El AI Act exige a los deployers de sistemas de alto riesgo realizar una evaluación de impacto en derechos fundamentales antes del despliegue. Te explicamos qué es una FRIA, cuándo es obligatoria, qué secciones debe incluir y cómo completarla paso a paso con un ejemplo práctico
El AI Act no solo clasifica los sistemas de IA por niveles de riesgo. Para los sistemas de alto riesgo, impone obligaciones concretas a los deployers (las empresas que despliegan y utilizan estos sistemas). Una de las más relevantes —y menos conocidas— es la FRIA: Fundamental Rights Impact Assessment, o Evaluación de Impacto en Derechos Fundamentales.
La FRIA es un documento estructurado que obliga a la empresa a analizar, antes de poner en marcha un sistema de IA de alto riesgo, cómo puede afectar a los derechos fundamentales de las personas. No es un trámite burocrático. Es una evaluación sistemática que identifica riesgos, define salvaguardas y documenta la decisión de despliegue.
Si usas IA para seleccionar personal, evaluar riesgos crediticios, gestionar prestaciones sociales, detectar fraude en seguros o cualquier otro caso de uso incluido en el Anexo III del AI Act, necesitas una FRIA. Y no hacerla —o hacerla mal— puede costarte una sanción significativa.
En este artículo te explicamos qué es exactamente una FRIA, cuándo es obligatoria, qué estructura tiene y cómo completar cada sección con un ejemplo práctico basado en un sistema de preseleccción de candidatos.
Qué es una FRIA y por qué la exige el AI Act
La FRIA es el mecanismo que el AI Act establece para que los deployers de sistemas de alto riesgo evalúen el impacto de su uso en los derechos fundamentales de las personas afectadas. Está regulada en el Artículo 27 del Reglamento.
La lógica es sencilla: si un sistema de IA toma o apoya decisiones que afectan a derechos fundamentales (empleo, crédito, educación, justicia, acceso a servicios esenciales), la empresa que lo usa debe evaluar esos impactos antes de ponerlo en producción, no después.
La FRIA es obligatoria para los deployers de sistemas de alto riesgo clasificados según el Anexo III del AI Act. Esto incluye:
- Empleo y gestión de trabajadores: selección de personal, promoción, evaluación del rendimiento, asignación de tareas basada en IA.
- Acceso a servicios esenciales: evaluación de solvencia crediticia, cálculo de primas de seguros, acceso a prestaciones sociales.
- Migración y control de fronteras: evaluación de riesgo de solicitantes de asilo, verificación de documentos.
- Administración de justicia: evaluación de riesgo de reincidencia, análisis de pruebas.
- Infraestructuras críticas: gestión de redes eléctricas, suministro de agua, tráfico.
Importante: La FRIA es obligación del deployer, no del proveedor. Si compras un sistema de IA de alto riesgo a un tercero, la FRIA es tu responsabilidad como empresa que lo despliega. El proveedor te debe facilitar la información técnica, pero la evaluación de impacto la haces tú.
FRIA vs. DPIA: dos evaluaciones complementarias
Si ya conoces la DPIA (Data Protection Impact Assessment) del RGPD, la FRIA te resultará familiar. Pero no son lo mismo. La DPIA evalúa el impacto en la protección de datos personales. La FRIA evalúa el impacto en el conjunto de derechos fundamentales: igualdad, no discriminación, debido proceso, libertad profesional, acceso a servicios esenciales, privacidad y protección de datos.
En la práctica, para un sistema de IA que trata datos personales y está clasificado como alto riesgo, necesitarás ambas evaluaciones. La buena noticia es que comparten estructura y pueden integrarse: la FRIA puede referenciar la DPIA para todo lo relativo a protección de datos, evitando duplicaciones.
- DPIA (RGPD): Obligatoria cuando hay tratamiento de datos personales con alto riesgo para los derechos de los interesados. Foco: privacidad, minimización de datos, base legal.
- FRIA (AI Act): Obligatoria para deployers de sistemas de alto riesgo (Anexo III). Foco: derechos fundamentales en sentido amplio (igualdad, no discriminación, debido proceso, acceso a servicios).
La FRIA no sustituye a la DPIA. Son complementarias. Para muchos sistemas de IA necesitarás ambas.
Las 9 secciones de una FRIA completa
Basado en las mejores prácticas de la industria y los requisitos del AI Act, una FRIA completa debe incluir las siguientes secciones:
- Portada y metadatos. Identificación del sistema, versión, fecha, responsables (product owner, responsable de despliegue, proveedor, DPO), ámbito organizativo y normativa aplicable (RGPD, DSA, DMA, NIS2).
- Descripción del caso y poblaciones afectadas. Uso previsto del sistema, canal de despliegue, decisiones que soporta, supuestos excluidos. Poblaciones y personas afectadas, con especial atención a colectivos vulnerables. Efectos esperados: beneficios y potenciales perjuicios.
- Mapa de decisiones y consecuencias. Flujo completo: entrada → procesamiento → salida → efecto en la persona. Clasificación AI Act del sistema (prohibido, alto riesgo Anexo III, alto riesgo embebido Anexo I, limitado, mínimo). Identificación de decisiones automatizadas con efectos legales.
- Derechos potencialmente afectados. Análisis de cada derecho fundamental relevante: no discriminación, debido proceso, libertad de expresión, privacidad, acceso a servicios esenciales, libertad profesional.
- Análisis de riesgos (probabilidad × severidad). Enumeración de riesgos específicos por derecho, con fuente, escenario, señales de detección y colectivos expuestos. Escala: probabilidad 1-5, severidad 1-5, riesgo = P×S. Un riesgo ≥15 se considera alto.
- Medidas y salvaguardas. Límites de uso, condiciones de abstención, supervisión humana (quién, cuándo, con qué autoridad), transparencia y explicabilidad, pruebas de no discriminación, gestión de errores e incidentes.
- Riesgo residual y decisión. Tabla resumen: riesgo inicial → medidas → riesgo residual. Si el riesgo permanece alto, alternativas o consulta previa a la autoridad. Decisión: Aprobado / Aprobado con condiciones / No aprobado.
- Publicación y participación. Resumen público (sin información sensible), canal de recurso para las personas afectadas, plazos de impugnación, participación de terceros.
- Integración documental y aprobaciones. Enlaces al expediente técnico, a la DPIA, a los checklists de las puertas de control (Gates). Firmas del product owner, data owner, legal/DPO, seguridad/CISO, dirección. Fecha de aprobación, próxima revisión, histórico de revisiones.
Ejemplo práctico: FRIA para un sistema de preseleccción de candidatos
Veamos cómo se aplica la FRIA a un caso real: una empresa que usa una plataforma de IA para preseleccionar candidatos en procesos de selección. El sistema recibe CVs, extrae atributos, genera un scoring y emite una recomendación de avanzar o rechazar.
Clasificación y poblaciones
El sistema se clasifica como alto riesgo según el Anexo III del AI Act (acceso al empleo). Las poblaciones afectadas incluyen jóvenes, mayores de 55 años y colectivos subrepresentados. El impacto de un error es significativo: un sesgo sistemático puede excluir a colectivos enteros de oportunidades laborales.
Análisis de riesgos
- Sesgo por género/edad en variables derivadas del CV. Probabilidad: 3. Severidad: 5. Riesgo: 15 (ALTO). El modelo puede penalizar indirectamente a mujeres con interrupciones de carrera o a mayores de 55 por no tener ciertas certificaciones recientes.
- Opacidad en el motivo de rechazo. Probabilidad: 3. Severidad: 4. Riesgo: 12 (MEDIO). Si el candidato no puede entender por qué fue rechazado, no puede ejercer su derecho a recurso efectivo.
- Exceso de datos en fases tempranas. Probabilidad: 2. Severidad: 3. Riesgo: 6 (BAJO). Recopilar más datos de los necesarios en la fase de screening viola el principio de minimización del RGPD.
Medidas y salvaguardas
- Contra el sesgo: pruebas de no discriminación por grupos protegidos (regla 4/5 de impacto dispar), reponderación del modelo, muestreo ciego de CVs para validación.
- Contra la opacidad: explicación simplificada de criterios a los candidatos, canal de apelación con plazo definido, revisión humana con autoridad para revertir la decisión del modelo.
- Contra el exceso de datos: minimización de datos por fases, recogida progresiva según avanza el proceso, retención limitada y anonimización de logs.
Decisión
Los riesgos altos se reducen a nivel medio con las medidas propuestas. Decisión: Aprobado con condiciones. El despliegue se condiciona a los resultados de las pruebas de sesgo y a la formación de los revisores humanos.
Semáforo: Si aplicas el sistema semáforo del framework de gobernanza IA — Verde (GO), Ámbar (FIX), Rojo (KILL) — este sistema arranca en Ámbar. Pasa a Verde solo cuando se superan las pruebas de sesgo y se verifica la eficacia de las salvaguardas.
Los 5 errores más comunes al hacer una FRIA
- Hacerla después del despliegue. La FRIA es una evaluación previa al despliegue. Si la haces después, no cumple su función preventiva y el AI Act lo considera incumplimiento.
- Copiar la DPIA y llamarla FRIA. La DPIA solo cubre protección de datos. La FRIA debe analizar todos los derechos fundamentales afectados. Son complementarias, no intercambiables.
- No identificar colectivos vulnerables. Un análisis genérico que no identifica quiénes son los más expuestos al riesgo es insuficiente. La FRIA exige especificidad: ¿qué colectivos? ¿Por qué?
- Omitir el canal de recurso. Las personas afectadas tienen derecho a impugnar decisiones automatizadas. Si tu FRIA no define un canal de recurso con plazos claros, está incompleta.
- No vincularla al expediente técnico. La FRIA no vive aislada. Debe integrarse con el expediente técnico del sistema y con la DPIA. Sin esta integración documental, pierdes trazabilidad.
La FRIA dentro del sistema de gobernanza IA
La FRIA no es un documento aislado. Se integra en el marco de gobernanza IA de tu organización. En el modelo de gobernanza basado en los 5 Pilares de la AI Transformación, la FRIA forma parte del Pilar de Compliance y conecta con:
- El sistema de Gates (puertas de control): La FRIA se completa en la Gate 2 (pre-despliegue). Si la FRIA identifica riesgos residuales altos no mitigables, la puerta se cierra: el sistema no se despliega.
- El AI Steering Committee: El comité de IA de la empresa revisa y aprueba las FRIAs antes de autorizar el despliegue. La FRIA es uno de los inputs clave en la decisión GO/FIX/KILL.
- El expediente técnico: La FRIA se adjunta al expediente técnico del sistema de IA, junto con la documentación técnica, las pruebas de rendimiento y la DPIA.
- La supervisión humana (HITL): Las medidas de supervisión humana definidas en la FRIA deben implementarse operativamente y monitorizarse en producción.
- La Política IA Lite: Los principios de proporcionalidad, responsabilidad y reversibilidad de la política IA de tu empresa se materializan en la FRIA.
El objetivo final es que la FRIA no sea un documento estático que se archiva y se olvida. Debe revisarse periódicamente (al menos cuando haya cambios sustanciales en el sistema) y sus salvaguardas deben monitorizarse en producción.
Checklist rápido: ¿necesitas una FRIA?
Antes de profundizar en plazos y sanciones, responde estas cinco preguntas para determinar si tu sistema de IA requiere una FRIA:
- ¿Tu sistema de IA toma o apoya decisiones que afectan a personas? Si solo automatiza procesos internos sin impacto en individuos (como optimizar rutas logísticas), probablemente no necesitas FRIA.
- ¿Está tu caso de uso en el Anexo III del AI Act? Revisa la lista: empleo, crédito, seguros, educación, migración, justicia, infraestructuras críticas, servicios esenciales.
- ¿Eres el deployer (no solo el proveedor)? Si usas un sistema de IA de un tercero bajo tu autoridad y para tu finalidad, eres deployer y la FRIA es tu responsabilidad.
- ¿Hay colectivos vulnerables entre las personas afectadas? Menores, personas mayores, personas con discapacidad, solicitantes de empleo, beneficiarios de prestaciones sociales.
- ¿La decisión tiene efectos legales o similares? Concesión o denegación de crédito, acceso a empleo, acceso a prestaciones, evaluación de riesgo con consecuencias.
Si has respondido sí a las preguntas 1, 2 y 3, necesitas una FRIA. Si además has respondido sí a la 4 o la 5, tu FRIA requiere un nivel de profundidad y detalle mayor.
Plazos y sanciones
El AI Act establece una aplicación progresiva. Las obligaciones para sistemas de alto riesgo, incluyendo la FRIA, se aplican plenamente a partir de agosto de 2026. Las sanciones por incumplimiento de las obligaciones del deployer pueden alcanzar los 15 millones de euros o el 3% de la facturación global.
Pero no esperes a agosto de 2026. La FRIA requiere un proceso interno (identificar sistemas, clasificarlos, evaluar impactos, definir salvaguardas, obtener aprobaciones). Si empiezas ahora, llegas preparado. Si esperas al último momento, te arriesgas a desplegar sistemas sin la evaluación requerida o a paralizar proyectos por falta de documentación.
Consejo práctico: Empieza por inventariar todos los sistemas de IA que usas o piensas usar. Clasifica cada uno según el Anexo III del AI Act. Para los de alto riesgo, inicia la FRIA con la plantilla de 9 secciones. No necesitas hacerlas todas a la vez: empieza por las secciones 1-3 (descripción y clasificación) y avanza progresivamente.
Conclusión: la FRIA es prevención, no burocracia
La FRIA puede parecer un trámite más en la lista de obligaciones regulatorias. Pero su valor real es operativo: te obliga a pensar en los riesgos antes de que se materialicen, a definir salvaguardas antes de que los problemas aparezcan y a documentar tus decisiones antes de que alguien te las cuestione.
Una FRIA bien hecha no es un documento de 50 páginas que nadie lee. Es un análisis estructurado y pragmático que protege a tu empresa y a las personas afectadas por tus sistemas de IA.
Si necesitas ayuda para realizar la FRIA de tus sistemas de IA, clasificar tus casos de uso según el AI Act o integrar la evaluación de impacto en tu marco de gobernanza, en Impulsa3 tenemos la experiencia y las plantillas para acompañarte en el proceso.
impulsa3.com · Transformación Digital e IA para pymes y ecommerce · servicios@impulsa3.com
