DPIA (Data Protection Impact Assessment), på svenska konsekvensbedömning avseende dataskydd, är en strukturerad förhandsanalys som krävs enligt artikel 35 i GDPR när en behandling sannolikt medför hög risk för fysiska personers rättigheter och friheter. Typfall är storskalig systematisk profilering med rättsliga följder, storskalig behandling av känsliga uppgifter och systematisk storskalig övervakning av allmän plats. Bedömningen ska beskriva behandlingen, dess nödvändighet och proportionalitet, riskerna för de registrerade och de åtgärder som ska hantera riskerna.

Om DPIA visar en kvarstående hög risk som inte kan mildras ska tillsynsmyndigheten förhandssamrådas (artikel 36). DPIA ska göras innan behandlingen påbörjas och hållas uppdaterad. För en AI som resonerar om nya behandlingar — inte minst AI-system som profilerar eller använder känsliga data — är DPIA ofta den formella grind där dataskyddsriskerna måste dokumenteras innan lansering.