Evaluación de impacto en protección de datos (EIPD) para IA

Cómo usar este documento

• Sirve para decidir si un tratamiento de datos personales con IA necesita una evaluación de impacto y, si la necesita, para documentarla: descripción, necesidad y proporcionalidad, riesgos para las personas, medidas, riesgo residual, consultas y aprobación.
• Debe tener un dueño claro: normalmente el delegado de protección de datos (DPO) o la función de privacidad, con el dueño del sistema como responsable de aportar los datos del sistema.
• Antes de adoptarla, la organización debe decidir su metodología de riesgos (la escala de la sección 7 o la que ya use), quién aprueba las evaluaciones y qué umbral de riesgo residual obliga a escalar o a consultar a la autoridad.
• Complete una evaluación por sistema de IA o por tratamiento. Si varios tratamientos son muy parecidos, una sola evaluación puede cubrirlos, explicando por qué.
• Empiece siempre por el análisis previo de la sección 2. Si concluye que no hace falta una EIPD completa, archive el registro de esa decisión.
• Conserve solo las variantes por país de las jurisdicciones en las que opera el tratamiento y elimine las demás. Varias variantes pueden aplicar a la vez.
• Los campos marcados con [COMPLETAR] incluyen puntos que conviene confirmar con su asesor, sobre todo plazos, presentación ante la autoridad y alcance de normas recientes.
• Antes de aprobarla, conviene que la revise el área legal interna o un asesor externo, y que el delegado de protección de datos emita su opinión por escrito.
• Apruebe la evaluación con la firma de una persona con autoridad sobre el tratamiento, guárdela con control de versiones y vincúlela al registro de actividades de tratamiento.

Evaluación de impacto en protección de datos (EIPD) para IA

Campo	Contenido
Organización	[RAZÓN SOCIAL] ([NOMBRE DE LA ORGANIZACIÓN])
Sistema o tratamiento evaluado	[SISTEMA DE IA]
Proveedor principal	[PROVEEDOR]
Dueño del sistema	[RESPONSABLE]
Área	[ÁREA RESPONSABLE]
Países en los que opera	[PAÍS]
Referencia en el registro de actividades	[COMPLETAR]
Versión de la evaluación y fecha	[COMPLETAR] / [FECHA]
Estado	Borrador / En revisión / Aprobada / Sustituida
Contacto de privacidad	[EMAIL DE PRIVACIDAD]

1. Objeto y alcance

1.1. Esta evaluación documenta el análisis que [NOMBRE DE LA ORGANIZACIÓN] realiza antes de iniciar, o de modificar de forma relevante, un tratamiento de datos personales en el que interviene un sistema de inteligencia artificial.

1.2. Su finalidad es identificar los riesgos para los derechos y libertades de las personas afectadas, decidir las medidas que los reducen y dejar constancia de la decisión final y de quién la tomó.

1.3. Cubre todo el ciclo de vida del tratamiento: obtención de datos, entrenamiento o ajuste del modelo cuando lo haya, uso en producción, salidas y decisiones, conservación, supresión y retirada del sistema.

1.4. Esta evaluación no sustituye otras evaluaciones que puedan ser exigibles, como la evaluación de impacto en derechos fundamentales del Reglamento europeo de IA o una evaluación ética interna, pero puede servirles de base.

2. Análisis previo: ¿hace falta una EIPD?

2.1. Responda a cada criterio. Un criterio marcado con "Sí" en la parte A, o dos o más en la parte B, indican que se debe realizar la evaluación completa, salvo que se documente por qué no.

Parte A. Supuestos que normalmente exigen evaluación

Criterio	Sí / No	Comentario
Evaluación sistemática de aspectos personales, incluida la elaboración de perfiles, que da lugar a decisiones con efectos jurídicos o efectos significativos similares (empleo, crédito, seguros, acceso a servicios)
Tratamiento a gran escala de datos sensibles o de categorías especiales (salud, biometría para identificar, origen étnico, orientación sexual, afiliación sindical, convicciones) o de datos penales
Observación sistemática a gran escala de zonas de acceso público (por ejemplo, videovigilancia con análisis por IA)
El tratamiento figura en la lista de tratamientos que exigen evaluación publicada por la autoridad del país
Una norma del país lo exige expresamente para este uso (ver "Variantes por país")

Parte B. Indicadores de alto riesgo

Indicador	Sí / No	Comentario
Puntuación, evaluación o predicción sobre personas (rendimiento, solvencia, comportamiento, ubicación)
Decisiones automatizadas, o salidas de IA que en la práctica se aplican sin revisión humana real
Monitorización sistemática de personas, incluidas personas trabajadoras
Datos sensibles o de carácter muy personal (comunicaciones, ubicación, finanzas)
Tratamiento a gran escala (por número de personas, volumen de datos, duración o ámbito geográfico)
Combinación de conjuntos de datos obtenidos para fines distintos
Personas vulnerables: menores, personas trabajadoras o candidatas, pacientes, personas en situación de dependencia económica
Uso de tecnología novedosa: modelos de IA generativa, agentes de IA que actúan sobre sistemas, reconocimiento biométrico o de emociones
Entrenamiento o ajuste de modelos con datos personales
El resultado puede impedir a la persona ejercer un derecho o acceder a un servicio o contrato
Transferencia de datos a proveedores de IA fuera del país

2.2. Decisión del análisis previo.

Campo	Contenido
Resultado	EIPD completa necesaria / No necesaria / Necesaria por precaución
Motivación	[COMPLETAR]
Opinión del delegado de protección de datos, si lo hay	[COMPLETAR]
Decidido por y fecha	[RESPONSABLE] / [FECHA]
Próxima revisión del análisis previo	[COMPLETAR] (y siempre que cambie el sistema, los datos o la finalidad)

2.3. Si se concluye que la evaluación no es necesaria, esta tabla y la parte A y B completadas se conservan como registro de la decisión.