Lo esencial
- Una evaluación de impacto de IA mide lo que un sistema hace a las personas, no lo que cuesta a la organización. Esa orientación determina qué reglas le resultan aplicables.
- Seis instrumentos distintos comparten el mismo nombre. Solo algunos vinculan jurídicamente, y cuál se aplica depende de su papel, su sector y su jurisdicción.
- La evaluación de impacto sobre los derechos fundamentales del artículo 27 del Reglamento de IA solo recae sobre tres categorías estrictas de responsables del despliegue, no sobre toda organización que use IA.
- La norma
ISO/IEC 42005es el método de referencia cuando ninguna ley le obliga. Son directrices, y nadie puede certificarle frente a ellas. - El calendario ha cambiado. El artículo 27 se aplica desde el 2 de diciembre de 2027, y Colorado suprimió su propia obligación de evaluación en mayo de 2026.
Qué es realmente una evaluación de impacto de IA
Se trata de un examen estructurado de los efectos que un sistema de inteligencia artificial produce sobre las personas a las que alcanza: los individuos sometidos a sus decisiones, los grupos que clasifica y el público que convive con las consecuencias. La mirada se dirige hacia fuera. Esa sola propiedad la separa de la mayoría de los análisis que una organización ya realiza.
Un análisis de riesgos pregunta cuánto puede costar el sistema a la empresa: exposición regulatoria, interrupciones, daño reputacional, fallo del modelo. Una evaluación de impacto de IA pregunta cuánto puede costar a un tercero: un solicitante de crédito rechazado, un viajero señalado por error, una candidatura descartada antes de que un seleccionador abriera el expediente. Ambos ejercicios se solapan, porque el daño a las personas termina convirtiéndose en daño a la organización, pero no son intercambiables. Una empresa puede mantener un registro completo de riesgos y no disponer de prueba alguna sobre si sus sistemas tratan a las personas de forma equitativa, como recordamos al hablar de gobernanza de la IA.
La segunda propiedad distintiva tiene que ver con el momento. Es un hito de decisión, no un informe redactado tras la puesta en producción. Su razón de ser es influir en la decisión de despliegue mientras sigue abierta. Los análisis elaborados una vez cerrada la licitación y firmado el contrato documentan decisiones ya tomadas en lugar de fundamentarlas, y ese es el modo de fallo que los profesionales señalan con más frecuencia.
El sector público formalizó la evaluación de impacto de IA antes que el privado. La herramienta de evaluación del Gobierno australiano es un cuaderno rellenable que guía a la administración por la finalidad, los beneficios esperados y una estimación del riesgo inherente en ocho categorías, antes incluso de aplicar cualquier umbral. Es una estructura que merece la pena reproducir aun donde ninguna política la imponga.
La tercera propiedad es que el resultado es un registro. Sea cual sea el marco adoptado, lo que queda es un documento escrito que nombra el sistema, los grupos afectados, los daños considerados, las medidas de mitigación adoptadas y la persona que aceptó la posición residual. Es precisamente ese documento el que una autoridad, un auditor o un reclamante pedirán ver.
Seis regímenes, un mismo nombre
La expresión abarca al menos seis instrumentos distintos, que difieren en destinatarios, hecho desencadenante, entregable exigido y existencia o no de sanción.
| Instrumento | Obligados | Desencadenante | Entregable | Sancionable |
|---|---|---|---|---|
| Art. 27 Reglamento de IA (EIDF) | Solo tres categorías de responsables del despliegue | Antes del primer uso de un sistema de alto riesgo del anexo III | Evaluación escrita, notificación a la autoridad de vigilancia del mercado, resumen público | Sí, desde el 2 dic. 2027 |
ISO/IEC 42005:2025 | Quien la adopte | Voluntario, continuo a lo largo del ciclo de vida | Evaluación documentada dentro de un sistema de gestión de IA | No, solo directrices |
| Art. 35 RGPD (EIPD) | Todo responsable del tratamiento | Tratamiento con probable alto riesgo para derechos y libertades | Expediente de EIPD, consulta previa si el riesgo residual sigue alto | Sí, desde 2018 |
| Canadá, Directiva sobre la toma de decisiones automatizada | Instituciones federales | Antes de la puesta en producción | Algorithmic Impact Assessment, publicado | Sí, como norma administrativa |
| Colorado SB 24-205, en su versión modificada | Responsables del despliegue en Colorado | En vigor desde el 1 ene. 2027 | Solo obligaciones de información, el deber de evaluación fue derogado | En parte |
| Local Law 144 de Nueva York | Empleadores con herramientas automatizadas de selección | Cada año, antes del uso | Auditoría independiente de sesgos, resumen publicado | Sí, desde julio de 2023 |
Dos observaciones pesan más que la propia tabla.
En primer lugar, los únicos instrumentos que acarrean sanciones para una empresa privada en Europa son el Reglamento de IA y el RGPD, y actúan sobre planos distintos. En segundo lugar, la mayoría de las organizaciones interesadas en el tema no entra en el artículo 27 y estaría mejor servida por la norma ISO/IEC 42005 como método que por un texto jurídico que no las menciona. Resolver esto pronto ahorra una cantidad notable de trabajo inútil. El mapa de qué norma alcanza a qué organización se desarrolla en nuestro análisis de los desafíos de la gobernanza de la IA.
Quién debe realmente realizar la EIDF del artículo 27
Es aquí donde la documentación publicada resulta menos precisa. El artículo 27 no se aplica a todo responsable del despliegue de un sistema de alto riesgo, y no afecta en absoluto a los proveedores.
Tres categorías de responsables del despliegue están obligadas a llevar a cabo una evaluación de impacto sobre los derechos fundamentales, tal como exponen el European Center for Not-for-Profit Law y el Instituto Danés de Derechos Humanos en su guía práctica sobre esta obligación:
- Las autoridades públicas que desplieguen sistemas de alto riesgo en los ámbitos del anexo III: biometría, educación y formación profesional, empleo, acceso a servicios públicos y privados esenciales, aplicación de la ley, migración y control de fronteras, y administración de justicia y procesos democráticos.
- Las entidades privadas que presten servicios públicos esenciales.
- Las entidades aseguradoras y bancarias que empleen IA para fijar precios en seguros de vida y salud o para evaluar la solvencia de personas físicas.
La tercera categoría merece atención particular en el mercado español: alcanza directamente a las entidades supervisadas por la DGSFP y el Banco de España en cuanto un modelo interviene en la tarificación de salud y vida o en la concesión de crédito a particulares.
Cualquier otro responsable del despliegue de un sistema de alto riesgo sigue sujeto a las obligaciones del artículo 26, incluidas la supervisión humana y la notificación de incidentes graves, pero no a la EIDF.
Los proveedores quedan enteramente fuera del artículo 27. Su obligación equivalente es el sistema de gestión de riesgos del artículo 9, que recorre todo el ciclo de vida del sistema introducido en el mercado. Este reparto genera confusión porque ambos procesos examinan el daño, pero recaen en partes distintas y producen registros distintos.
Consecuencia práctica: quien venda un sistema de alto riesgo a administraciones públicas europeas recibirá peticiones de material que alimentará las EIDF de sus clientes, aunque él no deba ninguna. Las cláusulas contractuales sobre calidad de los datos, documentación para la explicabilidad y notificación de cambios que afecten a la exactitud son el mecanismo habitual.
Qué exige producir el artículo 27
El precepto enumera el contenido. Una evaluación de impacto sobre los derechos fundamentales debe describir los procesos del responsable del despliegue en los que se usará el sistema de alto riesgo conforme a su finalidad prevista; el periodo y la frecuencia de uso previstos; las categorías de personas físicas y grupos que probablemente se vean afectados; los riesgos específicos de daño para esas categorías, teniendo en cuenta la información facilitada por el proveedor; la aplicación de las medidas de supervisión humana con arreglo a las instrucciones de uso; y las medidas que se adoptarán si esos riesgos se materializan, incluidos los mecanismos de gobernanza interna y de reclamación.
Dos obligaciones acompañan al documento. El responsable del despliegue notifica los resultados a la autoridad de vigilancia del mercado, salvo una exención estrecha. Los responsables públicos publican un resumen en la base de datos europea de sistemas de alto riesgo, mientras que los resúmenes de autoridades policiales y migratorias van a una sección restringida visible solo para las autoridades de vigilancia.
La obligación de publicación es la parte más subestimada. Un resumen destinado al público debe explicar, en un lenguaje comprensible para quien no es especialista, cómo se usa el sistema, qué decisiones se toman a partir de sus salidas, qué constató la evaluación, qué mitigaciones se eligieron, por qué se consideró aceptable el despliegue y cómo puede reclamar una persona afectada. Una documentación redactada solo con lógica defensiva rara vez resiste esa traducción. Construir bien el registro la primera vez sale claramente más barato.
EIDF y EIPD: dónde está la frontera
Las organizaciones sujetas al artículo 27 casi siempre lo están también al artículo 35 del RGPD, de modo que la pregunta práctica es si conviene un proceso o dos.
La guía de ECNL y el Instituto Danés los trata como ejercicios separados pero complementarios, y esa es la opción más prudente. Una evaluación de impacto relativa a la protección de datos atiende a los riesgos nacidos del tratamiento de datos personales. Una evaluación de impacto sobre los derechos fundamentales atiende a los efectos sobre el conjunto de los derechos de la Carta, incluidos daños sin ninguna conexión con un tratamiento. La destrucción de empleo derivada de introducir un sistema es el ejemplo más nítido: no se plantea cuestión alguna de datos personales, y la EIPD no ofrece epígrafe donde consignarla. Lo mismo ocurre con la pérdida de competencia entre profesionales que se apoyan en salidas automatizadas, y con los efectos sobre el acceso a la educación y la sanidad que operan a escala de grupo y no de persona identificada.
En la práctica, la mayoría de los equipos comparte las entradas y separa los resultados. La descripción del sistema, el mapa de datos y la lista de partes interesadas sirven a ambos. El análisis de derechos, el método de graduación de la gravedad y el acta de las consultas pertenecen a la EIDF. Fundir por completo los dos ejercicios produce un documento dominado por el vocabulario de la protección de datos, en el que los daños ajenos a los datos desaparecen en silencio.
ISO 42005: el método cuando ninguna ley le obliga
La norma ISO/IEC 42005:2025, publicada en abril de 2025, aporta un método estructurado de evaluación del impacto de los sistemas de IA. Aborda la delimitación del análisis, la consideración del comportamiento técnico, los datos, el flujo de uso, los grupos afectados, los usos indebidos previsibles, la responsabilidad, los controles y el seguimiento, además de la reevaluación a lo largo del ciclo de vida.
Dos extremos se presentan con frecuencia de forma incorrecta. Son directrices y no una norma de requisitos: no existe certificación frente a ISO/IEC 42005 y toda afirmación en contrario es errónea. Además, la norma está concebida para operar dentro de un sistema de gestión de IA y no junto a él, como complemento de la ISO/IEC 42001 y no en competencia con ella. Quien ya opere ese sistema de gestión conducirá la evaluación de impacto de IA como uno de sus procesos documentados y no como ejercicio aislado.
Para la gran mayoría de las organizaciones, este es el instrumento adecuado. Ofrece un método defendible, encaja con el contenido que exige el Reglamento de IA si más adelante entrase en su ámbito, y produce el rastro probatorio que clientes y aseguradoras piden cada vez más, en la misma lógica que el marco NIST de gestión de riesgos. Es una decisión que puede tomar ahora, sin esperar a que una autoridad le señale.
Cómo llevar a cabo una evaluación de impacto de IA
El método que sigue reproduce la estructura en cinco fases de la guía de ECNL y el Instituto Danés, pensada para el artículo 27 pero trasladable sin forzarla a un recorrido voluntario.
Formar el equipo y delimitar el alcance
Existen tres modelos. Un equipo interno multidisciplinar preserva la responsabilidad y desarrolla competencia propia, pero queda superficial donde falta experiencia. Una evaluación externalizada compra independencia y pericia, a costa de diluir la responsabilidad y de no captar las realidades institucionales. El modelo híbrido, un equipo interno asistido por un comité de expertos externos, funciona mejor en despliegues de gran alcance, a cambio de esfuerzo de coordinación.
La delimitación exige un análisis de contexto en tres ejes: el contexto de despliegue, esto es finalidad, duración, decisiones tomadas a partir de las salidas y personas afectadas; las características del sistema, esto es comportamiento técnico, tratamiento de datos personales y lo que se sabe sobre calidad y exactitud de los datos; y el esquema de gobernanza, esto es el reparto de responsabilidades con el proveedor, el proceso de seguimiento y las medidas de supervisión humana y transparencia.
Evaluar gravedad y probabilidad
Construya de tres a cinco escenarios concretos que describan cómo el sistema podría dañar a las personas, incluido un escenario extremo, e identifique todos los derechos que cada uno pone en juego. Los derechos están interconectados: un sistema sesgado en el ámbito educativo alcanza a la vez la no discriminación, el derecho a la educación, los derechos de la infancia y la intimidad.
La gravedad se aprecia después según cuatro parámetros: la intensidad de la injerencia en el derecho, el alcance del impacto y el número de personas afectadas, la seriedad del daño material, psicológico o físico, y su irreversibilidad. La probabilidad depende de cómo cumple el proveedor sus propias obligaciones, de la calidad de los datos, del grado de supervisión humana efectiva, del margen para modificaciones posteriores y del potencial de interferencia malintencionada.
Merecen atención particular las personas en situación de vulnerabilidad, que sufren el mismo impacto con mayor dureza y disponen de menos vías de reparación. El propio Reglamento de IA cita a las personas en pobreza extrema, las minorías étnicas y religiosas, los menores y las personas con discapacidad.
Elegir mitigaciones y decidir
Las medidas de mitigación se agrupan en tres familias. Las organizativas cubren supervisión humana, gestión de reclamaciones, transparencia pública y competencia del personal. Las técnicas cubren registro de trazas, seguridad y calidad de los datos de entrada. Las contractuales vinculan al proveedor en cuanto a representatividad de los datos, entrega de documentación para las solicitudes de explicabilidad y notificación de cambios que afecten a la exactitud.
La decisión de despliegue depende entonces de qué derechos estén en juego. Unos pocos derechos son absolutos, entre ellos la prohibición de la tortura y la libertad de pensamiento, y ninguna injerencia resulta admisible en ellos con independencia de la gravedad o la probabilidad. Los demás son limitables: una injerencia puede ser lícita si está prevista en la ley, persigue un fin legítimo y se mantiene necesaria y proporcionada. El equipo evaluador no es un tribunal ni debe alcanzar precisión judicial, pero recorrer ese test le muestra los criterios con los que se juzgaría después la conducta de la organización.
Vigilar y actualizar
Con el despliegue no termina la evaluación de impacto de IA. Vigile si las mitigaciones funcionan realmente, a partir del volumen de reclamaciones y su resolución, la calidad observada de la supervisión humana y el retorno de las personas usuarias. Actualice el análisis cuando cambie el uso, cuando aparezcan efectos no previstos, cuando una medida rinda menos de lo esperado o cuando se mueva el marco jurídico.
El calendario real en 2026
Todo lo escrito sobre el tema antes de mediados de 2026 arrastra ya fechas equivocadas.
En Europa, el Reglamento ómnibus digital sobre IA, Reglamento (UE) 2026/1744, fue aprobado por el Parlamento Europeo el 16 de junio de 2026 y por el Consejo el 29 de junio de 2026, publicado en el Diario Oficial el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026. Aplaza las obligaciones sobre sistemas de alto riesgo autónomos del anexo III, y con ellas la EIDF del artículo 27, del 2 de agosto de 2026 al 2 de diciembre de 2027. Los sistemas de alto riesgo integrados del anexo I pasan al 2 de agosto de 2028. Las prácticas prohibidas del artículo 5 no se ven afectadas y se aplican desde el 2 de febrero de 2025.
El artículo 27, apartado 5, encarga a la Oficina de IA elaborar un cuestionario modelo que facilite el cumplimiento. A mediados de 2026 no se había publicado y no tiene plazo asignado. Su ausencia no suspende la obligación: a las organizaciones afectadas les conviene construir su método ahora en lugar de esperar un formulario.
En Estados Unidos el movimiento fue en sentido contrario. La ley SB 189 de Colorado, firmada el 14 de mayo de 2026, aplaza el Colorado AI Act al 1 de enero de 2027 y suprime el deber de diligencia frente a la discriminación algorítmica, el programa de gestión de riesgos del responsable del despliegue y la obligación de evaluación de impacto, dejando un esquema centrado en información y transparencia con derechos limitados de acceso, rectificación y revisión humana. Cualquier documentación que siga describiendo un deber de evaluación en Colorado describe una disposición derogada.
Para un responsable del despliegue europeo el saldo neto son unos dieciocho meses adicionales, y un argumento sólido para dedicarlos al método y no al plazo.
Preguntas frecuentes
¿Es obligatoria por ley una evaluación de impacto de IA?
A veces. Conforme al Reglamento de IA solo alcanza a tres categorías de responsables del despliegue: autoridades públicas con sistemas de alto riesgo del anexo III, entidades privadas que prestan servicios públicos esenciales, y aseguradoras y bancos que usan IA para tarificación de vida y salud o para solvencia. Conforme al RGPD, una EIPD procede siempre que el tratamiento entrañe probablemente un alto riesgo para derechos y libertades, lo que abarca mucho más. La norma ISO/IEC 42005 es voluntaria. La mayoría de las empresas privadas no debe ninguna evaluación legal y la adopta como buena práctica.
¿En qué se diferencia de un análisis de riesgos?
En la dirección de la mirada. Un análisis de riesgos protege a la organización frente al sistema y mide exposición, coste y fallo. Una evaluación de impacto de IA protege a las personas frente al sistema y mide efectos sobre sus derechos, sus oportunidades y su trato. El Reglamento de IA usa ambos: el artículo 9 da a los proveedores un sistema de gestión de riesgos, y el artículo 27 da a determinados responsables del despliegue una evaluación de impacto sobre los derechos fundamentales.
¿La EIDF equivale a la EIPD?
No. Una EIPD del artículo 35 del RGPD aborda riesgos derivados del tratamiento de datos personales. Una EIDF aborda efectos sobre todos los derechos de la Carta, incluidos daños sin dimensión de tratamiento como la destrucción de empleo. Las organizaciones sujetas a ambas comparten normalmente las entradas y conservan dos expedientes separados.
¿Se puede obtener la certificación ISO 42005?
No. La ISO/IEC 42005:2025 es un documento de directrices y no una norma de requisitos, de modo que no hay nada que auditar a efectos de certificación. La norma certificable de esta familia es la ISO/IEC 42001 sobre el sistema de gestión de IA, y un proceso de evaluación de impacto puede acreditarse dentro de ella.
¿Para cuándo hay que tenerlo listo?
Para los responsables del despliegue incluidos en el artículo 27, antes del primer uso del sistema, con obligación aplicable desde el 2 de diciembre de 2027 tras el aplazamiento del ómnibus digital. Para una EIPD, antes de iniciar el tratamiento. Para las auditorías de sesgos de la Local Law 144 neoyorquina, dentro de los doce meses anteriores al uso. Para un recorrido voluntario conforme a ISO/IEC 42005, antes de la decisión de despliegue y después de forma recurrente a lo largo del ciclo de vida.
¿Quién debe realizarla?
Un equipo multidisciplinar y no solo los responsables del modelo. La guía recomienda combinar conocimiento de derechos fundamentales con ingeniería, asesoría jurídica, protección de datos, compras y operaciones, y consultar a las personas a las que afectará el sistema o a sus representantes legítimos. Si internamente falta la pericia en derechos, conviene contratarla o acompañar al equipo interno con un comité asesor externo, en lugar de prescindir de esa perspectiva.
Conclusión
La pregunta útil no es cómo llevar a cabo una evaluación de impacto de IA en abstracto, sino cuál le corresponde y qué rastro deja tras de sí. Para la mayoría de las organizaciones la respuesta honesta en 2026 es que ninguna norma las señala todavía, que la ISO/IEC 42005 es el método que conviene adoptar, y que el aplazamiento de dieciocho meses del artículo 27 es la ocasión de construir bien el registro y no un motivo para esperar.
Lo que separa un análisis defendible de uno simplemente archivado es el rastro que lo sostiene: los escenarios examinados, el razonamiento sobre la gravedad, las mitigaciones asignadas a responsables con nombre y el seguimiento que demuestra que aguantaron. AI Sigil conserva ese rastro como registro vivo, asociado a cada sistema y a cada marco normativo que usted opera, de manera que el análisis sea un subproducto de su gobernanza y no un documento que haya que reconstruir contra reloj.