Evaluación de impacto en protección de datos cuando el proyecto lleva IA dentro
Meter inteligencia artificial en un proyecto no dispara por sí solo una evaluación de impacto: depende del tratamiento y no de la tecnología. Lo que la dispara es el riesgo para los derechos de las personas, y la IA mueve ese riesgo sobre todo por la vía del volumen y de la elaboración de perfiles. Esta página desarrolla esa respuesta.
Qué dice el artículo 35, en sus propios términos
El artículo 35.1 del RGPD exige la evaluación cuando sea probable que un tipo de tratamiento entrañe un alto riesgo para los derechos y libertades de las personas físicas, teniendo en cuenta la naturaleza, el alcance, el contexto y los fines del tratamiento, y en particular si se usan nuevas tecnologías.
Su apartado 3 señala tres supuestos en los que se requiere en particular: la evaluación sistemática y exhaustiva de aspectos personales basada en un tratamiento automatizado, como la elaboración de perfiles, sobre cuya base se tomen decisiones con efectos jurídicos o que afecten significativamente; el tratamiento a gran escala de las categorías especiales de datos del artículo 9 o de los datos de condenas e infracciones del artículo 10; y la observación sistemática a gran escala de una zona de acceso público.
Las listas de la AEPD, y por qué no te resuelven la duda
El artículo 35.4 encarga a las autoridades de control publicar una lista de los tipos de tratamiento que requieren evaluación, y la Agencia Española de Protección de Datos ha publicado la suya, además de una lista orientativa de los que no la requieren. Son el mejor punto de partida disponible.
Pero la propia Agencia insiste en un matiz que conviene no pasar por alto: la lista no es exhaustiva, y no exime al responsable de hacer su análisis de riesgos. Si de ese análisis sale un alto riesgo, hay que hacer la evaluación aunque el tratamiento no aparezca en ninguna lista. En último extremo, quien decide es el responsable con el caso delante.
Qué material aporta un despliegue local a esa evaluación
Una EIPD describe el tratamiento, valora necesidad y proporcionalidad, evalúa los riesgos y detalla las medidas previstas para afrontarlos. La parte donde un despliegue en tu propia máquina cambia el papel es esa última, y de forma bastante concreta. El flujo de datos se acorta: no hay comunicación del contenido a un tercero ni transferencia internacional que documentar. El acceso se acota por carpeta y por persona con cuatro roles. Y queda un registro de qué se hizo, con qué herramienta y por orden de quién, exportable en JSON.
Lo que no cambia es de quién es el trabajo. Mycel no hace tu EIPD, no la firma y no te hace cumplir el RGPD: aporta soberanía sobre el dato y material verificable para la sección de medidas. La decisión de si hace falta, el análisis y la eventual consulta previa a la autoridad de control cuando el riesgo residual siga siendo alto son de tu organización. Esta página es información general, no asesoramiento jurídico.
Cómo funciona, paso a paso
- Describes el tratamiento y sus fines, antes que la herramienta: sin eso no hay análisis posible.
- Contrastas con los supuestos del artículo 35.3 y con las listas publicadas por la AEPD.
- Si toca evaluación, documentas el flujo real de datos: dónde se ejecuta y qué sale de tu red.
- Recoges las medidas (acceso por carpeta y rol, traza exportable, borrado confirmado) y valoras el riesgo residual.
Qué necesitas
- Un responsable que decida: la evaluación no la dispara la tecnología, la dispara el tratamiento.
- Una máquina bajo tu administración donde corra el Nodo.
- Tu propia metodología de análisis de riesgos. Eso no lo genera ningún producto.
Qué te llevas
- Un flujo de datos corto y fácil de describir: el contenido no llega a nuestro servidor.
- La traza de cada tarea en JSON, con autor y herramientas, como evidencia de control.
- Reparto de acceso por persona y por carpeta, documentable en la sección de medidas.
Más preguntas
¿Existe una lista oficial que me lo diga?
La AEPD publica una lista de tipos de tratamiento que requieren EIPD, al amparo del artículo 35.4, y otra orientativa de los que no. La propia Agencia advierte de que no son exhaustivas y de que no eximen al responsable de su análisis de riesgos.
¿Que los datos no salgan me libra de hacerla?
No. Reduce riesgos y simplifica el flujo que hay que describir, pero la evaluación depende del tratamiento en su conjunto: qué datos, sobre quién, a qué escala y con qué consecuencias. Que el fichero no viaje es una medida, no una exención.
¿Podéis hacernos la evaluación?
No, y nadie que venda software debería ofrecértelo como parte del producto. Lo que aportamos a esa conversación es material comprobable: dónde se ejecuta, qué guarda cada parte y qué queda registrado. El análisis y la firma son de tu organización o de tu asesor.
Pruébalo con tus propios documentos
Creas la cuenta, abres el Nodo y le encargas la primera tarea. Es gratis e ilimitado: el cómputo lo pone tu equipo, así que no hay nada que racionar.