¿Qué la Evaluación de impacto sobre los derechos fundamentales (EIDF) y cómo se regula?

La evaluación de impacto sobre derechos fundamentales (EIDF) es una herramienta esencial en la implementación de sistemas de inteligencia artificial (IA) en la Unión Europea, para garantizar que el desarrollo y uso de estas tecnologías no vulneran los derechos fundamentales de las personas. En las siguientes líneas explicamos qué es una EIDF, quiénes están obligados a hacerla y cómo llevarla a cabo.

¿Qué es una evaluación de impacto sobre los derechos fundamentales (EIDF)?

Una evaluación de impacto sobre los derechos fundamentales es un proceso sistemático que permite identificar, evaluar y mitigar los riesgos que los sistemas de IA pueden suponer para los derechos fundamentales de las personas, como la privacidad, la igualdad o la no discriminación.

La EIDF es especialmente relevante para los sistemas de inteligencia artificial con alto riesgo, como los sistemas de IA que usan biometría, los usados en la educación o en el empleo, por ejemplo.

El objetivo principal de la evaluación de impacto sobre los derechos fundamentales es garantizar que los sistemas de IA cumplen con los principios legales y éticos establecidos en la Ley de IA y proteger a los usuarios de posibles perjuicios, lo que incluye evitar sesgos discriminatorios, garantizar la transparencia y preservar la privacidad y la dignidad humana.

Una EIDF no va a determinar si estamos ante una inteligencia artificial ilegal, pero sí que nos permitirá identificar los riesgos y su potencial impacto en la vida y derechos de las personas, adoptar medidas y controles para minimizarlos y evitar la perpetuación de algunos de los peligros de la inteligencia artificial.

¿Qué normativa regula la evaluación de impacto sobre los derechos fundamentales?

La normativa que regula la realización de la evaluación de impacto sobre los derechos fundamentales es la Ley de IA (o Reglamento de IA) de la UE, recogida en su artículo 27.

Así mismo, y para la adaptación a la normativa de IA en este aspecto, se debe tener en cuenta la Carta de los Derechos Fundamentales de la UE, puesto que será sobre estos derechos sobre los que se llevará a cabo la EIDF.

Y dado que, en general, los sistemas de IA de alto riesgo usan datos personales, también se debe tener en consideración el RGPD, en concreto, la evaluación de impacto en protección de datos, que debería formar parte de la EIDF.

¿Quiénes están obligados a hacer un EIDF?

De acuerdo con el artículo 27 del RIA, están obligados a hacer una EIDF:

• Los organismos de Derecho Público respecto a todos los sistemas de IA que utilicen que sean de alto riesgo.
• Los operadores privados que presten servicios públicos respecto a los sistemas de IA de alto riesgo referidos a esos servicios públicos.
• Los responsables del despliegue de sistemas de IA de alto riesgo cuando:
  • Se usen sistemas de IA para evaluar la solvencia de personas físicas o establecer su puntuación crediticia (con excepción de los sistemas de IA usados para detectar fraudes financieros).
  • Se usen sistemas de IA para la evaluación de riesgos y la fijación de precios en relación con las personas físicas en el caso de seguros de vida y de salud.

¿Cuándo debe hacerse la evaluación de impacto sobre derechos fundamentales?

La evaluación de impacto sobre derechos fundamentales debe hacerse antes de desplegar el sistema de IA de alto riesgo, es decir, en las primeras etapas del diseño o desarrollo del sistema.

Si bien es un requisito legal establecido en el primer apartado del artículo 27 del RIA, hacer la EIDF en esta primera fase permite identificar y abordar los riesgos potenciales antes de que el sistema entre en funcionamiento y pueda causar daños.

Así mismo, será necesario actualizar la EIDF en los siguientes casos:

• Se produzcan cambios significativos en el sistema de IA, como nuevas funcionalidades, se actualicen los algoritmos o se modifiquen las bases de datos utilizadas.
• Se identifican nuevos riesgos durante el uso del sistema de IA que no hubieran sido previstos en la evaluación inicial.
• Cuando se produzcan cambios o actualizaciones en la normativa aplicable.

¿Cómo hacer una EIDF? Pasos

Para hacer una EIDF se debe seguir una serie de pasos con los que se podrán identificar los riesgos para los derechos fundamentales de las personas y las medidas necesarias para minimizarlos.

Cabe señalar que llevar a cabo una EIDF no es solo una obligación legal, sino también una práctica segura en el uso de IA.

1. Definir el alcance y contexto del sistema de IA

El primer paso consiste en describir el sistema de IA, su propósito y las funciones específicas que realizará. Es fundamental identificar los contextos en los que se utilizará, los usuarios objetivo y las posibles interacciones con los derechos fundamentales.

Por lo tanto, se trata de responder a las preguntas:

• ¿Qué problema busca resolver el sistema de IA?
• ¿Quiénes se verán afectados directa o indirectamente por el sistema de IA?
• ¿Dónde se utilizará el sistema de IA?

2. Identificar los riesgos para los derechos fundamentales

Este paso implica un análisis detallado de los riesgos potenciales que el sistema de IA podría plantear. Se deben considerar múltiples aspectos, como:

• Privacidad: ¿El sistema recopila datos personales sensibles?
• Discriminación: ¿Existe la posibilidad de sesgos en la toma de decisiones?
• Autonomía individual: ¿Podría el sistema influir negativamente en las decisiones de los usuarios?

El análisis debe ser exhaustivo, utilizando métodos como el mapa de riesgos y la consulta a expertos en derechos humanos.

3. Evaluar la probabilidad e impacto de los riesgos identificados

Una vez identificados los riesgos, es necesario evaluarlos en términos de su probabilidad de ocurrencia y su impacto en los derechos fundamentales. Esto puede hacerse utilizando matrices de riesgo que clasifican los riesgos desde bajos hasta críticos.

4. Definir medidas de mitigación

Para cada riesgo identificado, se deben diseñar y proponer medidas que minimicen su probabilidad o impacto. Estas medidas pueden incluir:

• Mejoras en el diseño del sistema: Ajustar los algoritmos para reducir sesgos.
• Controles de acceso y seguridad: Implementar medidas para proteger datos sensibles.
• Transparencia y explicabilidad: Asegurar que los usuarios comprendan cómo funciona el sistema y sus decisiones.

Se trata de adoptar y aplicar medidas y controles que minimicen los riesgos detectados hasta un nivel inferior a aceptable.

En caso de que el impacto negativo para los derechos fundamentales de la materialización de los riesgos detectados siga siendo mayor que aceptable, habría que descartar el uso del sistema de IA o rediseñarlo desde el principio de manera que se puedan mitigar dichos riesgos a ese nivel de riesgo residual inferior a aceptable.

5. Documentar la EIDF

Toda la información recopilada durante la evaluación debe ser documentada en un informe detallado. Este informe debe incluir:

• Descripción del sistema y su propósito.
• Identificación y evaluación de riesgos.
• Medidas de mitigación implementadas.
• Plan de monitoreo continuo.

La documentación es clave para demostrar el cumplimiento con la normativa y para auditorías futuras.

6. Comunicación a la autoridad

Una vez finalizada la evaluación de impacto sobre los derechos fundamentales, el artículo 27.3 del RIA establece que el responsable del despliegue debe notificar a la autoridad de vigilancia competente los resultados de la evaluación, presentando para ello la plantilla o formulario facilitado por la propia autoridad.

En España esta autoridad es la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial).

Consecuencias de no hacer la evaluación de impacto sobre los derechos fundamentales

No llevar a cabo la evaluación de impacto sobre los derechos fundamentales de los sistemas de IA de alto riesgo, cuando se tiene obligación de hacerlo, es motivo de sanción.

Las sanciones establecidas en la Ley de IA respecto a las EIDF son las siguientes:

• 15 millones de euros o el 3% del volumen global de negocio para el incumplimiento del reglamento de IA.
• 7,5 millones de euros o el 1,5% del volumen global de negocio por la presentación de información inexacta.

Cabe señalar que estas son las horquillas que establece el Reglamento y que los Estados miembros pueden crear sus propios regímenes sancionadores basadas en ellas (en España todavía no tenemos un régimen sancionador específico para las infracciones del RIA).