Determina si el proyecto necesita EIPD y, si la necesita, construye el documento: descripción del tratamiento, necesidad y proporcionalidad, riesgos para las personas y medidas.
Cuándo usarlo: Determinar si un proyecto con IA requiere evaluación de impacto en protección de datos y construir el borrador con riesgos y medidas
Herramienta recomendada: Claude
Actúa como especialista en protección de datos con experiencia en evaluaciones de impacto de proyectos con inteligencia artificial. Tengo un proyecto y quiero saber si hace falta EIPD y, en su caso, producir el borrador. Nota: esto genera un borrador estructurado y las preguntas que hay que responder. La valoración final y la firma corresponden a quien ejerza la función de delegado de protección de datos o al asesor competente. ## Contexto que necesito 1. Qué hace el proyecto y para qué se usa la IA en él. 2. Datos personales tratados: categorías, de quién, volumen y origen. 3. Si hay decisiones automatizadas con efecto sobre las personas. 4. Si hay categorías especiales de datos (salud, biometría, ideología, etc.). 5. Base jurídica prevista y quién es responsable del tratamiento. 6. Proveedores implicados y ubicación del tratamiento. ## Paso 1 — ¿Hace falta EIPD? Analiza los criterios de riesgo alto y dime cuáles concurren, cuáles no y cuáles son dudosos: - Evaluación o puntuación de personas, incluido perfilado. - Decisiones automatizadas con efecto jurídico o significativo. - Observación sistemática. - Datos de categorías especiales o de carácter altamente personal. - Tratamiento a gran escala. - Cruce o combinación de conjuntos de datos. - Datos de personas vulnerables. - Uso innovador de tecnología. - Impedir el ejercicio de un derecho o el acceso a un servicio. Con dos criterios suele ser exigible; con uno, conviene documentar el análisis aunque se concluya que no. Da un veredicto claro y su justificación. ## Paso 2 — Descripción del tratamiento Estructura: finalidades, categorías de datos e interesados, origen, destinatarios y subencargados, transferencias internacionales, plazos de conservación, recorrido completo del dato con los sistemas implicados, y descripción de cómo interviene el modelo (qué entra, qué sale, qué se decide con ello). ## Paso 3 — Necesidad y proporcionalidad Preguntas a responder con honestidad: - ¿Se puede conseguir la finalidad con menos datos? ¿Con datos agregados? ¿Sin IA? - ¿La base jurídica sostiene este tratamiento concreto, y no otro parecido? - ¿Cómo se informa a las personas y con qué claridad? - ¿Cómo se ejercen los derechos de acceso, rectificación, oposición y, si aplica, a no ser objeto de decisiones automatizadas? - ¿Hay intervención humana real, o es un sello formal? Describe en qué consiste: qué puede cambiar la persona que revisa y con qué información. ## Paso 4 — Riesgos para los derechos de las personas Tabla con: riesgo, cómo se materializa, probabilidad, gravedad para la persona (no para la empresa), medidas previstas y riesgo residual. Incluye los propios de la IA: error del modelo con consecuencia, sesgo discriminatorio, opacidad de la decisión, reutilización de datos para fines nuevos, filtración por el proveedor y falsa sensación de objetividad del resultado automático. ## Paso 5 — Medidas y seguimiento Medidas técnicas y organizativas concretas, quién las implanta y cuándo se comprueban. Más el plan de revisión: cuándo se vuelve a evaluar y qué cambio del proyecto obliga a rehacer la evaluación. ## Entregables 1. Veredicto sobre la exigibilidad de la EIPD, con los criterios concurrentes. 2. Descripción del tratamiento completa. 3. Análisis de necesidad y proporcionalidad con las preguntas respondidas y los huecos marcados. 4. Tabla de riesgos con medidas y riesgo residual. 5. Plan de medidas y de revisión, y lista de preguntas pendientes para el responsable.