Auditoría de IA y obligaciones de transparencia en la administración pública

La adopción de sistemas de inteligencia artificial por parte de administraciones públicas trae beneficios operativos, pero también obligaciones concretas de auditoría y transparencia. Este artículo ofrece un enfoque práctico para que ayuntamientos y entidades públicas estén preparados para inspecciones internas y externas, y cumplan requisitos legales como el RGPD, el ENS (RD 311/2022) y las obligaciones que introduce el EU AI Act.

¿Por qué importa la auditoría de IA en el sector público?

• Legitimidad y confianza: los ciudadanos exigen explicaciones claras cuando decisiones administrativas se apoyan en IA.
• Cumplimiento normativo: la combinación de RGPD, ENS y la normativa sectorial obliga a documentación, trazabilidad y medidas de seguridad.
• Resiliencia operativa: auditorías periódicas detectan sesgos, degradación de modelos o brechas de seguridad antes de que causen daños.

Marco regulatorio esencial (resumen práctico)

• RGPD: derechos de los ciudadanos, obligación de evaluaciones de impacto (EIPD/DPIA) cuando el tratamiento implique alto riesgo para derechos y libertades.
• EU AI Act: para sistemas clasificados como de alto riesgo exige documentación técnica, gestión de riesgos, registro de logs y vigilancia post-comercialización.
• ENS (RD 311/2022): controles de seguridad, clasificación de sistemas, gestión de incidentes y requisitos para sistemas en la nube y redes.
• Ley 9/2017 de Contratos del Sector Público: exige transparencia en pliegos y criterios técnicos; la incorporación de IA en criterios de adjudicación debe quedar documentada.
• Ley 38/2003 de Subvenciones: obliga a justificar la concesión y aplicación de subvenciones; el uso de IA en selección o justificación debe ser trazable y auditable.

Checklist operativo para estar listo ante una auditoría de IA

1. Inventario y clasificación

   • Registrar todos los sistemas que incorporan componentes de IA (software interno, SaaS, modelos terceros).
   • Clasificar por riesgo (decisiones automatizadas sobre derechos, impacto económico, salud, seguridad).

2. Documentación técnica y administrativa

   • Ficha de sistema: objetivo, alcance, actores, fuentes de datos, criterios de salida.
   • Documentación técnica exigida por EU AI Act para sistemas de alto riesgo: especificaciones del modelo, dataset, métricas de rendimiento, pruebas de robustez.
   • Copia de contratos y pliegos (Ley 9/2017) cuando la IA participe en procesos de contratación o evaluación.

3. Trazabilidad de datos (data lineage)

   • Registro de procedencia, fechas, transformaciones y retenciones.
   • Metadatos que permitan reproducir inputs usados en decisiones específicas.

4. Logging y registros de decisión

   • Logs inmutables con: versión del modelo, input, output, razones/explicaciones, identificador de usuario que supervisó o ejecutó la acción, timestamp.
   • Duración de conservación conforme a RGPD y normativa aplicable.

5. Evaluaciones de impacto y gestión de riesgos

   • EIPD/DPIA actualizadas para tratamientos de alto riesgo.
   • Registro de medidas de mitigación y seguimiento de resultados.

6. Controles de seguridad y continuidad (ENS)

   • Clasificación y medidas según RD 311/2022 (gestión de accesos, cifrado, copias de seguridad).
   • Procedimientos de respuesta ante incidentes que involucren modelos o datos.

7. Transparencia y derechos de los ciudadanos

   • Informes accesibles explicando uso de IA en servicios clave.
   • Procedimientos para solicitudes de información, rectificación y ejercicio de otros derechos RGPD.

8. Auditoría interna y acceso a terceros

   • Mecanismos para que auditores accedan a documentación, logs y entornos de prueba sin comprometer datos personales.
   • Contratos con proveedores que incluyan cláusulas de auditoría y obligación de facilitar evidencia técnica.

Artefactos mínimos que debe poder entregar una entidad

• Inventario actualizado de sistemas de IA y su ficha técnica.
• Registro de logs de decisiones por al menos el periodo legalmente requerido.
• EIPD/DPIAs con medidas mitigadoras implementadas.
• Model cards y datasheets que documentan datos, entrenamientos y limitaciones.
• Registro de pruebas de validación y tests de sesgo/robustez.
• Actas de contratación y cláusulas donde se especifica uso de IA en procedimientos públicos.

Pasos prácticos para empezar en 90 días

1. Semana 1–4: Realizar un inventario rápido y clasificar sistemas por riesgo.
2. Semana 5–8: Implementar logging mínimo en sistemas prioritarios y asegurar retención segura.
3. Semana 9–12: Redactar las primeras fichas técnicas, ejecutar EIPD para los dos sistemas de mayor riesgo y programar auditoría interna.

Herramientas y soluciones maduras pueden acelerar la tarea; plataformas como OptimGov integran inventario, trazabilidad y generación de documentación para auditorías, ajustándose a ENS y requisitos de transparencia.

Acción recomendada (takeaway)

Empiece por un inventario y la implementación de logs de decisiones: sin trazabilidad no hay auditoría posible. Planifique una EIPD para sus sistemas de mayor impacto y asegure que todos los contratos con proveedores incluyen acceso de auditoría. Estas tres acciones (inventario, logging, EIPD) son la base mínima para cumplir RGPD, ENS y las obligaciones crecientes del EU AI Act.

Si necesita una guía práctica para ejecutar el inventario y priorizar sistemas por riesgo, descargue o solicite un template de inventario técnico y una checklist de logs para administraciones locales.