas personas, con estas salvaguardias.
También difiere de una DPIA. Una DPIA está anclada en la legislación sobre protección de datos y pregunta si el tratamiento de datos personales crea un riesgo elevado para los derechos y libertades de las personas. Una FRIA es más amplia. La privacidad puede ser una cuestión, pero también lo pueden ser la igualdad, el acceso a la justicia, la explicación, la posibilidad de impugnación, la autonomía, la libertad de expresión y las preocupaciones democráticas o relativas al Estado de derecho. Cuando ambas son aplicables, la UE espera que la FRIA complemente la DPIA en lugar de duplicarla. Una evaluación de impacto de la IA de carácter general también puede abordar el rendimiento, el coste, la seguridad o los efectos medioambientales. Una FRIA estrecha el enfoque hacia los derechos y los valores públicos, aunque debe conectarse con esas revisiones más amplias.
Cómo la llevan a cabo los equipos habitualmente
En la práctica, una FRIA útil comienza con la delimitación del alcance. El equipo define la finalidad prevista, la función de decisión o apoyo, los puntos de decisión humana, la población afectada, el marco jurídico o normativo pertinente y la evidencia ya disponible del proveedor. A continuación, mapea los riesgos para los derechos en el contexto específico, no solo los riesgos genéricos del modelo.
Después se evalúa la gravedad y la probabilidad. Los métodos centrados en los derechos, como el HUDERIA del Council of Europe, analizan la escala, el alcance, la reversibilidad y la probabilidad, y añaden la participación de las partes interesadas cuando procede, especialmente de las personas cuyos derechos pueden verse afectados. Tras ello, la organización establece medidas: supervisión humana, vías de escalada, límites de uso, notificación a las personas afectadas cuando sea necesario, gestión de reclamaciones, vías de reparación, registros, seguimiento y puntos de revisión periódica.
Qué evidencia genera una FRIA sólida
Una FRIA sólida produce más que un memorando. Genera un rastro de evidencia que puede verificarse y actualizarse: descripción del sistema, finalidad prevista, mapa del proceso local, grupos afectados, hipótesis de riesgo, supuestos, información del proveedor utilizada, pruebas o comparativas relevantes para el caso de uso, diseño de la supervisión, vía documentada de reclamaciones, responsables y fechas de revisión.
Esa evidencia es importante porque la gobernanza de los derechos rara vez recae en un solo equipo. Los departamentos jurídico, de privacidad, de contratación, de riesgos, de cumplimiento, el personal técnico y los responsables operativos necesitan un registro común. El AI RMF y el GenAI Profile de NIST son útiles en este sentido, no porque creen una obligación en materia de derechos, sino porque ofrecen un método disciplinado para mapear los impactos en personas y grupos, documentar supuestos, medir la equidad y los sesgos cuando proceda, y conectar el trabajo de evaluación de impacto con la gobernanza continua.
Por qué es una obligación del sistema en producción
Una FRIA no debe concluir con la aprobación inicial. El EU AI Act exige actualizaciones si los elementos relevantes han dejado de estar vigentes. El marco del Council of Europe va más lejos en la lógica de gobernanza, pidiendo a las partes que adopten medidas iterativas de identificación, evaluación, prevención, mitigación, seguimiento, documentación y, cuando proceda, pruebas antes del primer uso y tras modificaciones significativas.
Esto significa que la evaluación debe integrarse en la gestión del cambio y el seguimiento operativo. Las nuevas fuentes de datos, las actualizaciones del modelo, los casos de uso ampliados, los nuevos patrones de reclamaciones, la deriva en la precisión o la evidencia de daño desproporcionado deben reabrir el expediente. Una evaluación de derechos que nunca se revisa suele ser un ejercicio formal, no un control real.
Cómo los marcos internacionales y voluntarios apoyan la práctica
El Convenio Marco del Council of Europe no proporciona a las organizaciones un formulario universal único que completar. En cambio, exige a las partes que adopten o mantengan medidas para identificar, evaluar, prevenir y mitigar los riesgos de la IA teniendo en cuenta los impactos reales y potenciales sobre los derechos humanos, la democracia y el Estado de derecho. También exige atención a las perspectivas de las partes interesadas, la documentación, el seguimiento y los mecanismos de reparación. Esto lo convierte en un modelo de gobernanza importante, aunque la implementación nacional sigue siendo determinante.
HUDERIA es el método oficial no vinculante del Council of Europe para llevar a cabo ese trabajo. El AI RMF y el GenAI Profile de NIST también son no vinculantes, pero muy prácticos. Ayudan a las organizaciones a gobernar, mapear, medir y gestionar los riesgos de la IA a lo largo del ciclo de vida, identificar impactos en personas y grupos, incorporar expertos en la materia y comunidades afectadas al proceso, y documentar el razonamiento que subyace a los controles. En otras palabras, ayudan a convertir una FRIA de una idea jurídica en una disciplina operativa.
Ejemplos
Ejemplo actual de servicio público en la UE: un municipio quiere utilizar IA para evaluar la elegibilidad para prestaciones o servicios de asistencia pública. Dado que se trata de un uso de servicio público del Anexo III y el responsable del despliegue es una autoridad pública, el artículo 27 obliga a la organización a realizar una FRIA antes del primer uso. La evaluación deberá mapear el proceso de decisión, los grupos que probablemente se verán afectados, los posibles daños derivados de errores u opacidad, la vía de revisión humana y el mecanismo de reclamación.
Ejemplo actual del sector privado en la UE: un prestamista que utiliza IA para evaluar la solvencia crediticia de consumidores, o una aseguradora que utiliza IA para la fijación de precios en seguros de vida o salud, se encuadra en el Anexo III, punto 5(b) o 5(c). El artículo 27 incluye a estos responsables del despliegue en la obligación de FRIA aunque no sean organismos públicos. Aquí es donde la organización debe comprobar la exclusión financiera, la discriminación por variables indirectas, la adecuación de la explicación, los límites de uso y la escalada para casos impugnados.
Ejemplo metodológico para una gobernanza más amplia: con arreglo al HUDERIA del Council of Europe, un equipo que introduce un sistema de IA de alto impacto comenzaría con un análisis de riesgos basado en el contexto, luego involucraría a las partes interesadas pertinentes, realizaría una evaluación detallada de riesgos e impactos, y elaboraría un plan de mitigación que puede incluir canales de reparación. El método no es vinculante por sí mismo, pero muestra cómo es en la práctica un flujo de trabajo centrado en los derechos.
Malentendidos frecuentes
Idea errónea: es simplemente otra evaluación de privacidad. Corrección: la privacidad puede ser parte de ella, pero una FRIA también puede abordar la igualdad, la dignidad, la explicación, los derechos de recurso, las garantías democráticas y las preocupaciones relativas al Estado de derecho.
Idea errónea: si el proveedor dice que el sistema cumple la normativa, nuestra tarea está hecha. Corrección: el cumplimiento por parte del proveedor no elimina la obligación del responsable del despliegue de evaluar su propio contexto de uso.
Idea errónea: es lo mismo que las pruebas de sesgo. Corrección: las pruebas de sesgo son un insumo. Una FRIA es más amplia y pregunta si toda la configuración del despliegue respeta los derechos.
Idea errónea: solo los organismos públicos necesitan una. Corrección: en virtud del EU AI Act, algunos responsables del despliegue privados, especialmente en crédito al consumo y seguros de vida o salud, también están sujetos a la norma.
Idea errónea: se completa una vez y se archiva. Corrección: una FRIA debe actualizarse cuando cambien elementos relevantes y vincularse al seguimiento continuo.
Riesgos y límites
Una FRIA tiene límites. Puede poner de manifiesto riesgos para los derechos, documentar controles y apoyar una decisión de continuar o no, pero no prueba por sí sola que un sistema sea lícito, justo o socialmente aceptable. Su valor depende de la calidad de la evidencia, la honestidad en la delimitación del alcance, el acceso a información técnica y contractual, y la disposición de la organización a limitar o detener un caso de uso.
Tampoco es aún un instrumento jurídico global único con una plantilla fija. En la UE, el artículo 27 crea una obligación definida para el responsable del despliegue en un conjunto limitado de usos del Anexo III, no para todos los sistemas de alto riesgo del Reglamento. El Convenio Marco del Council of Europe exige a las partes que establezcan medidas de gestión de riesgos e impactos, pero deja la implementación al derecho y la política nacionales. HUDERIA es una orientación oficial pero no vinculante. El AI RMF y el GenAI Profile de NIST son voluntarios. Las expectativas prácticas variarán, por tanto, según la jurisdicción y el sector, y seguirán evolucionando.
El concepto se aplica mal con mayor frecuencia de dos maneras: como una nota ética genérica desvinculada del flujo de trabajo real, o como una lista de verificación estrecha que ignora a las personas afectadas y las vías de reclamación. Ambas pierden el punto central. Una evaluación centrada en los derechos debe ser lo suficientemente específica como para modificar las decisiones de despliegue y los controles operativos.
Qué hacer a continuación
Si se despliega IA en servicios públicos, crédito, seguros, justicia, migración, aplicación de la ley u otros entornos de alto impacto, conviene determinar primero si una evaluación centrada en los derechos es legalmente obligatoria, contractualmente exigida o simplemente una gobernanza prudente antes del uso en producción. Hay que verificar el rol del responsable del despliegue, no solo el del proveedor.
A continuación, se debe asignar la responsabilidad al propietario del proceso de negocio, con el apoyo de los departamentos jurídico, de privacidad, de riesgos, de cumplimiento y de conocimiento especializado. La FRIA debe realizarse con antelación, idealmente durante la contratación y el diseño, y conectarse con cualquier DPIA, prueba del modelo, plan de supervisión humana y proceso de gestión de incidentes.
Por último, conviene exigir evidencia que pueda resistir el escrutinio: quiénes se ven afectados, qué derechos están en juego, qué datos o materiales del proveedor se utilizaron, qué pruebas se realizaron, cómo pueden las personas impugnar una decisión, cuándo debe reabrirse la evaluación y quién tiene autoridad para pausar o detener el despliegue.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Quién suele ser responsable de una FRIA?
El responsable del despliegue o el propietario del proceso. Los proveedores aportan insumos importantes, pero la organización que utiliza el sistema debe evaluar el contexto real de uso y rendir cuentas de ese despliegue.
¿Cuándo debe realizarse?
Antes del primer uso en producción. En una buena gobernanza comienza antes, durante la contratación o el diseño, y debe actualizarse cuando cambie el sistema, el caso de uso o la población afectada.
¿Es suficiente una DPIA?
Generalmente no. Una DPIA cubre los riesgos relacionados con los datos personales. Una FRIA examina de forma más amplia cómo la IA puede afectar a los derechos, la equidad procesal y los valores públicos. Cuando ambas son aplicables, pueden realizarse conjuntamente.
¿Necesita una FRIA del responsable del despliegue todo sistema de IA de alto riesgo en la UE?
No. El artículo 27 es más restringido que el conjunto completo de normas de la UE sobre IA de alto riesgo. Se aplica únicamente a determinados responsables del despliegue y a determinados usos del Anexo III.
¿Qué evidencia debemos conservar?
Conviene conservar el mapa del proceso, la finalidad prevista, los grupos afectados, el análisis de riesgos, los materiales del proveedor utilizados, las pruebas relevantes para el caso de uso, el diseño de la supervisión, la vía de reclamación, el registro de decisiones y los indicadores de actualización.
¿Puede el proveedor completar la FRIA por nosotros?
Un proveedor puede ayudar con la documentación del sistema, las instrucciones de uso y la información sobre riesgos, pero no puede evaluar plenamente el proceso local de la organización, el contexto jurídico y la población afectada.
¿Es la supervisión humana lo mismo que una FRIA?
No. La supervisión humana es uno de los controles que puede derivarse de la evaluación. La FRIA es la revisión más amplia que determina qué controles son necesarios y si el uso es aceptable en absoluto.
¿Debe publicarse?
No como norma universal. Algunos regímenes exigen notificación, resúmenes públicos u otras medidas de transparencia, mientras que otros se centran en la documentación interna y el acceso del regulador. Conviene conservar los registros como si pudieran ser objeto de escrutinio en el futuro.
Fuentes
Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence (European Union). The legal duty in Article 27, who must perform it, what the assessment must contain, notification to market surveillance authorities, and the staged application timetable in Article 113.
Navigating the AI Act (European Commission). The Commission's explanation that some fundamental-rights risks can only be identified in context, which deployers are expected to assess them, and why FRIA and DPIA may need to be run together.
When do we need to do a DPIA? (Information Commissioner's Office). What a DPIA is for, why it is tied to high-risk personal-data processing, and why a FRIA is broader than a privacy-law assessment.
Council of Europe Framework Convention on Artificial Intelligence and Human Rights, Democracy and the Rule of Law (Council of Europe). The treaty's rights, democracy and rule-of-law framing, procedural safeguards, remedies, and the obligation for parties to adopt risk and impact management measures.
HUDERIA, risk and impact assessment of AI systems (Council of Europe). The official non-binding methodology, including context-based risk analysis, stakeholder engagement, risk and impact assessment, and mitigation planning.
Artificial Intelligence Risk Management Framework, AI RMF 1.0 (National Institute of Standards and Technology). The voluntary governance framework for mapping, measuring and managing AI risks, the trustworthiness characteristics, and the role of documentation and lifecycle governance.
Artificial Intelligence Risk Management Framework, Generative Artificial Intelligence Profile (National Institute of Standards and Technology). Additional practice for documenting legal and regulatory requirements, assessing fairness and bias, engaging affected communities and integrating impact work into ongoing governance for generative AI.