DPIA y AI Act

1. Evaluación de Impacto (DPIA — Art. 35 RGPD)

¿Por qué es obligatoria una DPIA?

El Art. 35 del RGPD exige una Evaluación de Impacto cuando el tratamiento implica datos de categoría especial (Art. 9) a gran escala, como los datos biométricos y de salud que procesa BioSync. La DPIA analiza los riesgos para los derechos y libertades de los interesados y las medidas para mitigarlos.

Riesgos identificados y medidas

• Acceso no autorizado a datos de salud → Cifrado AES-256 en reposo, TLS 1.3 en tránsito, autenticación JWT con refresh tokens, control de acceso por roles (RBAC).
• Re-identificación en análisis B2B → K-anonimidad mínima k≥5 antes de cualquier agregación. El perfil individual es invisible para clientes B2B.
• Uso indebido de predicciones → Todas las predicciones incluyen explicación SHAP y aviso de que no sustituyen consejo médico. Los modelos están clasificados como riesgo bajo bajo AI Act.
• Retención excesiva → Política de retención definida: datos de salud máximo 2 años, datos técnicos 13 meses. Proceso automatizado de purga.
• Transferencias internacionales → Todos los datos permanecen en la UE (DigitalOcean AMS3 — Ámsterdam).

2. Conformidad con el AI Act (Reglamento UE 2024/1689)

Clasificación de riesgo

Conforme al Art. 6 y Anexo III del Reglamento Europeo de Inteligencia Artificial, los sistemas de IA de BioSync están clasificados como riesgo bajo por las siguientes razones:

• No toman decisiones con efectos jurídicos significativos sobre las personas.
• No intervienen en ámbitos de infraestructura crítica, educación, empleo o servicios esenciales.
• No realizan diagnósticos médicos ni recomiendan tratamientos clínicos.
• El usuario mantiene en todo momento el control sobre sus datos y puede ignorar las recomendaciones.

Modelos de IA y sus funciones

• Clasificador de perfil (XGBoost) — Asigna un perfil de estilo de vida orientativo. Función descriptiva, no prescriptiva.
• Predictor de fatiga (XGBoost) — Anticipa episodios de fatiga a 7 días. Función preventiva y orientativa.
• Predictor de burnout (XGBoost) — Estima probabilidad de burnout en los próximos 7 días. Función de alerta temprana.
• Predictor de longevidad (XGBoost) — Estima años de vida saludable según hábitos actuales. Función motivacional.
• Predictor de churn (XGBoost, solo B2B) — Estima probabilidad de abandono de un gimnasio. Función comercial agregada.

Medidas de transparencia y explicabilidad

• Todas las predicciones incluyen explicación de los 3 factores más influyentes mediante valores SHAP.
• Los usuarios son informados de que interactúan con un sistema de IA en el onboarding y en cada predicción.
• Los modelos se validan continuamente en MLflow con métricas de rendimiento y sesgo documentadas.
• BioSync no aplica perfilado automatizado con efectos legales ni significativos sin supervisión humana.

3. Gobernanza y roles

• Responsable del tratamiento: BioSync Intelligence S.L.
• Delegado de Protección de Datos (DPO): dpo@biosyncintelligence.com
• Responsable de IA (AI Officer): Equipo técnico BioSync
• Auditoría de fairness: Semestral — análisis de sesgo por género y grupo de edad.

4. Principios éticos

• Sin social scoring: BioSync no genera puntuaciones que afecten al acceso a servicios, empleo o crédito.
• Variables protegidas excluidas: Género, origen étnico y condición de salud no se usan como variables de targeting B2B.
• No discriminación: Las ofertas personalizadas están disponibles para todos los perfiles sin exclusión.
• Derecho a impugnar: El usuario puede solicitar revisión humana de cualquier predicción que considere incorrecta.

5. Contacto y reclamaciones

Para consultas sobre esta DPIA o sobre el uso de IA en BioSync: dpo@biosyncintelligence.com

Para reclamaciones ante la autoridad supervisora: Agencia Española de Protección de Datos (AEPD)