DERECHO DIGITAL · PRIVACIDAD E IA
Evaluamos tratamientos de alto riesgo para que tu empresa pueda justificar sus decisiones, proteger a las personas y documentar el cumplimiento del RGPD.
¿Tu proyecto necesita una evaluación de impacto?
Revisamos el tratamiento, el riesgo para las personas y las medidas necesarias para ponerlo en marcha con una base documental clara.
¿Qué es una EIPD?
Una evaluación de impacto relativa a la protección de datos (EIPD) permite identificar y reducir riesgos cuando un tratamiento puede afectar de forma significativa a los derechos y libertades de las personas. Es especialmente relevante en inteligencia artificial, perfilado, biometría, vigilancia o decisiones automatizadas.
Álvaro Ruipérez Candón, abogado de derecho digital y privacidad en ScandoUp Global Legal, analiza la necesidad, proporcionalidad, riesgos, medidas y riesgo residual del proyecto.
METODOLOGÍA
Una evaluación útil para decidir y demostrar
Alcance y necesidad
Delimitamos finalidades, categorías de datos, interesados, proveedores, transferencias y base jurídica. La documentación debe explicar por qué el tratamiento es necesario y proporcional.
Riesgos y controles
Valoramos impacto y probabilidad, incluyendo discriminación, pérdida de confidencialidad, reidentificación o decisiones injustificadas. El resultado se traduce en medidas técnicas, organizativas y de gobierno.
IA y decisiones automatizadas
Cuando intervienen modelos o sistemas automatizados, conectamos la EIPD con el artículo 22 RGPD, la gobernanza del AI Act y la supervisión humana que corresponda.
ENTREGABLES
Qué recibe la empresa
- Descripción documentada del tratamiento y de sus finalidades.
- Mapa de riesgos para personas y derechos fundamentales.
- Medidas de mitigación, responsables y prioridades de implantación.
- Conclusión sobre riesgo residual y necesidad de consulta previa a la AEPD.
- Recomendaciones de revisión cuando cambien el sistema, los datos o el contexto.
Si el proyecto requiere un seguimiento continuado, puede coordinarse con un DPO externo y con la revisión de gobernanza de inteligencia artificial.
Preguntas frecuentes sobre EIPD
¿Cuándo es obligatoria una EIPD?
Cuando el tratamiento pueda entrañar un alto riesgo para los derechos y libertades, atendiendo a su naturaleza, alcance, contexto y fines. El análisis debe hacerse antes de iniciar el tratamiento.
¿Una herramienta de inteligencia artificial siempre exige una EIPD?
No siempre. Depende del uso concreto, los datos, las personas afectadas y el nivel de riesgo. Un sistema de IA para recursos humanos, perfilado o decisiones sobre personas suele requerir un análisis reforzado.
¿Qué diferencia hay entre una EIPD y una auditoría RGPD?
La EIPD se centra en un tratamiento de alto riesgo y sus impactos. La auditoría RGPD revisa de forma más amplia el sistema de cumplimiento de una organización, sus tratamientos, contratos, medidas y procedimientos.
Fuentes y criterio aplicado
El análisis se basa en el artículo 35 del Reglamento General de Protección de Datos y en las guías y listas de la Agencia Española de Protección de Datos. Cuando interviene IA, se revisa también el Reglamento (UE) 2024/1689 y la normativa aplicable al caso concreto.
Contenido informativo y general. La necesidad y alcance de una EIPD deben confirmarse con los hechos, sistemas y datos concretos del proyecto. Actualizado: 8 de octubre de 2026.
¿Quieres revisar el riesgo de tu tratamiento?
Cuéntanos qué datos, tecnología y decisiones intervienen. Te ayudaremos a ordenar la evaluación y las medidas prioritarias.