Clasificar el riesgo de proyectos de IA en municipios y aplicar controles proporcionales

Por qué clasificar el riesgo importa hoy

No todos los proyectos de inteligencia artificial en un ayuntamiento tienen el mismo impacto ni requieren las mismas garantías. Una evaluación de riesgo clara permite aplicar controles proporcionales: seguridad (ENS RD 311/2022), protección de datos (RGPD) y obligaciones de transparencia y mitigación previstas en el EU AI Act. Esto reduce sobrecostes, acelera despliegues seguros y facilita la rendición de cuentas.

A continuación, un protocolo práctico, operativo y adaptable para equipos técnicos, jurídicos y responsables de contratación en la administración local.

1. Matriz rápida de clasificación de riesgo (operativa)

Evalúa cada sistema según dos ejes: impacto sobre derechos/servicios y grado de automatización en decisiones.

• Impacto sobre derechos/servicios:

  • Alto: afecta concesiones económicas, acceso a servicios sociales, sanciones o derechos ciudadanos.
  • Medio: influye en priorización de recursos, recomendaciones con consecuencias administrativas.
  • Bajo: informa o facilita tareas internas sin efecto decisorio sobre personas.

• Grado de automatización:

  • Autónomo (decisión sin revisión humana efectiva)
  • Asistido (recomendación con reversión humana obligatoria)
  • Informativo (solo apoyo o búsqueda)

Clasificación resultante (ejemplo):

• Alto riesgo: alto impacto + autónomo → aplicar controles estrictos (posible high-risk bajo AI Act).
• Riesgo medio: medio impacto y/o asistido → controles intermedios.
• Bajo riesgo: bajo impacto e informativo → controles básicos (registro y transparencia).

2. Controles proporcionales mapeados a obligaciones prácticas

A continuación controles concretos por nivel, con referencia normativa práctica.

Alto riesgo (ej.: automatización de concesiones de ayudas, puntuación para acceso a prestaciones)

• DPIA y justificación documental (RGPD).
• Validación técnica y pruebas de robustez, con conjuntos de datos reales y sintéticos para cobertura de casos límite.
• Registro de versiones, modelos y datasets; trazabilidad de entrenamiento y preprocesos.
• Supervisión humana explícita y definida en procedimiento (responsable último y SLA de intervención).
• Auditoría externa periódica y explicación técnica accesible para afectados (transparencia conforme al EU AI Act).
• Controles de seguridad reforzados y clasificación ENS acorde a RD 311/2022 (confidencialidad e integridad).
• Plan de respuesta a incidentes y notificación pública si afecta derechos.

Riesgo medio (ej.: priorización de inspecciones, recomendación de obra pública)

• DPIA simplificado si hay datos personales.
• Pruebas de sesgo y supervisión de métricas operativas.
• Logging mínimo de decisiones y capacidad de revisión por personal competente.
• Contratos y SLAs con proveedor que obliguen a suministrar evidencias de testing.

Bajo riesgo (ej.: asistentes de consulta interna)

• Registro de uso y avisos de transparencia al personal.
• Requisitos básicos de seguridad y control de acceso.
• Revisión periódica de outputs para evitar degradación.

3. Procedimiento operativo en 6 pasos

1. Inventario rápido: catálogo de sistemas IA con responsable, usuarios, tipo de datos y función.
2. Evaluación inicial: aplicar la matriz anterior y asignar nivel de riesgo.
3. Obligaciones por nivel: checklist de controles técnicos, legales y operativos (DPIA, ENS, SLAs, pruebas).
4. Pruebas y validación: definir tests de aceptación, criterios de bias y KPIs operativos antes de producción.
5. Puesta en servicio con supervisión: despliegue controlado (canary/limitado), registro de incidencias y métricas.
6. Revisión periódica: re-evaluar riesgo tras cambios funcionales o del contexto legal.

4. Puntos prácticos para contratación y compra

• Incluir en pliegos cláusulas sobre clasificación de riesgo, entrega de documentación técnica (model cards, data sheets) y obligaciones de soporte para auditoría.
• SLAs deben definir tiempos de revisión humana, acceso a logs y protocolos de contingencia.
• Pedir evidencia de cumplimiento ENS / RGPD y capacidad para facilitar DPIAs y pruebas de robustez.
• Valorar opciones que permitan soberanía de datos (procesamiento local o en entorno ENS-compliant).

5. Casos breves y orientación rápida

• Chatbot de información de horarios y tasas: riesgo bajo — controles: aviso al usuario, logging y actualización supervisada.
• Sistema de priorización de ayudas sociales: riesgo alto — controles: DPIA, explicabilidad, revisión humana obligatoria, auditoría externa.
• Herramienta que sugiere inspecciones de obra por incumplimiento: riesgo medio — controles: métricas de precisión, revisión trimestral y transparencia interna.

Takeaway / Acción inmediata

Acción recomendada en las próximas 4 semanas:

1. Hacer un inventario mínimo de tus 10 sistemas con IA (si tienes menos, todos).
2. Aplicar la matriz de clasificación y etiquetar cada sistema (alto/medio/bajo).
3. Para cualquier sistema marcado como alto: programar un DPIA y definir el responsable legal y técnico en 15 días.

Estos tres pasos reducen riesgo operativo y facilitan el cumplimiento de ENS, RGPD y las obligaciones del EU AI Act. Si necesitas un marco auditado y una hoja de ruta, herramientas como OptimGov Ready pueden integrarse en este proceso sin reemplazar tus responsabilidades: sirven para estructurar la evaluación y traducirla en controles técnicos y contractuales.

Si quieres, puedo ayudarte a convertir tu inventario en una checklist de riesgo y controles adaptada al tamaño de tu municipio.