Simulacros de incidentes de IA en ayuntamientos: cómo planificarlos y qué medir

El uso de modelos de IA en servicios municipales ya no es un experimento: afecta decisiones administrativas, derechos de la ciudadanía y continuidad de servicio. Por ello, los ayuntamientos necesitan comprobar no solo que los controles técnicos funcionan en condiciones ideales, sino que los equipos saben reaccionar cuando un sistema falla, sufre un ataque o genera resultados adversos. Los ejercicios tabletop (simulacros de incidentes) son la forma más eficiente de validar políticas, roles y procedimientos antes de que ocurra una crisis real.

¿Por qué hacer un tabletop específico para IA?

• Los incidentes con IA combinan aspectos técnicos (modelo, datos, infraestructura) y jurídicos/operativos (RGPD, ENS RD 311/2022, obligaciones de vigilancia de la EU AI Act para sistemas de alto riesgo).
• Requieren coordinación entre equipos que habitualmente no trabajan juntos en operativa diaria: desarrollo/infra, unidad de protección de datos, secretaría jurídica, comunicación y responsables del servicio.
• Permiten ensayar decisiones críticas: contingencia técnica, notificación a personas afectadas, comunicación pública y preservación de evidencias para auditoría.

Antes del ejercicio: preparación esencial

1. Objetivo claro

   • Definir qué se quiere validar: detección, escalado, notificación RGPD (72 horas), continuidad del servicio, comunicación pública, cooperación con proveedor.

2. Alcance y sistema a probar

   • Identificar el sistema de IA (nombre del servicio, clasificación de riesgo según AI Act, fuentes de datos, enlaces a model card y data sheets).

3. Equipo participante

   • Facilitador neutral.
   • Responsable TI/operaciones.
   • Responsable del modelo (data scientist / proveedor).
   • Responsable de protección de datos (DPO).
   • Secretario jurídico.
   • Responsable de comunicación.
   • Responsable del servicio o área afectada.
   • Representante de contratación/proveedor externo si aplica.

4. Documentación disponible

   • Arquitectura simplificada, flujos de datos, resumen de logs accesibles, plan de continuidad, contrato y SLA, registro de decisiones automatizadas, plan de notificación.

5. Escenarios diseñados

   • Escenario principal + 2‑3 variantes/injects. Cada escenario debe incluir inicio, evolución y criterios de éxito.

Escenarios útiles (ejemplos prácticos)

• Fuga de datos: acceso no autorizado a un dataset que alimenta un modelo que procesa solicitudes de subvención. Verificar detección, clasificación como brecha RGPD y plazos de notificación.
• Sesgo operativo: aumento repentino de rechazos automáticos en expedientes de ayudas por cambio de datos de entrada. Ensayar análisis causal, medidas de mitigación y revertir decisiones.
• Compromiso del modelo: proveedor notifica comportamiento errático tras actualización del modelo. Probar rollback, control de versiones y cláusulas contractuales para reparación.
• Denegación de servicio/infraestructura: pérdida de disponibilidad del servicio ciudadano en plena tramitación. Validar procedimientos de continuidad y canales alternativos de atención.

(Estos escenarios son hipotéticos; adapten detalles a su realidad operativa).

Cómo ejecutar el tabletop (formato práctico)

1. Breve introducción (15 min): objetivos, reglas del juego, tiempos.
2. Presentación del escenario (10 min).
3. Rondas de decisiones (45–60 min): el facilitador va introduciendo "injects" (nueva información) y el equipo discute y toma decisiones concretas (¿quién notifica a la AEPD? ¿se suspenden decisiones automáticas? ¿se activa el plan de contingencia?).
4. Registro de tiempos y decisiones: anotar quién hizo qué, cuándo y por qué.
5. Debrief y lecciones aprendidas (30–45 min): identificar brechas, acciones inmediatas y cambios en procedimientos.
6. Plan de acción y responsables (15 min): asignar tareas y plazos para implementar mejoras.

Duración total recomendada: 2 a 3 horas para un primer ejercicio; más extensos si se simula comunicación pública con role-play.

Métricas y criterios que medir

• Tiempo hasta detección (mean time to detect).
• Tiempo hasta decisión de contención (MTTR operacional).
• Cumplimiento de plazos legales: notificaciones RGPD (72 h), registro de incidentes según ENS.
• Calidad de evidencias recogidas (logs, copias inmutables, model versions).
• Efectividad de la comunicación interna y externa (mensajes aprobados, canal usado, tiempo de respuesta).
• Implementación de mitigaciones técnicas (rollback, aislamiento) y administrativas (suspensión temporal, revisión humana).

Integración con obligaciones normativas

• RGPD: simular la evaluación interna para determinar si la brecha constituye violación de datos; comprobar proceso de notificación y contenidos mínimos.
• ENS RD 311/2022: verificar registro y tratamiento de incidentes según el esquema nacional de seguridad y las medidas de respuesta y continuidad.
• EU AI Act: para sistemas calificados como de alto riesgo, practicar la recopilación de evidencia para obligaciones de vigilancia post‑mercado y notificación de incidentes cuando correspondan.
• Contratos: comprobar que el proveedor puede activar mecanismos (acceso a logs, rollback, soporte 24/7) previstos en Ley 9/2017 y cláusulas contractuales.

Operativa posterior al ejercicio

• Redactar informe con hallazgos y plan de acción con responsables y plazos.
• Actualizar playbooks, checklists y clausulado contractual según lecciones aprendidas.
• Programar ejercicios periódicos (cada 6–12 meses) y tras cambios significativos (despliegues, migraciones, cambios de proveedor).
• Si se usa una plataforma modular (SaaS), verificar que el proveedor participa en ejercicios y que existen canales de escalado.

Toma de acción (Takeaway)

Planifique y ejecute un tabletop de incidentes de IA en los próximos 90 días. Use el formato propuesto: defina objetivos, involucre a DPO, TI, jurídico, comunicación y proveedor; simule al menos tres escenarios (brecha, sesgo operativo, compromiso del modelo) y cierre con un plan de acciones y métricas medibles. Este ejercicio es la forma más práctica de demostrar cumplimiento con RGPD, ENS y requisitos del AI Act, y de reducir el riesgo operativo real.

OptimTech puede facilitar plantillas de escenarios y checklists adaptadas a ayuntamientos para acelerar la preparación del ejercicio.