Desarrollar IA internamente o externalizar: guía práctica para ayuntamientos

Introducción

Los ayuntamientos que quieren usar IA se enfrentan a una decisión recurrente: desarrollar capacidades internas o confiar en proveedores externos. No hay una única respuesta correcta. La elección depende de variables técnicas, legales y organizativas —y de obligaciones concretas como la Ley 9/2017 de Contratos del Sector Público, el RGPD, el ENS (RD 311/2022) y el EU AI Act. Esta guía ofrece un marco práctico para decidir y ejecutar la opción más adecuada para su organización.

Modelos y consideraciones clave

1. Construir capacidades internas (in-house)

Pros:

• Control sobre datos, modelos y adaptaciones.
• Mayor capacidad para cumplir requisitos de transparencia y explicabilidad.
• Menor dependencia de proveedores a largo plazo.

Contras:

• Necesita inversión en personal (data engineers, MLOps, compliance).
• Tiempo de entrega inicial más largo.
• Riesgo si no se integra con prácticas de seguridad (ENS) y protección de datos.

Requisitos legales/prácticos:

• Clasificación y protección según ENS.
• Evaluaciones de impacto de RGPD para tratamientos de datos personales.
• Prepararse para obligaciones del EU AI Act si el sistema es de riesgo alto.

2. Comprar (SaaS / proveedores)

Pros:

• Despliegue rápido y coste inicial menor.
• Acceso a capacidades avanzadas sin contratar especialistas.
• Actualizaciones gestionadas por el proveedor.

Contras:

• Riesgo de vendor lock-in y limitaciones de auditoría.
• Necesidad de asegurar cumplimiento ENS, RGPD y transparencia contractual.
• Menos control sobre modelos y datos.

Requisitos legales/prácticos:

• Pliegos que exijan cumplimiento ENS y medidas de seguridad.
• Cláusulas sobre tratamiento, titularidad y portabilidad de datos (RGPD).
• Derechos de auditoría y acceso a documentación técnica para cumplimiento del EU AI Act.

3. Modelo híbrido (colaboración/partnership)

Pros:

• Combina rapidez con transferencia de conocimiento.
• Permite pilotos con control creciente por fases.
• Facilita proyectos co-desarrollados con cláusulas de transferencia tecnológica.

Contras:

• Requiere gestión contractual más sofisticada.
• Necesidad de planificar la transición de conocimientos y responsabilidades.

Matriz rápida de decisión (orientativa)

• Pequeños municipios, capacidades TI limitadas, necesidades estándar -> Comprar SaaS con cláusulas estrictas de seguridad y datos.
• Municipios medianos con datos sensibles y objetivos de control -> Híbrido: pilotar con proveedor y capacitar equipo interno.
• Grandes entidades con volumen, requisitos regulatorios complejos -> In-house o híbrido con fuerte inversión en talento y ENS.

Pasos prácticos para ejecutar la decisión

1. Priorizar casos de uso

• Seleccione 2–3 casos de impacto claro y medible (p. ej., detección de duplicidades en solicitudes, clasificación de documentos, priorización de incidencias).
• Defina indicadores de éxito y riesgos asociados.

2. Evaluación legal y de riesgos

• Realice DPIA (evaluación de impacto RGPD) y análisis de riesgo ENS.
• Determinar si la solución entra en alguna categoría del EU AI Act (alto riesgo, etc.).

3. Diseño del modelo operativo

• Si in-house: mapa de roles necesarios (product owner, data engineer, responsable de cumplimiento, MLOps).
• Si compra: requisitos de interoperabilidad, SLA, plan de continuidad y cláusulas de salida.

4. Contratación: cláusulas imprescindibles

• Cumplimiento ENS (RD 311/2022) y nivel de seguridad requerido.
• Responsabilidades de tratamiento de datos (RGPD): encargo de tratamiento, subcontratación.
• Propiedad y portabilidad de datos; formato estándar de exportación.
• Derechos de auditoría técnica y acceso a modelos/explicaciones.
• Plan de contingencia y transferencia tecnológica si aplica.
• KPI de desempeño y penalizaciones por incumplimiento.

5. Piloto con criterios de salida

• Duración limitada (3–6 meses), objetivos medibles, checkpoints legales y técnicos.
• Evaluación de costes reales y experiencia del personal.

6. Formación y transferencia

• Plan de formación para personal operativo y legal.
• Documentación técnica y operativa accesible.
• Sesiones de "shadowing" con proveedores en modelo híbrido.

7. Gobernanza continua

• Registro de sistemas de IA, responsable técnico y jurídico.
• Monitoreo de rendimiento, sesgos y cumplimiento normativo.
• Revisiones periódicas alineadas con el EU AI Act y ENS.

Consideraciones de contratación pública (Ley 9/2017)

• Preparar pliegos con criterios técnicos y de seguridad verificables.
• Evitar cláusulas que impidan la competencia futura (cláusulas de exclusividad).
• Evaluar soluciones en términos de interoperabilidad y datos abiertos cuando proceda.
• Incluir criterios de transferencia tecnológica para modelos híbridos o proyectos co-desarrollados.

Ejemplo de cláusulas prácticas (resumen)

• "El proveedor garantizará la portabilidad completa de los datos en formatos abiertos y estándares interoperables al finalizar el contrato."
• "Se otorgará al contratante derecho de auditoría técnica anual y acceso a registros de entrenamiento y pruebas del modelo."
• "El sistema cumplirá los requisitos de ENS y se facilitará documentación técnica que permita evaluaciones de riesgo."

Conclusión y takeaway

La decisión entre construir o externalizar debe basarse en una evaluación clara de control sobre datos, capacidad técnica interna, riesgo regulatorio y horizonte temporal. Recomendación práctica: empezar por un piloto con criterios de éxito definidos y cláusulas contractuales que preserven control y portabilidad. Si necesita un diagnóstico inicial que combine aspectos técnicos, legales y de gobernanza, un análisis estructurado (como OptimGov Ready) ayuda a identificar el modelo óptimo antes de licitar.

Acción inmediata recomendada:

• Defina hoy un caso de uso piloto y solicite a su equipo jurídico y de TI un checklist de DPIA + exigencias ENS para incorporarlo al pliego o contrato antes de cualquier prueba.