Soberanía de datos y seguridad en la nube para IA en la administración

La adopción de servicios de IA en municipios y entidades públicas plantea preguntas concretas: ¿dónde residen los datos? ¿qué controles técnicos y contractuales garantizan confidencialidad y trazabilidad? ¿cómo encaja todo esto con el ENS (RD 311/2022), el RGPD y las obligaciones del EU AI Act? Este texto ofrece una hoja de ruta práctica para equipos técnicos, jurídicos y de contratación pública.

Por qué la soberanía y la seguridad importan en proyectos de IA públicos

• Los datos municipales suelen combinar información administrativa, catastros y, en ocasiones, datos personales. El RGPD exige bases jurídicas claras y medidas técnicas y organizativas.
• El ENS (RD 311/2022) marca requisitos obligatorios sobre protección y certificación para sistemas que manejan información administrativa.
• El EU AI Act introduce obligaciones sobre gestión de riesgos, documentación técnica y transparencia en sistemas de IA de alto riesgo, aplicable a ciertos usos públicos.
• Las decisiones de proveedor y modelo de despliegue condicionan auditoría, continuidad y portabilidad al término del contrato.

Modelo de despliegue y efectos prácticos

• SaaS público-elástico (multi-tenant, proveedor global): más fácil de desplegar pero exige controles contractuales fuertes sobre residencia de datos, subcontratación y auditorías.
• SaaS dedicado / VPC privada en nube: mejor aislamiento lógico y más opciones de cumplimiento ENS; puede requerir mayores costes.
• Cloud privado u on-premise: máxima soberanía y control físico; mayor responsabilidad operativa y coste.

Controles técnicos imprescindibles

Pida pruebas o pruebas de concepto sobre los siguientes controles:

• Residencia y segregación de datos
  • Garantía explícita de ubicación geográfica de almacenamiento y backups.
  • Segregación lógica entre clientes (multi-tenant) o despliegue dedicado.
• Cifrado
  • Cifrado en tránsito (TLS) y en reposo (AES-256 o equivalente).
  • Gestión de claves: posibilidad de KMS por el contratante o uso de HSM certificable.
• Gestión de accesos
  • Autenticación federada (SAML/OIDC), RBAC granular y logging de accesos administrativos.
• Registro y trazabilidad
  • Logs inmutables de acceso y acciones del sistema; retención mínima definida para auditoría.
• Control de egress y exfiltration
  • Políticas que impidan salidas no autorizadas; alertas por exfiltration.
• Pruebas de seguridad
  • Informes recientes de pentesting, vulnerabilidades críticas y plan de remediación.
• Resiliencia y continuidad
  • SLA de disponibilidad, backup/restore y planes de recuperación que encajen con ENS.

Cláusulas contractuales y requisitos de contratación (Ley 9/2017)

En los pliegos y contratos incluya cláusulas concretas, alineadas con la Ley 9/2017 de Contratos del Sector Público:

• Definición clara de los datos objeto del contrato y responsabilidades (encargado vs. responsable).
• Anexo de subprocesadores: lista inicial y mecanismo de notificación y aprobación.
• Derechos de auditoría técnica y legal in situ o mediante informes (por ejemplo, SOC 2, ISO 27001, informes ENS).
• Cláusulas de portabilidad y reversión: formato estándar de exportación, periodo de retención post-terminación y obligación de destrucción certificada.
• Condiciones de continuidad y transferencia en caso de cambio de proveedor.
• Penalizaciones por incumplimientos de seguridad y notificación obligatoria de brechas (plazos y formato).
• Garantías sobre localización de datos y prohibición de transferencias no autorizadas fuera de la UE sin adecuadas salvaguardas.

Evidencias y verificaciones que pedir antes de firmar

• Certificaciones y auditorías: ISO 27001, ENS o evidencia de cumplimiento con RD 311/2022; informes independientes recientes.
• Resultados de pentests y plan de remediación.
• Política de privacidad y DPA (Data Processing Agreement) alineados con RGPD.
• Documentación técnica requerida por EU AI Act (si aplica): evaluación de riesgos, documentación técnica del modelo, mecanismos de supervisión humana, y plan de gestión de incidencias.

Operativa interna que debe acompañar la contratación

• Realizar una Evaluación de Impacto de Protección de Datos (DPIA) antes del despliegue si hay datos personales sensibles o procesamientos a gran escala.
• Incluir en el inventario de sistemas la relación entre datos, servicios de IA y proveedores.
• Establecer roles claros: responsable de tratamiento, encargado, delegado de protección de datos y responsable de continuidad.
• Plan de formación para equipos sobre acceso, clasificación y uso responsable de modelos de IA.
• Pruebas de salida: ejercicios de exportación de datos y validación de reincorporación a sistemas locales.

Caso práctico rápido (pasos en una licitación)

1. Defina el alcance de datos y criterios de soberanía en el pliego.
2. Exija DPA y listado de subprocesadores como requisito de solvencia.
3. Solicite evidencias técnicas (pentest, auditoría ENS/ISO) en fase de oferta.
4. Incluya SLA concretos, derechos de auditoría y cláusulas de portabilidad.
5. Realice una DPIA y validación técnica en prueba piloto.

Takeaway / Acción recomendada

Antes de contratar cualquier servicio de IA, prepare una checklist mínima que cubra: residencia de datos, gestión de claves (KMS/HSM), derechos de auditoría, cláusulas de portabilidad y evidencias de cumplimiento ENS y RGPD. Use esa checklist como criterio eliminatorio en la evaluación de ofertas.

OptimTech ha trabajado con municipios para integrar estos controles en pliegos y despliegues seguros; si lo necesita, puede usar la checklist anterior como base para su convocatoria.