Evaluación de impacto en los derechos fundamentales (art. 27 del Reglamento de IA): quién debe hacerla y cómo

Referencia y estado

• Norma: Reglamento (UE) 2024/1689 de Inteligencia Artificial (RIA o AI Act), art. 27, «Evaluación de impacto relativa a los derechos fundamentales para los sistemas de IA de alto riesgo». En inglés se la conoce como FRIA (fundamental rights impact assessment).
• Aplicable desde el 2 de diciembre de 2027: el art. 27 está en el capítulo III, sección 3, que para los sistemas del anexo III aplica desde esa fecha (art. 113, párrafo tercero, letra c), inciso i), en la redacción del Reglamento (UE) 2026/1744). Ver el calendario.
• Cambios del Ómnibus: reescribe los apartados 4 y 5 (relación con la evaluación de impacto del RGPD y modelo de cuestionario). Los apartados 1 a 3 no cambian.

Qué dice

Quién (apartado 1). Antes de desplegar un sistema de alto riesgo del art. 6, apartado 2 (anexo III), salvo los del anexo III, punto 2 (infraestructuras críticas), deben hacer la evaluación:

• los responsables del despliegue que sean organismos de Derecho público;
• las entidades privadas que prestan servicios públicos;
• los responsables del despliegue de los sistemas del anexo III, punto 5, letras b) y c): evaluación de la solvencia o calificación crediticia de personas físicas, y evaluación de riesgos y fijación de precios en seguros de vida y de salud.

Qué contiene (apartado 1, letras a) a f)).

Cuándo y cómo se actualiza (apartado 2). Se hace antes del primer uso. En casos similares se puede apoyar en evaluaciones previas o en las del proveedor. Si algún elemento cambia durante el uso, hay que actualizarla.

Notificación (apartado 3). El resultado se notifica a la autoridad de vigilancia del mercado con el modelo del apartado 5. Puede quedar exenta de notificación en el caso del art. 46, apartado 1 (autorización excepcional de la autoridad de vigilancia del mercado, por ejemplo por motivos de seguridad pública).

Relación con la evaluación de impacto del RGPD (apartado 4, redacción del Ómnibus). Si alguna obligación ya se cumple con la evaluación de impacto relativa a la protección de datos del art. 35 del RGPD (o del art. 27 de la Directiva (UE) 2016/680), el responsable puede incluir referencias cruzadas a esa evaluación o incorporar sus partes pertinentes. Antes del Ómnibus, el texto decía que esta evaluación «complementará» la de protección de datos.

Modelo de cuestionario (apartado 5). La Oficina de IA elaborará un modelo, también como herramienta automatizada, que permitirá esas referencias cruzadas. A 9 de octubre de 2026 no hemos localizado el modelo publicado.

Qué significa en la práctica

• No es para todos los responsables del despliegue: solo para los tres grupos del apartado 1. Una empresa privada que usa IA en selección de personal (anexo III, punto 4) no está obligada por el art. 27, salvo que preste servicios públicos; sí tiene las obligaciones generales del art. 26.
• Bancos, entidades de crédito y aseguradoras de vida y salud que usen IA para evaluar solvencia o tarificar deben hacerla aunque sean privados.
• Aprovecha la EIPD: si el sistema trata datos personales, la evaluación del art. 35 del RGPD suele ser obligatoria y muchas partes se pueden reutilizar mediante referencias cruzadas.
• Hay que notificarla, no solo hacerla y guardarla.

Quién está obligado

Desde cuándo

• 27 de julio de 2026: entra en vigor la redacción actual de los apartados 4 y 5 (Reglamento (UE) 2026/1744).
• 2 de diciembre de 2027: aplicación del art. 27 junto con el resto de obligaciones de alto riesgo del anexo III.
• 2 de agosto de 2030: plazo para los sistemas de alto riesgo de autoridades públicas que ya estuvieran en el mercado (art. 111, apartado 2).

Qué hacer ahora

1. Comprueba si estás en alguno de los tres grupos del apartado 1 y qué sistemas del anexo III usas (ficha del art. 6).
2. Revisa tus evaluaciones de impacto del RGPD de esos sistemas: serán la base para las referencias cruzadas.
3. Pide al proveedor la información del art. 13 (instrucciones de uso, riesgos, supervisión humana): la necesitas para las letras d) y e).
4. Prepara un procedimiento interno para hacer, notificar y actualizar la evaluación antes del 2 de diciembre de 2027.

Relación con otras normas

• RGPD, art. 35: obliga a evaluar el impacto en la protección de datos cuando un tratamiento, en particular con nuevas tecnologías, probablemente entrañe un alto riesgo para los derechos y libertades. El art. 27 del Reglamento de IA permite apoyarse en ella (apartado 4).
• Directiva (UE) 2016/680 (tratamientos policiales): su art. 27 cumple el mismo papel para las autoridades competentes.
• Reglamento de IA, art. 6 y anexo III: determinan qué sistemas son de alto riesgo. Ver la ficha del art. 6 y el anexo III.
• Sanciones: el art. 99 del Reglamento de IA menciona expresamente las obligaciones del art. 26, pero no el art. 27. El régimen sancionador español sigue pendiente de ley: ver el análisis de la ley española de gobernanza de la IA.

Preguntas frecuentes

¿Una empresa privada tiene que hacer la evaluación del art. 27?

Solo si presta servicios públicos o usa IA para evaluar la solvencia de personas físicas o tarificar seguros de vida y salud (anexo III, punto 5, letras b) y c)).

¿Sustituye a la evaluación de impacto del RGPD?

No. Son evaluaciones distintas, pero desde el 27 de julio de 2026 la del art. 27 puede incluir referencias cruzadas a la del art. 35 del RGPD o incorporar sus partes pertinentes.

¿Hay que repetirla cada vez que se usa el sistema?

No. Se hace antes del primer uso y se actualiza si cambia alguno de sus elementos.

¿A quién se notifica?

A la autoridad de vigilancia del mercado, con el modelo de la Oficina de IA. En España, AESIA es el punto de contacto único comunicado a la Comisión; qué autoridad recibe cada notificación lo concretará la futura ley española (ver el análisis de la ley española de gobernanza de la IA).