Artículo 27 del Reglamento (UE) 2024/1689 — Evaluación del impacto sobre los derechos fundamentales para los sistemas de IA de alto riesgo. Texto oficial, interpretación práctica, obligaciones clave e implicaciones de cumplimiento.
Resumen del texto oficial
El Artículo 27 del Reglamento (UE) 2024/1689 establece una obligación para determinados responsables del despliegue de sistemas de IA de alto riesgo de llevar a cabo una evaluación del impacto sobre los derechos fundamentales (EIDF) antes de poner en servicio dichos sistemas. La obligación se aplica a los responsables del despliegue que sean organismos regidos por el derecho público, tal como se define en la Directiva 2014/24/UE, y a los responsables del despliegue que sean entidades privadas que presten servicios de carácter público, concretamente en los ámbitos de la banca, los seguros, la asistencia sanitaria, la educación y la formación profesional, el empleo y la gestión de trabajadores, y la administración de infraestructuras críticas.
La evaluación debe llevarse a cabo antes del despliegue y debe incluir los siguientes elementos: una descripción de los procesos del responsable del despliegue en los que se utilizará el sistema de IA de alto riesgo y su finalidad; las categorías de personas físicas y grupos que probablemente se verán afectados; los riesgos específicos para los derechos fundamentales que puedan derivarse del uso; las medidas concretas que el responsable del despliegue pretende aplicar para mitigar dichos riesgos; una indicación de si existen mecanismos de reclamación o recurso; y, cuando proceda, una descripción del impacto en los niños.
Los responsables del despliegue sujetos a la obligación también deben notificar a la autoridad de vigilancia del mercado pertinente antes de desplegar determinadas categorías de sistemas de IA de alto riesgo enumeradas en el Annex III. La evaluación debe basarse en la información facilitada por el proveedor en virtud del Artículo 13, y debe documentarse y mantenerse disponible para las autoridades competentes.
Qué significa esto en la práctica
Para las organizaciones incluidas en el ámbito de aplicación, el Artículo 27 exige un proceso estructurado y documentado antes de que cualquier sistema de IA de alto riesgo entre en funcionamiento. No se trata de un ejercicio puntual de marcar una casilla: la evaluación del impacto sobre los derechos fundamentales debe reflejar el contexto real de despliegue y revisarse cuando dicho contexto cambie de manera significativa.
Un hospital público que despliega un sistema de diagnóstico o triaje asistido por IA debe evaluar qué grupos de pacientes podrían verse afectados de manera desproporcionada, qué derechos están en juego (dignidad, no discriminación, acceso a la asistencia sanitaria) y qué salvaguardias existen si el sistema produce recomendaciones incorrectas. Una autoridad local que utiliza un sistema de IA para el cribado de la elegibilidad para prestaciones sociales debe identificar los riesgos para el derecho a la protección social y el debido proceso, y documentar cómo funcionará la supervisión humana en la práctica.
Las entidades privadas que prestan servicios financieros públicos —como plataformas de puntuación crediticia o suscripción de seguros— entran en el ámbito de aplicación si tienen la condición de responsables del despliegue de sistemas de alto riesgo del Annex III. Una empresa fintech que utiliza un modelo de IA para evaluar solicitudes de préstamo debe mapear los grupos demográficos expuestos a decisiones algorítmicas, evaluar el riesgo de resultados discriminatorios y establecer una vía documentada de recurso.
En la práctica, los responsables del despliegue deben integrar la evaluación del impacto sobre los derechos fundamentales en sus flujos de trabajo existentes de evaluación de impacto sobre la protección de datos (EIPD) en virtud del RGPD cuando sea pertinente, ya que el Artículo 27(4) permite expresamente que las dos evaluaciones se realicen de forma conjunta. Las organizaciones deben designar un responsable de la evaluación, utilizar la documentación técnica y las instrucciones de uso del proveedor como insumos, y crear un registro versionado que pueda presentarse ante las autoridades de supervisión a petición.
Obligaciones clave
- Llevar a cabo una evaluación del impacto sobre los derechos fundamentales antes de desplegar cualquier sistema de IA de alto riesgo dentro del ámbito del responsable del despliegue, que abarque el uso previsto, las personas afectadas, los riesgos identificados y las mitigaciones planificadas.
- Documentar la evaluación por escrito y conservarla para su inspección por parte de las autoridades competentes y las autoridades de vigilancia del mercado cuando lo soliciten.
- Notificar a la autoridad de vigilancia del mercado pertinente antes del despliegue cuando así lo exija la categoría específica de sistema de IA de alto riesgo enumerada en el Annex III.
- Utilizar la información y las instrucciones de uso facilitadas por el proveedor del sistema de IA en virtud del Artículo 13 como insumo obligatorio de la evaluación.
- Actualizar la evaluación cuando el contexto de despliegue cambie significativamente, incluidos los cambios en las categorías de personas afectadas, la finalidad de uso o el perfil de riesgo del sistema.
- Cuando también se requiera una evaluación de impacto relativa a la protección de datos en virtud del Artículo 35 del RGPD, las dos evaluaciones podrán realizarse conjuntamente para reducir la carga administrativa, siempre que se cubran todos los elementos de ambas.
Relación con otros artículos
El Artículo 27 se encuadra en el Capítulo 3 del Título III, que distribuye las obligaciones entre proveedores y responsables del despliegue. Debe leerse junto con el Artículo 26 (obligaciones de los responsables del despliegue en general), que establece el deber general de los responsables del despliegue de utilizar los sistemas de alto riesgo de conformidad con las instrucciones del proveedor y de implementar la supervisión humana. La evaluación del impacto sobre los derechos fundamentales se basa directamente en la información que el proveedor está obligado a suministrar en virtud del Artículo 13 (transparencia y suministro de información a los responsables del despliegue) y el Artículo 16(d) (obligación del proveedor de elaborar documentación técnica).
El Artículo 27(4) crea un vínculo procedimental directo con el RGPD: cuando también se requiera una EIPD en virtud del Artículo 35 del Reglamento (UE) 2016/679, las dos evaluaciones podrán fusionarse. Esta conexión es especialmente relevante para los responsables del despliegue que traten datos personales, lo que será el caso en la mayoría de los contextos regulados cubiertos por el Annex III.
El Artículo 27 también se conecta con el Artículo 72 (vigilancia del mercado) y el Artículo 74 (acceso a los datos), ya que la evaluación completada debe estar disponible para las autoridades competentes que ejerzan funciones de supervisión.
Calendario de cumplimiento
El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024 (veinte días después de su publicación en el Diario Oficial el 12 de julio de 2024). Sus disposiciones se aplican de forma gradual:
- 2 de febrero de 2025 — Las prohibiciones sobre prácticas de IA de riesgo inaceptable (Artículo 5) pasaron a ser aplicables.
- 2 de agosto de 2025 — Las obligaciones relativas a los modelos de IA de uso general (Título VIII, Capítulo 2) y las disposiciones de gobernanza pasaron a ser aplicables.
- 2 de diciembre de 2026 — Las obligaciones para los sistemas de IA de alto riesgo enumerados en el Annex I (legislación de seguridad de productos) pasan a ser aplicables.
- 2 de agosto de 2027 — Las obligaciones para los sistemas de IA de alto riesgo enumerados en el Annex III (sistemas autónomos de alto riesgo, incluidos los que con mayor probabilidad activarán evaluaciones del impacto sobre los derechos fundamentales en virtud del Artículo 27 en ámbitos como el empleo, la educación, la identificación biométrica y el acceso a los servicios públicos) pasan a ser aplicables.
El Artículo 27 se encuadra en el marco de obligaciones de los responsables del despliegue de sistemas de alto riesgo y, por tanto, pasa a ser ejecutable el 2 de agosto de 2027 para los sistemas del Annex III, y el 2 de diciembre de 2026 para los sistemas del Annex I. Los responsables del despliegue no deben esperar a estos plazos: desarrollar procesos de evaluación del impacto sobre los derechos fundamentales ahora permite a las organizaciones identificar y remediar los riesgos para los derechos fundamentales antes de que comience la aplicación y alinear las evaluaciones con los programas de EIPD del RGPD en curso.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
El Artículo 27 se aplica específicamente a los responsables del despliegue de sistemas de IA de alto riesgo que sean organismos regidos por el derecho público, o entidades privadas que presten servicios de carácter público, concretamente en los ámbitos de la banca, los seguros, la asistencia sanitaria, la educación y la formación profesional, el empleo y la gestión de trabajadores, y la administración de infraestructuras críticas. No todos los responsables del despliegue están incluidos: las empresas privadas que operan en contextos puramente comerciales sin dimensión de servicio público quedan generalmente fuera del ámbito de esta obligación específica, aunque siguen sujetas a otras obligaciones de responsable del despliegue en virtud del Reglamento de IA.
La evaluación debe llevarse a cabo antes de desplegar el sistema de IA de alto riesgo. Es una obligación previa al despliegue, lo que significa que el responsable del despliegue debe realizar y documentar la evaluación antes de poner en uso el sistema. Debe actualizarse cuando se produzcan cambios significativos en el contexto de despliegue o en el uso del sistema.
La evaluación de conformidad del Artículo 43 la realiza el proveedor o en nombre de este para verificar que el sistema de IA cumple los requisitos técnicos del Capítulo 2 antes de su comercialización. La evaluación del impacto sobre los derechos fundamentales del Artículo 27 la realiza el responsable del despliegue para evaluar el impacto concreto sobre los derechos fundamentales en el contexto de despliegue específico. Son complementarias: la evaluación de conformidad aborda la conformidad intrínseca del sistema, mientras que la evaluación del impacto sobre los derechos fundamentales aborda el impacto real sobre las personas en un caso de uso determinado.
El Artículo 27 no exige expresamente auditorías externas. La evaluación puede ser completada internamente por el responsable del despliegue. Sin embargo, los responsables del despliegue deben notificar a la autoridad de vigilancia del mercado pertinente antes del despliegue en determinados casos, y la evaluación documentada debe ponerse a disposición de las autoridades competentes cuando lo soliciten. La participación de expertos externos es una buena práctica, especialmente en contextos de despliegue complejos o sensibles.
Los responsables del despliegue deben utilizar la información puesta a disposición por el proveedor en virtud del Artículo 13 (transparencia y suministro de información) y las instrucciones de uso. Los proveedores están obligados a suministrar información suficiente sobre la finalidad prevista, las capacidades, las limitaciones y los riesgos del sistema para que los responsables del despliegue puedan llevar a cabo una evaluación significativa de los impactos sobre los derechos fundamentales.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.