Depende de lo que hagas con la IA, y conviene separar dos cosas que se confunden. La EIPD (evaluación de impacto en protección de datos, artículo 35 del RGPD) se aplica hoy, la vigila la AEPD y es obligatoria cuando el tratamiento con IA supone un alto riesgo para las personas: selección de personal, scoring de clientes, control de empleados o un chatbot que trata datos de salud. La FRIA (evaluación de impacto en derechos fundamentales, artículo 27 del Reglamento de IA) se aplica desde el 2 de diciembre de 2027 y solo a organismos públicos, entidades privadas que prestan servicios públicos y banca o seguros: no toca a la pyme típica.
Dos evaluaciones, dos leyes distintas
«La ley de IA exige una evaluación de impacto» puede referirse a dos instrumentos que no comparten norma, fecha ni destinatario:
| EIPD | FRIA | |
|---|---|---|
| Norma | Art. 35 RGPD | Art. 27 Reglamento (UE) 2024/1689 |
| Desde cuándo | Ya se aplica | 2 de diciembre de 2027 (tras el Digital Omnibus) |
| Quién la hace | Cualquier responsable del tratamiento, también una pyme | Organismos públicos, entidades privadas que prestan servicios públicos, banca y seguros |
| Quién vigila | AEPD, que sanciona hoy (hasta 20 M€ o 4 %) | AESIA, cuando la ley orgánica española le atribuya el régimen sancionador (en el Congreso a 15-09-2026) |
Para tu empresa, la pregunta relevante en 2026 es la EIPD; la FRIA solo te alcanzará si eres uno de los sujetos del artículo 27, y no antes de diciembre de 2027. El resto de obligaciones del Reglamento que sí te afectan está en la guía sobre qué obliga la ley de IA a las empresas.
Cuándo una pyme sí necesita una EIPD
El artículo 35.1 del RGPD obliga a hacer una EIPD antes de iniciar un tratamiento que entrañe probablemente un alto riesgo para los derechos y libertades de las personas, y el 35.4 encarga a cada autoridad publicar una lista de tratamientos que la requieren. La de la AEPD incluye, entre otros criterios, el perfilado, la evaluación de aspectos personales, los datos de categorías especiales, la observación sistemática, las decisiones automatizadas y el uso innovador de tecnologías. La IA encaja con facilidad en varios a la vez.
Con esa lista, cuatro usos habituales en una pyme necesitan EIPD con bastante seguridad. La IA en selección de personal: filtrar o puntuar candidaturas evalúa aspectos personales y perfila, y desde el 2 de diciembre de 2027 es ya alto riesgo del Anexo III y desde el 2 de diciembre de 2027 le aplicarán además las obligaciones del art. 26 (lo detalla la guía de IA en recursos humanos). El scoring de clientes: puntuar personas para decidir si les vendes o en qué condiciones. El control de empleados con IA: análisis de productividad, correo, vídeo o ubicación, que es observación sistemática. Y un chatbot que recoge datos de salud, por ejemplo en una clínica o un gimnasio.
Cuándo no la necesita
La EIPD es un instrumento para tratamientos de datos personales de alto riesgo, no un peaje por usar IA. Redactar textos comerciales sin datos de personas, traducir documentos sin datos personales o resumir reuniones previamente anonimizadas no es un tratamiento de riesgo y no exige EIPD.
Que no haga falta EIPD no significa que no haga falta nada. En cuanto alguien pega en la herramienta un correo con nombre y teléfono de un cliente, ya hay tratamiento: necesitas base jurídica, contrato de encargado con el proveedor (art. 28 RGPD) y una política que diga qué se puede pegar y qué no. La guía sobre ChatGPT y RGPD explica cómo cubrir esa base.
Entre los dos extremos hay una zona gris (un CRM con IA que sugiere a quién llamar, un chatbot que trata nombres y pedidos). Ahí lo razonable es documentar un análisis de riesgos y, si aparecen varios criterios de la lista, completar la EIPD. Hacerla cuando había duda no se sanciona; no hacerla cuando tocaba, sí.
Qué contiene una EIPD y cómo hacerla proporcional
El artículo 35.7 del RGPD fija cuatro bloques mínimos: una descripción sistemática de las operaciones de tratamiento y sus fines (incluido, si procede, el interés legítimo); una evaluación de la necesidad y proporcionalidad respecto a esos fines; una evaluación de los riesgos para los derechos y libertades de las personas; y las medidas previstas para afrontarlos. Si tienes delegado de protección de datos, el artículo 35.2 exige recabar su asesoramiento.
Proporcional quiere decir que la EIPD de una asesoría de ocho personas que prueba un filtro de CV no tiene que parecerse a la de un banco. Describe qué datos entran, qué hace el modelo con ellos, quién ve el resultado y qué decisión se toma después; pregúntate si podrías conseguir lo mismo con menos datos; piensa en lo que puede salir mal para el candidato o el cliente (discriminación, error, falta de explicación, acceso indebido); y escribe qué haces para evitarlo: revisión humana real, información clara a los afectados, limitación de los datos que se envían al proveedor, plazos de borrado y contrato de encargado.
No hace falta comprar software. La AEPD ofrece gratis la herramienta Gestiona EIPD, que guía el proceso y genera el documento, y su guía «Adecuación al RGPD de tratamientos que incorporan IA» describe los riesgos específicos de estos sistemas que conviene incluir. Pide al proveedor su documentación técnica y de privacidad: buena parte de la descripción sale de ahí.
Consulta previa y enlace con el Reglamento de IA
Si al terminar la EIPD el riesgo residual sigue siendo alto porque las medidas no lo reducen a un nivel aceptable, el artículo 36 del RGPD te obliga a consultar a la AEPD antes de iniciar el tratamiento. En una pyme es poco frecuente, pero ocurre: por ejemplo, decisiones automatizadas con datos de salud sin revisión humana efectiva. Entonces, o rediseñas el tratamiento o consultas.
El Reglamento de IA no crea una evaluación paralela para ti; se apoya en la que ya existe. Su artículo 26.9 dice que los responsables del despliegue de sistemas de alto riesgo usarán la información del proveedor para cumplir su obligación de hacer la EIPD del artículo 35 del RGPD: desde el 2 de diciembre de 2027, la EIPD será la pieza central de tu expediente junto a las obligaciones del artículo 26. Y para los pocos sujetos obligados a la FRIA, el artículo 27.4 prevé que, si alguna exigencia ya está cubierta por la EIPD, la FRIA la complementa en lugar de repetirla.
Checklist para decidir
- Escribe en una frase qué hace la herramienta y con qué datos. Sin datos personales, no hay EIPD.
- Si hay datos personales, contrasta el uso con los criterios de la lista de la AEPD.
- Si encajan varios criterios (selección, scoring, control de empleados, datos de salud), haz la EIPD antes de empezar, con Gestiona EIPD o un modelo equivalente.
- Pide al proveedor su documentación, firma el contrato de encargado del artículo 28 y, si tienes delegado de protección de datos, recoge su opinión por escrito.
- Si el riesgo residual sigue siendo alto, rediseña o consulta a la AEPD (artículo 36) antes de arrancar.
- Guarda la EIPD con el inventario de sistemas de IA: será tu base para el artículo 26 del Reglamento.
- Olvídate de la FRIA salvo que seas organismo público, prestes un servicio público o seas banca o aseguradora.
Si quieres saber en qué punto está tu empresa con estas y el resto de obligaciones, el diagnóstico gratuito de Gobernaia te lo dice en tres minutos.
Fuentes
- Reglamento (UE) 2016/679 (RGPD), arts. 28, 35 y 36
- AEPD: lista de tratamientos que requieren EIPD (art. 35.4 RGPD) y herramienta Gestiona EIPD
- AEPD: Adecuación al RGPD de tratamientos que incorporan inteligencia artificial
- Reglamento (UE) 2024/1689 (Reglamento de IA), arts. 26 y 27
- Reglamento (UE) 2026/1744 (Digital Omnibus de IA)
- Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA (BOCG 12-06-2026)
Última revisión: 15 de septiembre de 2026. Esta guía es informativa y no sustituye el asesoramiento jurídico.