Gestión operativa de derechos de la ciudadanía frente a decisiones asistidas por IA

Por qué importa un procedimiento operativo para derechos frente a IA

La implantación de sistemas de IA en procesos administrativos (subvenciones, trámites, priorización de servicios) plantea solicitudes concretas: acceso a datos, explicaciones sobre decisiones y recursos frente a automatizaciones. El RGPD (artículos 12-22) fija plazos y derechos; el EU AI Act añade requisitos de documentación y transparencia para sistemas de alto riesgo. Para los ayuntamientos no basta con cumplir la ley: es necesario tener procedimientos que permitan responder rápidamente, con evidencia robusta y garantizando la protección de terceros y de secretos empresariales.

A continuación proponemos un procedimiento operativo práctico, reutilizable y verificable.

Paso 1 — Mapear y clasificar los sistemas de IA

• Inventario de sistemas: identificación única, finalidad administrativa, datos tratados, responsable y encargado.
• Clasificación legal: ¿procesamiento automatizado que produce decisiones con efecto jurídico o impacto significativo? ¿Sistema considerado de "alto riesgo" por el EU AI Act?
• Resultado práctico: para cada sistema, una ficha con responsables, registros de tratamiento y un propietario operativo.

Paso 2 — Logs mínimos exigibles (trazabilidad)

Garanticen un registro que permita reconstruir una decisión:

• Identificador de la solicitud/expediente y timestamp.
• Versión del modelo (hash/versión del artefacto) y fecha de despliegue.
• Entrada utilizada (snapshot de datos de la persona, siempre enmascarando datos sensibles ajenos).
• Salida (score, etiqueta, decisión) y puntuaciones intermedias por criterio.
• Metadatos: umbrales aplicados, parámetros de ponderación, ID del operador humano si hubo revisión.
• Hash o firma del registro para integridad y retención según política de conservación.

Paso 3 — Workflow operativo para una petición (DSAR / ejercicio de derechos)

1. Recepción y verificación de identidad (coordinar con oficina de atención al ciudadano y DPO).
2. Clasificación de la petición: acceso, rectificación, supresión, oposición, recursos frente a decisión automatizada.
3. Recolección de evidencias:
   • Extracto de los logs relacionados.
   • Explicación comprensible de los factores que influyeron en la decisión (ver "qué proporcionar").
   • Documentación complementaria (model card resumida, versión del modelo).
4. Revisión legal y redacción de la respuesta: coordinación con DPO y servicio jurídico.
5. Entrega al ciudadano en plazo (véase apartado plazos).
6. Registro de la respuesta y motivos de cualquier denegación parcial por protección de terceros o secreto legítimo.

Qué proporcionar al ciudadano (práctico y proporcional)

• Confirmación de si se están tratando datos personales y fines.
• Copia de los datos personales relativos a la persona (art. 15 RGPD), incluyendo la entrada usada para la decisión.
• Explicación en lenguaje claro de la lógica significativa aplicada: factores ponderados, criterios principales y posible impacto (no es necesario revelar código fuente completo).
• Información sobre posibilidad de intervención humana y cómo solicitarla.
• Instrucciones para rectificación o recurso y plazos.

Plazos y consideraciones del RGPD

• Respuesta en un mes desde recepción (art. 12(3) RGPD). Puede extenderse dos meses más por complejidad, pero el ciudadano debe ser informado de la extensión y motivos.
• Si la solicitud es compleja: ofrecer entregas parciales documentadas.
• Cuidado con la divulgación de datos de terceros y propiedad intelectual: justificar cualquier limitación o denegación.

Cómo manejar solicitudes para impugnar decisiones automatizadas

• Si la persona solicita revisión humana, active un proceso de re-evaluación documentado con un responsable distinto del que configuró el modelo.
• Conserve un registro de la revisión humana y su justificación.
• En sistemas que el EU AI Act considere de alto riesgo, prevea mecanismos formales de apelación y conformidad con las exigencias de transparencia y registro.

Templates y controles prácticos

• Plantilla de solicitud recibida (verificación de identidad y registro de entrada).
• Plantilla de respuesta de acceso con anexos: extracto de logs y explicación en lenguaje claro.
• Check-list de revisión por DPO (datos personales, límites legales, evaluación de riesgos de liberación).
• Ejemplo concreto: petición de acceso a la evaluación automática de una ayuda. La respuesta debe incluir la entrada usada (campos relevantes), score desagregado por criterios (p. ej. renta, cumplimiento documental), versión del modelo y cómo solicitar rectificación o revisión humana.

Formación, pruebas y mejoras

• Simulacros semestrales de DSARs con casos reales (anonimizados).
• Formación para atención al ciudadano y encargados del registro sobre cómo interpretar logs y explicar decisiones.
• Revisión anual de políticas de retención y de las plantillas de respuesta.

Integración técnica y cumplimiento operativo

• Automatizar la extracción de snapshots y generación de informes a partir de logs para reducir errores y cumplir plazos.
• Mantener una capa de "explicabilidad" operativa (descompuesto por criterios, no por código) que pueda ser entregada sin revelar secretos comerciales.
• Herramientas como módulos de auditoría y generación de informes (por ejemplo, disponibles en soluciones de gestión municipal) facilitan la trazabilidad y reducen carga administrativa.

Takeaway — Acción inmediata recomendada

En las próximas 6 semanas: 1) haga un inventario rápido de los sistemas de IA en uso y identifique 3 sistemas prioritarios por volumen de decisiones administrativas; 2) asegure que generan los logs mínimos listados aquí; 3) prepare una plantilla de respuesta para DSARs y un proceso de escalado al DPO. Con estos tres pasos reducirá el riesgo de incumplimiento y mejorará la confianza ciudadana.

OptimGov Ready puede ayudar a mapear sistemas y automatizar reportes de trazabilidad si desean un apoyo práctico en la fase de implementación.