Los cinco registros que sostienen una FRIA del artículo 27
Distinga la evaluación de impacto sobre derechos fundamentales del artículo 27 de una revisión genérica de riesgos de IA mediante cinco registros de alcance, uso, personas, salvaguardias y notificación.
Señales que conviene observar
- Un despliegue de IA identificado se acerca a una decisión de gobierno, compra o puesta en producción y la FRIA sigue incompleta
- La conversación menciona un servicio público, una decisión de crédito o un uso asegurador, pero no confirma el responsable del despliegue ni la clasificación del artículo 6(2)
- Existe un registro de riesgos del proveedor, pero nadie asume las categorías afectadas, la supervisión humana, las reclamaciones o la notificación
Una evaluación de impacto sobre los derechos fundamentales (FRIA) de la Ley de IA de la UE es una evaluación del responsable del despliegue sobre cómo un sistema concreto de alto riesgo puede afectar a personas en su contexto real de uso antes del despliegue. El artículo 27 exige documentar el proceso, el periodo y la frecuencia de uso, las categorías afectadas, los riesgos, la supervisión humana y las medidas si el riesgo se materializa, y después notificar a la autoridad de vigilancia del mercado cuando corresponda. No es un registro genérico de riesgos de IA ni el informe de conformidad del proveedor.
La diferencia importa al responsable de una práctica de consultoría de gobernanza de IA que sigue grupos autorizados de Telegram sobre implantación, digitalización de servicios públicos y sectores regulados. Un mensaje que diga «la FRIA sigue abierta» puede señalar trabajo de evaluación, gobierno, reclamaciones, supervisión o notificación, pero solo después de verificar el papel jurídico, la clasificación y el contexto. Si aparece después de la reunión de despliegue, quizá ya se hayan asignado los propietarios de las pruebas y el alcance del asesor externo.
La reunión necesita cinco registros, no una sola «revisión de riesgos de IA»
El texto oficial de la Ley de IA describe el artículo 27 como una evaluación del impacto sobre los derechos fundamentales que puede producir el uso del sistema. La definición tiene dos límites útiles.
Primero, está ligada al proceso real del responsable del despliegue. El expediente debe indicar en qué proceso se usa el sistema conforme a su finalidad prevista, durante cuánto tiempo y con qué frecuencia. El registro general del proveedor puede aportar información, pero no describe el servicio, la población afectada ni la vía de reclamación de cada usuario.
Segundo, se ocupa de personas y salvaguardias, no solo del rendimiento del modelo. Identifica categorías de personas físicas y grupos probablemente afectados, riesgos concretos de perjuicio, aplicación de la supervisión humana y medidas para cuando los riesgos se materialicen, incluidas la gobernanza interna y las reclamaciones.
También separa pruebas vecinas. La evidencia de registros del artículo 12 trata el registro automático de eventos y el control de logs. La evidencia de alfabetización del artículo 4 trata los conocimientos de quienes operan alrededor del sistema. Ambas pueden apoyar el expediente, pero ninguna es la FRIA.
La puerta de entrada es el alcance
El artículo 27 no impone la misma FRIA para toda IA. Se aplica antes de desplegar determinados sistemas de alto riesgo del artículo 6(2), dentro de los límites expresos. Incluye a organismos regidos por el Derecho público, entidades privadas que prestan servicios públicos y responsables de los sistemas de los puntos 5(b) y 5(c) del anexo III: evaluación de solvencia o puntuación crediticia de personas físicas, y evaluación de riesgos y precios en seguros de vida y salud. Excluye de esta obligación específica los sistemas destinados al área de infraestructuras críticas del punto 2 del anexo III.
Antes de poner precio al «apoyo FRIA», el registro de alcance debe responder:
- ¿Qué sistema y finalidad prevista se van a desplegar?
- ¿Qué evidencia respalda o contradice la clasificación del artículo 6(2)?
- ¿Qué entidad jurídica es responsable del despliegue y por qué entra en una categoría del artículo 27?
- ¿Es el primer uso, un caso similar que reutiliza una evaluación o un cambio que vuelve obsoleta la anterior?
El artículo 113 fija el 2 de agosto de 2026 como fecha general de aplicación y aplaza el artículo 6(1) y sus obligaciones correspondientes al 2 de agosto de 2027. El artículo 27 remite al 6(2), no al 6(1). La fecha ayuda a revisar el mensaje, pero no sustituye el análisis de transición, clasificación o autoridad competente.
Un hilo incompleto puede revelar cinco lagunas distintas
Este es un hilo compuesto e ilustrativo. No es una conversación de cliente, una conclusión jurídica ni un resultado comercial:
«El modelo de admisión de vivienda entra el mes que viene. La diapositiva FRIA sigue abierta».
«El proveedor mandó su registro de riesgos. No sabemos quién lleva las apelaciones».
«¿Puede cubrirlo la EIPD? Reunión de dirección mañana».
Los fragmentos contienen un evento de despliegue, un posible servicio público, material del proveedor y una reclamación sin propietario. No prueban la entidad jurídica, el artículo 6(2), la naturaleza pública del servicio, las personas afectadas, la decisión influida, la supervisión, el contenido de la evaluación de impacto de protección de datos (EIPD) ni la autoridad competente.
La señal comercial es «puede existir una necesidad delimitada de descubrimiento de evidencias del artículo 27», no «esta entidad debe comprar una FRIA». El responsable de la práctica puede elevar el hilo a una persona cualificada mientras la reunión sigue abierta.
El mapa FRIA de cinco registros
El mapa convierte el artículo 27 en cinco expedientes transferibles sin fingir que una tabla decide el Derecho.
| Registro | Qué debe conservar | Condición de parada |
|---|---|---|
| 1. Responsable y alcance | Entidad, sistema, finalidad, base del artículo 6(2), categoría del artículo 27 y postura sobre primer uso o reutilización | «Sector público» o «alto riesgo» es solo una etiqueta |
| 2. Proceso y uso | Proceso, decisión apoyada, periodo, frecuencia, límite del despliegue y responsable | La descripción del producto sustituye el uso real |
| 3. Personas y perjuicio | Categorías afectadas, riesgos para derechos, información del proveedor y dudas | Se enumeran derechos abstractos sin persona, proceso o decisión |
| 4. Supervisión y respuesta | Supervisión humana, autoridad para intervenir, gobierno, reclamaciones y medidas | «Humano en el circuito» carece de rol, acción y escalado |
| 5. Actualización y notificación | Versión, detonantes de cambio, referencia a EIPD, cuestionario, autoridad, estado y justificante | «FRIA completa» solo figura en una diapositiva |
Los registros tercero y cuarto están separados a propósito. Enumerar perjuicios no demuestra que alguien pueda detectarlos, detenerlos o remediarlos. Un buzón de reclamaciones tampoco prueba que se hayan identificado los grupos y riesgos del uso real.
El artículo 27(2) aplica la obligación al primer uso y permite apoyarse en evaluaciones anteriores en casos similares. Reutilizar exige comparar responsable, finalidad, población, frecuencia, información del proveedor y salvaguardias. Los elementos cambiados u obsoletos deben actualizarse.
Tras la evaluación, el artículo 27(3) exige notificar los resultados a la autoridad de vigilancia del mercado con el formulario cumplimentado del apartado 5, sin perjuicio de la excepción indicada respecto del artículo 46(1). El artículo 27(4) añade que la FRIA complementa las obligaciones ya cubiertas por una EIPD del RGPD o del ámbito policial. «Ya tenemos EIPD» abre una comprobación cruzada; no crea una exención automática.
Preguntas que cambian el alcance antes de cotizar
La primera respuesta debe pedir hechos capaces de cambiar la ruta:
- nombre, versión, finalidad y fecha de despliegue del sistema;
- entidad usuaria y servicio o decisión apoyada;
- postura documentada sobre el artículo 6(2) y posibles excepciones;
- categorías afectadas e información del proveedor disponible;
- rol de supervisión, responsable de reclamaciones y medidas;
- FRIA, evaluación del proveedor o EIPD que se pretenda reutilizar;
- autoridad de vigilancia y estado de notificación, si se conocen.
Así se distinguen cuatro encargos: descubrimiento de clasificación, primera FRIA, actualización de evaluación o reparación de notificación. También se ve cuándo hacen falta especialistas jurídicos, de derechos, protección de datos, diseño de servicios y tecnología en vez de un taller genérico.
TOP Prospect puede detectar, combinar, deduplicar y ordenar fragmentos de grupos de Telegram que el usuario conecta deliberadamente y está autorizado a consultar, conservando mensaje, fuente, hora, resumen de IA y motivos para revisión humana. No puede clasificar el sistema, decidir el alcance, inspeccionar el despliegue, hacer la FRIA, notificar, contactar al autor ni leer fuentes privadas o no autorizadas. El flujo de señales empresariales de Telegram explica cómo llega el candidato a revisión humana.
Hechos clave para la revisión
- El artículo 27 cubre determinados sistemas del artículo 6(2) y determinados responsables; no toda IA.
- La evaluación precede al despliegue y cubre proceso, periodo y frecuencia reales.
- Identifica personas, perjuicios, supervisión y medidas ante riesgos materializados.
- Puede apoyarse en evaluaciones anteriores similares, pero debe actualizar elementos cambiados u obsoletos.
- La FRIA complementa la EIPD cuando esta ya cubre parte de las obligaciones.
- La notificación, cuando corresponde, usa el cuestionario cumplimentado y conserva su evidencia.
- El artículo 113 fija el 2 de agosto de 2026 como fecha general y difiere por separado el artículo 6(1).
Preguntas frecuentes de una práctica de consultoría
¿Una FRIA de la Ley de IA es lo mismo que una evaluación de impacto relativa a la protección de datos?
No. El artículo 27(4) dice que, cuando una evaluación de impacto de protección de datos del RGPD o del ámbito policial ya satisface algunas obligaciones, la FRIA la complementa. Pueden compartir pruebas, pero una no sustituye automáticamente a la otra.
¿Todo sistema de IA de alto riesgo exige una FRIA del artículo 27?
No. El artículo 27 delimita responsables y sistemas del artículo 6(2), excluye los sistemas destinados al área de infraestructuras críticas del punto 2 del anexo III e incluye expresamente los usos de solvencia y de seguros de vida o salud de los puntos 5(b) y 5(c). El alcance exige revisión jurídica del caso.
¿Puede reutilizarse una FRIA anterior?
El artículo 27(2) permite apoyarse, en casos similares, en una FRIA previa o en una evaluación existente del proveedor. Si cambia alguno de los elementos enumerados o deja de estar actualizado, el responsable del despliegue debe actualizar la información.
¿Desde cuándo se aplica el artículo 27?
El artículo 113 fija el 2 de agosto de 2026 como fecha general de aplicación y aplaza por separado el artículo 6(1) y sus obligaciones correspondientes hasta el 2 de agosto de 2027. El artículo 27 remite al artículo 6(2), aunque la transición y los hechos del sistema requieren revisión cualificada.
¿Qué prueba demuestra que el flujo del artículo 27 llegó a la notificación?
El expediente debe conservar la evaluación final, su versión y responsables, el formulario cumplimentado para la autoridad de vigilancia del mercado y, cuando la notificación sea exigible, un justificante de envío. Una diapositiva que diga «FRIA terminada» no equivale a esos registros.
En el hilo compuesto, la reunión no necesita la promesa «la EIPD lo cubre». Necesita cinco registros con responsables y dudas visibles. Eso basta para delimitar la siguiente revisión experta sin confundir evidencia de descubrimiento con una conclusión del artículo 27.
Revisado por el equipo editorial de TOP Prospect el 18 de agosto de 2026. Los hechos jurídicos se contrastaron con el texto oficial del Reglamento (UE) 2024/1689 citado arriba. La clasificación, transición, derechos y notificación del despliegue real requieren revisión cualificada.
Preguntas frecuentes
¿Una FRIA de la Ley de IA es lo mismo que una evaluación de impacto relativa a la protección de datos?
No. El artículo 27(4) dice que, cuando una evaluación de impacto de protección de datos del RGPD o del ámbito policial ya satisface algunas obligaciones, la FRIA la complementa. Pueden compartir pruebas, pero una no sustituye automáticamente a la otra.
¿Todo sistema de IA de alto riesgo exige una FRIA del artículo 27?
No. El artículo 27 delimita responsables y sistemas del artículo 6(2), excluye los sistemas destinados al área de infraestructuras críticas del punto 2 del anexo III e incluye expresamente los usos de solvencia y de seguros de vida o salud de los puntos 5(b) y 5(c). El alcance exige revisión jurídica del caso.
¿Puede reutilizarse una FRIA anterior?
El artículo 27(2) permite apoyarse, en casos similares, en una FRIA previa o en una evaluación existente del proveedor. Si cambia alguno de los elementos enumerados o deja de estar actualizado, el responsable del despliegue debe actualizar la información.
¿Desde cuándo se aplica el artículo 27?
El artículo 113 fija el 2 de agosto de 2026 como fecha general de aplicación y aplaza por separado el artículo 6(1) y sus obligaciones correspondientes hasta el 2 de agosto de 2027. El artículo 27 remite al artículo 6(2), aunque la transición y los hechos del sistema requieren revisión cualificada.
¿Qué prueba demuestra que el flujo del artículo 27 llegó a la notificación?
El expediente debe conservar la evaluación final, su versión y responsables, el formulario cumplimentado para la autoridad de vigilancia del mercado y, cuando la notificación sea exigible, un justificante de envío. Una diapositiva que diga «FRIA terminada» no equivale a esos registros.
Fuentes y lecturas adicionales
Cómo se descubre una Signal que merece atención
La metodología muestra cómo Top Prospect encuentra y organiza Signals que conviene revisar, conserva el contexto original de Telegram, elimina duplicados y ayuda a decidir qué mirar primero. Tú decides si hacer seguimiento y qué hacer después.
