Gobernanza de IA en el sector público: cómo empezar sin riesgo

La inteligencia artificial generativa ha llegado a las administraciones públicas. Y con ella, una pregunta recurrente en los equipos directivos: ¿podemos usarla? ¿En qué procesos? ¿Con qué garantías?

La respuesta no es un sí o un no rotundo. Es un "depende" que requiere análisis, criterio y un plan. Eso es exactamente lo que proporciona un marco de gobernanza de IA.

Por qué la gobernanza va antes que la tecnología

Muchas organizaciones cometen el error de empezar por la herramienta: contratar un servicio de IA, probar con un caso de uso y esperar resultados. El problema es que sin un marco de gobernanza previo, cualquier incidencia (un resultado erróneo, una queja, una consulta del Delegado de Protección de Datos) puede paralizar todo el proyecto.

Un marco de gobernanza establece las reglas del juego antes de jugar:

• Qué procesos son candidatos para incorporar IA y cuáles no.
• Qué niveles de supervisión humana se requieren en cada caso.
• Qué datos pueden utilizarse y bajo qué condiciones.
• Quién es responsable de las decisiones asistidas por IA.
• Cómo se documenta cada uso para que sea auditable y defendible.

El marco regulatorio: AEPD, ENS y Reglamento Europeo de IA

Las administraciones públicas en España operan bajo un marco normativo estricto que afecta directamente al uso de IA:

Agencia Española de Protección de Datos (AEPD): Ha publicado orientaciones específicas sobre el uso de IA y datos personales. El uso de sistemas de IA que procesen datos de ciudadanos requiere una Evaluación de Impacto en la Protección de Datos (EIPD).

Esquema Nacional de Seguridad (ENS): Cualquier sistema de IA desplegado en una administración debe cumplir con los requisitos del ENS según la categoría del sistema (básica, media o alta).

Reglamento Europeo de IA: Clasifica los sistemas de IA por niveles de riesgo. Los usos en el sector público, especialmente aquellos que afectan a derechos de los ciudadanos, se consideran de alto riesgo y requieren controles específicos.

Los tres pilares de un diagnóstico inicial

Antes de implementar cualquier solución de IA, recomendamos realizar un diagnóstico estructurado que cubra tres pilares:

1. Criterio: dónde sí y dónde no

No todos los procesos se benefician de la IA. Algunos son candidatos ideales (tareas repetitivas, alto volumen documental, criterios objetivos). Otros implican decisiones discrecionales que requieren un análisis más cuidadoso.

El diagnóstico evalúa cada proceso según su potencial de automatización, el riesgo asociado y el impacto en derechos de los ciudadanos.

2. Dirección: un plan de acción defendible

Con el análisis de procesos completado, se elabora una hoja de ruta:

• Priorización de casos de uso por impacto y viabilidad.
• Definición de requisitos técnicos y organizativos.
• Cronograma realista de implementación.
• Métricas de éxito medibles.

3. Seguridad: cumplimiento desde el diseño

Cada caso de uso incorpora desde el inicio los controles necesarios:

• Clasificación de datos según sensibilidad.
• Protocolos de supervisión humana.
• Mecanismos de auditoría y trazabilidad.
• Procedimientos de contingencia.

Error común: la parálisis por análisis

El riesgo opuesto a la improvisación es la parálisis. Algunas administraciones llevan meses (o años) debatiendo internamente sin dar un paso concreto.

Un buen diagnóstico no debería llevar más de unas semanas. Es un ejercicio práctico, no académico. El objetivo es tomar decisiones informadas rápidamente, no producir un documento exhaustivo que nadie leerá.

Conclusión

La gobernanza de IA no es un obstáculo para la innovación, sino su facilitador. Las administraciones que invierten tiempo en este paso inicial avanzan más rápido y con menos fricciones que las que improvisan.

Decidir bien antes de implantar. Ese es el punto de partida.