Evaluación de riesgos de IA: plantilla y método paso a paso
Una evaluación de riesgos de IA identifica, para un sistema concreto, qué puede salir mal, a quién afecta, con qué probabilidad y gravedad, y qué controles lo reducen. Debe cubrir el riesgo para la empresa y el impacto en las personas. Abajo tiene una plantilla, una matriz y un ejemplo resuelto.
Lo esencial en breve
- El Reglamento exige gestión de riesgos a los proveedores de sistemas de alto riesgo (artículo 9) y evaluación de impacto en derechos fundamentales a ciertos responsables del despliegue (artículo 27). Para el resto de usos es buena práctica, no obligación expresa.
- Una buena plantilla evalúa el sistema en su contexto de uso, no la tecnología en abstracto: el mismo modelo puede ser inocuo en marketing y de alto riesgo en selección de personal.
- La evaluación de impacto de protección de datos (EIPD) del RGPD y la del artículo 27 pueden construirse una sobre otra; el propio Reglamento lo prevé.
- La evaluación no termina con la firma: se revisa cuando cambian el sistema, los datos, el proveedor o el uso.
- Documentar por qué un riesgo se acepta es tan importante como documentar cómo se reduce.
Cuándo es obligatoria y cuándo recomendable
| Norma | Quién | Qué exige | Desde |
|---|---|---|---|
| Reglamento de IA, art. 9 | Proveedores de sistemas de alto riesgo | Sistema de gestión de riesgos durante todo el ciclo de vida | 2 de diciembre de 2027 (anexo III) / 2 de agosto de 2028 (anexo I) |
| Reglamento de IA, art. 27 | Organismos públicos, entidades privadas que prestan servicios públicos y responsables del despliegue de sistemas de crédito y seguros de vida y salud | Evaluación de impacto relativa a los derechos fundamentales antes del primer uso | 2 de diciembre de 2027 |
| RGPD, art. 35 | Responsables del tratamiento | Evaluación de impacto cuando el tratamiento entrañe alto riesgo para los derechos de las personas | Ya aplicable |
| ISO/IEC 42001 | Quien implanta el sistema de gestión | Evaluación de riesgos y de impacto de los sistemas de IA | Voluntario |
Para un uso de riesgo mínimo, como un asistente que resume documentos internos, basta una evaluación ligera. Para un sistema que decide sobre personas, la evaluación debe ser completa y firmada. Si necesita repasar los niveles de riesgo y los roles, consulte nuestra guía del Reglamento de IA. Y si quiere una plantilla ya rellenada con sus datos, el diagnóstico gratuito de gobernanza de la IA de Opsio redacta una plantilla de evaluación de riesgos de IA a partir de sus respuestas, junto con otros tres documentos.
¿Necesitan ayuda experta con evaluación de riesgos de ia: plantilla y método paso a paso?
Nuestros arquitectos cloud les ayudan con evaluación de riesgos de ia: plantilla y método paso a paso — desde la estrategia hasta la implementación. Reserven una consulta gratuita de 30 minutos sin compromiso.
Plantilla de evaluación de riesgos de IA en nueve secciones
1. Identificación del sistema
Nombre, versión, proveedor, área responsable, fecha y persona que evalúa. Vincule el sistema a su ficha del inventario de IA para que no haya dos descripciones distintas; si aún no tiene inventario, empiece por la guía de shadow AI e inventario de IA.
2. Finalidad y contexto de uso
Qué decide o apoya el sistema, quién lo usa, sobre quién se usa, con qué volumen, en qué países. Distinga la finalidad prevista por el proveedor del uso real que hace su organización.
3. Rol y clasificación según el Reglamento
Proveedor o responsable del despliegue; nivel de riesgo (prohibido, alto, transparencia, mínimo) con su justificación. Si concluye que un sistema del anexo III no es de alto riesgo, cite la excepción del artículo 6.3 y explique por qué aplica.
4. Datos
Datos de entrenamiento (si los conoce), datos de entrada, datos personales y categorías especiales, origen, calidad, representatividad y transferencias fuera del Espacio Económico Europeo.
5. Personas afectadas y derechos en juego
Grupos afectados, en especial colectivos vulnerables; derechos implicados (igualdad y no discriminación, protección de datos, acceso al empleo, a servicios esenciales); cómo se informa a las personas y cómo pueden reclamar.
6. Identificación y valoración de riesgos
Para cada riesgo, describa el escenario, la causa, la probabilidad y el impacto en una escala de 1 a 5. Cubra al menos estas familias: sesgo y discriminación, error o «alucinación», falta de transparencia o explicabilidad, seguridad (inyección de instrucciones, fuga de datos), privacidad, dependencia excesiva de la persona usuaria, propiedad intelectual, continuidad del proveedor y cumplimiento normativo.
7. Controles y riesgo residual
Controles existentes y previstos, responsable y fecha de cada uno, y la valoración del riesgo tras aplicarlos. Los controles típicos son supervisión humana, pruebas de sesgo, límites de uso, registros, cláusulas contractuales, formación y planes de contingencia.
8. Decisión y aprobación
Aprobar, aprobar con condiciones o rechazar. Quién lo decide, con qué nivel de autoridad y qué riesgo residual se acepta de forma explícita.
9. Seguimiento y revisión
Indicadores (porcentaje de resultados corregidos por la persona revisora, reclamaciones, incidentes), periodicidad de revisión y disparadores: cambio de versión del modelo, de proveedor, de finalidad o un incidente.
Matriz de riesgo
Una matriz de cinco por cinco es suficiente para la mayoría de organizaciones. Multiplique probabilidad por impacto:
| Puntuación | Nivel | Respuesta esperada |
|---|---|---|
| 1–4 | Bajo | Aceptar y vigilar |
| 5–9 | Medio | Controles antes o durante el uso, responsable asignado |
| 10–16 | Alto | Controles obligatorios antes de usar, aprobación de la dirección |
| 20–25 | Crítico | No usar hasta reducir el riesgo; si es una práctica prohibida, no usar en ningún caso |
Defina por escrito qué significa cada nivel de impacto en su organización. «Impacto 5» puede ser una decisión ilegal sobre una persona, una sanción o una fuga de datos de clientes; «impacto 1», una molestia interna sin consecuencias externas.
Ejemplo resuelto: cribado de currículos en una cadena de tiendas
Ejemplo ficticio. Una cadena de moda con sede en Madrid contrata cada temporada a varios cientos de dependientes y quiere usar un software que puntúa currículos y propone una lista corta. Es responsable del despliegue de un sistema del anexo III, punto 4 (empleo): alto riesgo a partir del 2 de diciembre de 2027. Un extracto del registro de riesgos:
| Riesgo | P | I | Nivel | Controles | Residual |
|---|---|---|---|---|---|
| El sistema penaliza huecos en el currículo y perjudica a mujeres que han tenido bajas por maternidad | 3 | 5 | 15 Alto | Pruebas de sesgo con el proveedor, desactivar la variable, revisión humana de descartes | 6 Medio |
| Las personas de selección aceptan la lista sin revisar (dependencia excesiva) | 4 | 4 | 16 Alto | Procedimiento de revisión, muestreo semanal, formación específica | 8 Medio |
| Candidatos no saben que se usa IA | 3 | 3 | 9 Medio | Aviso en la oferta y en el portal, canal de consultas | 3 Bajo |
| Comité de empresa no informado de los parámetros del algoritmo | 3 | 4 | 12 Alto | Información conforme al art. 64.4 d) del Estatuto de los Trabajadores antes del despliegue | 4 Bajo |
| Transferencia de currículos a servidores fuera del EEE | 2 | 4 | 8 Medio | Revisión del contrato de encargado, cláusulas tipo, alojamiento en la UE | 4 Bajo |
La revisión del proveedor merece su propio checklist: qué documentación facilita, si ha hecho pruebas de sesgo, dónde aloja los datos y cómo comunica cambios de versión.
Cómo encaja con la EIPD y la evaluación de derechos fundamentales
Si el sistema trata datos personales con alto riesgo, ya tendrá que hacer una evaluación de impacto de protección de datos según el RGPD; la AEPD ofrece guías y herramientas para ello. El artículo 27.4 del Reglamento de IA permite que la evaluación de impacto relativa a los derechos fundamentales complemente la EIPD en lugar de repetirla. En la práctica, una plantilla única con secciones comunes (descripción, datos, personas afectadas) y bloques específicos ahorra trabajo. Para los aspectos técnicos de la gestión de riesgos de un proveedor, las guías de la AESIA nacidas del sandbox español incluyen una dedicada a ese sistema; están en la web de la AESIA.
La evaluación de riesgos también alimenta otros documentos: las condiciones de la política de uso de la IA, el plan de formación y el análisis de brechas para cumplir la ley de IA, donde las brechas se priorizan por riesgo.
Errores habituales
- Evaluar el modelo en vez del uso. El riesgo depende de para qué se usa y sobre quién.
- Copiar la evaluación del proveedor. Es un insumo valioso, pero no conoce su contexto ni sus datos.
- Olvidar a las personas afectadas. El Reglamento mira el impacto en derechos, no solo el riesgo para la empresa.
- No fijar disparadores de revisión. Un cambio de versión del modelo puede cambiar el comportamiento sin que nadie lo note.
- Puntuar sin criterios escritos. Si cada evaluador entiende distinto «impacto 4», la matriz no compara nada.
Preguntas frecuentes sobre la evaluación de riesgos de IA
¿Es obligatoria la evaluación de riesgos de IA?
Para proveedores de sistemas de alto riesgo, sí: el artículo 9 exige un sistema de gestión de riesgos. Ciertos responsables del despliegue deben hacer la evaluación de impacto en derechos fundamentales del artículo 27. Para el resto de usos no hay obligación expresa, pero es la forma de demostrar que se ha clasificado bien y que se han tomado medidas razonables.
¿Qué diferencia hay entre evaluación de riesgos y evaluación de impacto?
La evaluación de riesgos suele mirar amenazas para la organización y para las personas y cómo controlarlas. La evaluación de impacto, como la EIPD o la del artículo 27, se centra en las consecuencias para los derechos de las personas afectadas. Una plantilla bien diseñada cubre ambas en un único documento con secciones diferenciadas.
¿Puedo usar la misma plantilla para todos los sistemas?
Sí, con niveles de profundidad. Use la misma estructura para todos y complete las secciones de datos, personas afectadas y controles con más detalle cuanto mayor sea el riesgo. Así puede comparar sistemas y presentar un registro coherente a la dirección o a un supervisor.
¿Cada cuánto hay que revisar la evaluación?
Al menos una vez al año y siempre que cambie algo relevante: nueva versión del modelo, cambio de proveedor, nueva finalidad, ampliación a otro colectivo o un incidente. Para sistemas de alto riesgo, el Reglamento exige que la gestión de riesgos sea un proceso continuo durante todo el ciclo de vida.
¿Quién debe firmar la evaluación?
El responsable del área que usa el sistema, con el visto bueno de quien gestiona la gobernanza de la IA y, si hay datos personales, del delegado de protección de datos. Los riesgos residuales altos deben aceptarse a nivel de dirección, de forma explícita y por escrito.
Consiga su plantilla adaptada a su organización
La estructura anterior sirve como base. Si prefiere partir de un documento que ya recoja sus sistemas, roles y apetito de riesgo, el diagnóstico de gobernanza de la IA de Opsio le plantea catorce pasos de preguntas en español, unos 40 minutos, y al enviarlo redacta cuatro documentos a partir de sus respuestas: la plantilla de evaluación de riesgos de IA, un marco de gobernanza, una política de uso aceptable y un checklist de proveedores de IA, con una valoración de madurez en diez áreas. Se entregan en inglés, en Word editable, y son suyos. Gratis y sin compromiso.
Este artículo es información general y no constituye asesoramiento jurídico. Consulte el texto consolidado del Reglamento (UE) 2024/1689 en su versión modificada por el Reglamento (UE) 2026/1744. Fechas y autoridades, a octubre de 2026.
Sobre el autor
Group COO & CISO
Fredrik es el COO y CISO del grupo en Opsio. Se centra en la excelencia operativa, la gobernanza y la seguridad de la información, trabajando estrechamente con los equipos de entrega y liderazgo para alinear tecnología, riesgo y resultados de negocio en entornos de TI complejos. Lidera la práctica de seguridad de Opsio, incluyendo servicios SOC, pruebas de penetración y marcos de cumplimiento.
Normas editoriales: Este artículo lo ha escrito un profesional certificado y lo ha revisado nuestro equipo de ingeniería. Lo actualizamos cuando cambia la tecnología o la normativa que trata; las fechas de arriba indican la última actualización. Opsio mantiene su independencia editorial: recomendamos soluciones por su mérito técnico, no por relaciones comerciales.