Evaluación de impacto en derechos fundamentales (FRIA)

Cómo usar este documento

• Sirve para documentar, antes de empezar a usar un sistema de IA de alto riesgo, cómo puede afectar a los derechos de las personas, qué medidas de supervisión humana y de respuesta se adoptan y qué decide la organización. Su estructura sigue los elementos del artículo 27 del Reglamento (UE) 2024/1689 y sirve también como formato para la evaluación previa de las entidades públicas en Perú.
• Debe tener un dueño claro: normalmente el responsable de IA o Legal, con el dueño del sistema como responsable de aportar la descripción del uso y con la participación del delegado de protección de datos (o el rol equivalente del país) cuando haya datos personales.
• Antes de adoptarla, la organización debe decidir quién aprueba las evaluaciones, qué nivel de riesgo residual acepta según la «Declaración de apetito de riesgo de IA» (la escala es la única de la organización, sección 8) y quién gestiona la notificación a la autoridad cuando corresponda.
• Empiece por el análisis previo de la sección 2. Si concluye que la FRIA no es exigible, archive igualmente el registro de esa decisión; muchas organizaciones la realizan de forma voluntaria para sistemas que afectan a personas.
• Complete una evaluación por sistema de IA y por contexto de uso. Si el mismo sistema se usa en procesos distintos (por ejemplo, admisión y renovación), valore si cada proceso necesita su propia evaluación.
• Reutilice lo que ya tenga: la evaluación de impacto en protección de datos (EIPD), la evaluación de impacto de IA interna y las instrucciones de uso del proveedor. Remita a ellas en lugar de copiarlas.
• Conserve solo la variante por país que aplique (Unión Europea, Perú o ambas) y elimine la otra.
• Los campos [COMPLETAR] incluyen puntos que conviene confirmar con su asesor, en especial el ámbito subjetivo, la autoridad competente, el formulario de notificación y las fechas de aplicación.
• Antes de aprobarla, conviene que la revise el área legal interna o un asesor externo. Apruébela con la firma de una persona con autoridad sobre el despliegue y guárdela con control de versiones junto al registro de sistemas de IA.

Evaluación de impacto en derechos fundamentales (FRIA)

Campo	Contenido
Organización que despliega el sistema	[RAZÓN SOCIAL] ([NOMBRE DE LA ORGANIZACIÓN])
Sistema de IA evaluado	[SISTEMA DE IA]
Proveedor del sistema y versión	[PROVEEDOR] / [COMPLETAR]
Identificador en el registro de sistemas de IA	[COMPLETAR]
Categoría de alto riesgo (por ejemplo, Anexo III del Reglamento de IA o uso de riesgo alto del reglamento peruano)	[COMPLETAR]
Dueño del sistema	[RESPONSABLE]
Área que coordina la evaluación	[ÁREA RESPONSABLE]
Países en los que se usa	[PAÍS]
Referencia de la EIPD vinculada	[COMPLETAR]
Tipo de evaluación	Inicial / Actualización por cambio / Revisión periódica
Versión y fecha	[COMPLETAR] / [FECHA]
Estado	Borrador / En revisión / Aprobada / Sustituida
Contacto de gobernanza de IA	[EMAIL DE GOBERNANZA DE IA]

1. Objeto y alcance

1.1 Esta evaluación documenta el análisis que [NOMBRE DE LA ORGANIZACIÓN] realiza antes del primer uso de un sistema de IA de alto riesgo para identificar los riesgos concretos para los derechos fundamentales de las personas afectadas y las medidas que adopta para prevenirlos, supervisarlos y repararlos.

1.2 Se centra en el uso real del sistema en los procesos de la organización, no en el sistema en abstracto. Por eso la completa quien despliega y usa el sistema, con la información que facilita el proveedor.

1.3 Cubre el proceso en el que se integra el sistema, su duración y frecuencia de uso, las personas y grupos afectados, los riesgos de daño, la supervisión humana y las medidas de gobernanza interna y de reclamación.

1.4 Esta evaluación no sustituye a la evaluación de impacto en protección de datos ni a la evaluación de impacto de IA interna. Las complementa y remite a ellas (ver sección 6).

2. Análisis previo: ¿corresponde realizar la FRIA?

2.1 El equipo evaluador responde a cada pregunta y registra el resultado. La columna "Consecuencia" describe la práctica que adopta la organización; la aplicabilidad legal en cada caso se confirma con el asesor.

Parte A. Unión Europea (artículo 27 del Reglamento (UE) 2024/1689)

Pregunta	Sí / No	Consecuencia
¿El sistema es de alto riesgo según el artículo 6, apartado 2, y figura en el Anexo III, salvo los sistemas del punto 2 (infraestructuras críticas)?		Si es no, la FRIA del art. 27 no aplica; ver pregunta final.
¿La organización es un organismo de Derecho público?		Si es sí y la primera respuesta es sí, se realiza la FRIA.
¿La organización es una entidad privada que presta servicios públicos (por ejemplo, educación, sanidad, servicios sociales, vivienda o administración de justicia por encargo)?		Si es sí y la primera respuesta es sí, se realiza la FRIA. [COMPLETAR: confirmar con su asesor si la actividad concreta se considera servicio público.]
¿El sistema se usa para evaluar la solvencia de personas físicas o establecer su calificación crediticia (salvo detección de fraude financiero)?		Se realiza la FRIA, con independencia de que la entidad sea pública o privada.
¿El sistema se usa para evaluar riesgos y fijar precios de seguros de vida o de salud de personas físicas?		Se realiza la FRIA, con independencia de que la entidad sea pública o privada.

Parte B. Perú (DS 115-2025-PCM)

Pregunta	Sí / No	Consecuencia
¿La organización es una entidad pública o una empresa del Estado y el sistema es de riesgo alto según el reglamento?		Se realiza la evaluación previa con este formato (ver variante Perú).
¿La organización es una empresa privada que usa IA de riesgo alto?		La evaluación es voluntaria; si se realiza, se documenta y se conserva (ver variante Perú).
¿La organización provee IA o servicios con IA a una entidad pública peruana?		Se prepara la información que la entidad necesitará para su evaluación (ver variante Perú).

Pregunta final

Pregunta	Sí / No	Consecuencia
Aunque no sea exigible, ¿el sistema influye en decisiones con efectos significativos sobre personas o grupos vulnerables?		[COMITÉ DE IA] decide si se realiza la FRIA de forma voluntaria.

2.2 Registro de la decisión: conclusión [COMPLETAR: se realiza / no se realiza y motivo], persona que decide [RESPONSABLE], fecha [FECHA].