EDPS · 11 de noviembre de 2025 · Ámbito: instituciones y organismos de la UE bajo el Reglamento 2018/1725.
Cuando un proveedor te dice que su IA protege los datos, te conviene pedirle que explique qué riesgos revisó y cómo comprobó las medidas que ofrece. Una respuesta general no alcanza para saber qué puede pasar con la información de las personas. Esta guía te ayuda a preparar preguntas más concretas, aunque su ámbito institucional es muy específico.
Qué encontrarás en este recurso
El Supervisor Europeo de Protección de Datos (EDPS) publicó esta guía el 11 de noviembre de 2025. Está dirigida a instituciones, órganos y organismos de la Unión Europea que actúan como responsables del tratamiento bajo el Reglamento (UE) 2018/1725. Revisa riesgos y medidas técnicas relacionados con equidad, exactitud, minimización, seguridad y derechos de las personas. Considera desarrollo, adquisición y despliegue de sistemas de IA. El EDPS aclara que no es una lista exhaustiva ni un sustituto de la evaluación de cumplimiento. Guidance for Risk Management of Artificial Intelligence systems.
Por qué te lo recomiendo
Me interesa su manera de obligarnos a precisar el problema. No basta con escribir «riesgo de privacidad» y darlo por atendido. Te recomiendo describir qué información se usa, qué podría ocurrir, a quién afectaría y qué evidencia necesitas para revisar una medida. Esa conversación exige que participen tanto quienes entienden la tecnología como quienes conocen el proceso y sus consecuencias.
Una oficina quiere resumir expedientes con IA:
Imagina que una oficina pública planea utilizar un asistente para preparar resúmenes. Antes de elegir la herramienta, yo preguntaría si necesita todo el expediente, quién verá las respuestas y cómo se detectará una afirmación incorrecta sobre una persona. El ejemplo es ficticio: no describe un caso evaluado por el EDPS ni presume que una medida específica resuelva todos sus riesgos.
Cómo empezar
- Describe 1 uso concreto y los datos personales que realmente necesita.
- Revisa qué puede salir mal en entradas, procesamiento y resultados; incluye quién podría recibir información incorrecta.
- Pide al proveedor información verificable y deja registradas las respuestas que siguen pendientes.
- Asigna responsables para comprobar las medidas y revisar el sistema cuando cambien sus datos, funcionamiento o uso.
Qué riesgos humanos te ayuda a revisar
Lo relaciono con Seguridad, privacidad y dignidad por los posibles efectos del tratamiento de datos sobre las personas. También con Decisiones, organizaciones y sociedad, porque alguien debe justificar y revisar la adopción. Son conexiones de mi Taxonomía IAConSentido, no una clasificación del EDPS. Puedes consultar los nombres y su alcance en la Taxonomía IAConSentido.
Qué necesitas tener presente
Esta guía no convierte el Reglamento 2018/1725 en una obligación universal para empresas mexicanas. Tampoco es una certificación bajo el AI Act: el EDPS la emite en su función de autoridad de protección de datos. Puedes aprovechar sus preguntas técnicas, pero la revisión jurídica de tu caso necesita su propio análisis. El documento tampoco asigna por ti la probabilidad o gravedad de cada riesgo.
¿Sirve aunque mi organización no sea una institución de la UE?
Puede servirte como referencia para conversar sobre riesgos técnicos de datos personales. Te recomiendo distinguir ese aprendizaje de su aplicabilidad jurídica: no todas sus referencias normativas corresponden a tu organización.
Antes de dar por buena una respuesta del proveedor, anota qué prueba permitiría comprobarla. Si todavía no existe esa prueba o no puedes acceder a ella, conserva el punto como pendiente.
Si quieres comparar otros documentos y herramientas, visita la Biblioteca de Riesgos Humanos de la IA.