De principios a práctica: un marco ético-operativo para IA en la administración pública

Por qué pasar de principios éticos a controles operativos

Los documentos de buenas prácticas y los códigos éticos son útiles para orientar, pero no garantizan cumplimiento ni reducen riesgos reales. Para una entidad pública, operacionalizar la ética significa adoptar controles verificables que respondan a obligaciones legales (RGPD, ENS RD 311/2022, EU AI Act), a compromisos de transparencia con la ciudadanía y a la necesidad de continuidad de servicio.

Este texto propone un marco práctico —no teórico— para convertir principios en medidas concretas que puedan incorporarse a proyectos de IA municipales: desde evaluación de impacto hasta cláusulas contractuales y controles técnicos.

Seis controles operativos clave

1. Gobernanza: roles, responsabilidad y registro

Acción concreta:

• Definir un responsable de IA (modelo RACI) y un comité técnico-legal que revise proyectos.
• Mantener un registro de sistemas de IA en producción (nombre, función, categoría de riesgo, responsable), útil para cumplimiento con la EU AI Act y transparencia pública.

Beneficio: claridad sobre quién toma decisiones y cómo se documentan.

2. Evaluación de riesgo y DPIA

Acción concreta:

• Realizar una evaluación de riesgo previa a la puesta en marcha: identificar datos tratados, impacto en derechos fundamentales y clasificación de riesgo (según EU AI Act).
• Para tratamientos con impacto significativo en personas, ejecutar un Data Protection Impact Assessment (DPIA) conforme a RGPD.

Beneficio: decisiones informadas sobre mitigaciones necesarias (p. ej. minimización de datos, controles de calidad).

3. Gobierno de datos y principios mínimos

Acción concreta:

• Aplicar prácticas de gestión: catalogación de fuentes, definición de propietarios de datos, pseudonimización, retención mínima y control de calidad de datos de entrenamiento.
• Para datos sensibles o personales, documentar la base jurídica y medidas técnicas (en línea con RGPD y ENS).

Beneficio: reduce sesgos, fugas de datos y riesgos legales.

4. Transparencia y explicabilidad operativa

Acción concreta:

• Publicar fichas técnicas públicas (model cards) que indiquen finalidad, límites, datos principales, métricas de rendimiento y escenarios de uso.
• Implementar registros de decisiones automáticas (logging) que permitan auditar resultados y explicar decisiones ante un ciudadano.

Beneficio: mayor confianza ciudadana y capacidad de respuesta ante reclamaciones.

5. Supervisión humana y diseño de procesos

Acción concreta:

• Definir puntos de intervención humana (human-in-the-loop): cuándo y cómo un operador revisa o revoca una salida automática.
• Establecer procedimientos de escalado para casos dudosos y formación obligatoria para operadores.

Beneficio: evita decisiones automatizadas que puedan vulnerar derechos o producir errores graves.

6. Monitorización, pruebas continuas e incidentes

Acción concreta:

• Implementar métricas de control (precisión, sesgo por grupos, tasa de error) y alertas automáticas cuando se degradan.
• Plan de respuesta a incidentes: aislamiento, auditoría forense y comunicación pública si procede.

Beneficio: detección temprana de fallos y cumplimiento con obligaciones de notificación.

Contratos y compras públicas: cláusulas operativas recomendadas

Al contratar soluciones de IA (Ley 9/2017 aplicable), incluir cláusulas que permitan:

• Acceso a documentación técnica y registros de logs para auditoría.
• Obligaciones de conformidad con ENS RD 311/2022 y con requisitos del EU AI Act aplicables.
• Derechos de rectificación/actualización de modelos y datos, y condiciones sobre subcontratación y cadena de suministro.
• SLA técnicos y de seguridad, y penalizaciones por incumplimiento operativo que afecte derechos de ciudadanos.

Estas cláusulas traducen exigencias éticas y regulatorias en obligaciones contractuales verificables.

Implantación práctica: plan 90 días (acción inmediata)

Acción prioritaria en 90 días:

1. Crear el registro de sistemas de IA y nombrar un responsable de IA.
2. Ejecutar una evaluación de riesgo inicial (screening) para los tres proyectos de mayor impacto en curso.
3. Incluir en la siguiente contratación una cláusula básica de auditoría de logs y cumplimiento ENS.

Este plan táctico permite pasar de intención a control en periodo corto y sin grandes inversiones.

Aspectos finales y recursos prácticos

• Alinear estas medidas con el ENS RD 311/2022 para aspectos de seguridad y con el RGPD para protección de datos.
• Anticipar requisitos de la EU AI Act para sistemas de alto riesgo: documentación exhaustiva, gestión de calidad de datos y procedimientos de conformidad.
• Herramientas y plataformas modulables (como OptimGov Ready) pueden acelerar la implantación del registro de sistemas y los procesos de evaluación de impacto, pero el control organizativo y jurídico siempre debe residir en la entidad pública.

Takeaway / Acción recomendada: en las próximas dos semanas, nombre un responsable de IA, levante el inventario de modelos y ejecute el screening de riesgo sobre el proyecto más crítico —esa sola acción reduce la exposición normativa y permite priorizar medidas operativas.