¿Tenemos que hacer una evaluación de impacto (EIPD) antes de usar IA?
Respuesta corta
Una EIPD es obligatoria cuando es probable que un tratamiento suponga un alto riesgo para las personas. Con IA suele pasar cuando la IA evalúa o perfila personas de forma sistemática (por ejemplo, candidatos o empleados), trata datos sensibles a gran escala, vigila a los empleados o usa nuevas tecnologías de un modo que afecta a las personas. Describe el tratamiento, su necesidad, los riesgos y las medidas. Con IA de alto riesgo, debes usar la información del proveedor en tu EIPD (artículo 26, apartado 9, del RIA).
Usos típicos de IA que requieren una EIPD
| Uso de IA | ¿EIPD? |
|---|---|
| Criba de candidatos | Normalmente sí |
| Evaluación o vigilancia de empleados | Normalmente sí |
| IA con datos de salud en una clínica | Normalmente sí |
| Evaluación de solvencia de clientes | Normalmente sí |
| Resumen de consultas de clientes con seudónimos | Normalmente no |
| Borradores de newsletters sin datos personales | No |
Plantilla en GoalCube
GoalCube tiene un borrador de EIPD que se rellena con el uso de tu inventario de IA: finalidad, datos, riesgo, decisión humana y seudonimización. Tú añades tus propias valoraciones y lo guardas junto con el inventario.
Cómo hacerlo
- Describe el uso.Finalidad, datos, herramienta de IA, a quién afecta y quién ve qué.
- Valora necesidad y proporcionalidad.¿Hace falta la IA? ¿Puedes usar menos datos?
- Identifica los riesgos para las personas.Errores, discriminación, fugas, transferencias fuera de la UE, falta de transparencia.
- Describe las medidas.Seudonimización, decisión humana, control de accesos, registro, supresión.
- Habla con tu DPD, si lo tienes.Y consulta a la AEPD si el riesgo sigue siendo alto.
Lo que dice la ley
- Art. 35 RGPD – evaluación de impacto
- Obligatoria si es probable un alto riesgo; el apartado 7 describe el contenido.
- Art. 36 RGPD – consulta previa
- Si el riesgo sigue siendo alto, hay que consultar a la autoridad de control.
- Art. 26, apdo. 9, RIA
- Usa la información del proveedor sobre la IA de alto riesgo en tu EIPD.
Preguntas y respuestas
¿Necesitamos una EIPD para usar ChatGPT con correos?
Normalmente no, si no hay datos personales relevantes y no se evalúa a nadie.
¿Necesitamos una EIPD para usar IA en selección de personal?
Normalmente sí. Evaluar candidatos de forma sistemática con nuevas tecnologías es un ejemplo clásico.
¿Tiene la AEPD una lista?
Sí, la AEPD publica una lista de tratamientos que siempre requieren una EIPD. Compruébala para tu uso.
Fuentes
- Art. 35 RGPD (evaluación de impacto) en gdpr-text.com
- Agencia Española de Protección de Datos (AEPD)
- Reglamento (UE) 2016/679 (RGPD) en EUR-Lex
Escrito por Redacción de GoalCube. Última actualización 11 de octubre de 2026. GoalCube te ayuda a cumplir el Reglamento de IA y el RGPD. No es asesoramiento jurídico.
Sé de los primeros.
Prevemos lanzar en noviembre de 2026. Apúntate y te avisaremos cuando puedas empezar.