Convenios de cesión de datos entre municipios para proyectos de IA

Por qué un convenio de cesión de datos es imprescindible para proyectos de IA municipales

Cada vez más ayuntamientos buscan desarrollar servicios de IA en colaboración (modelos compartidos, análisis conjuntos, aprendizaje federado). Pero intercambiar datos entre entidades públicas sin reglas claras genera riesgos legales, técnicos y operativos: incumplimientos RGPD, fallos de seguridad según el ENS (RD 311/2022), pérdida de trazabilidad o disputas sobre usos y responsabilidades.

Un convenio de cesión bien diseñado protege a las partes, acelera proyectos y facilita auditorías. Aquí tiene una guía práctica con los elementos mínimos que debe contener y un proceso operativo para aprobarlo y ponerlo en marcha.

Elementos obligatorios y recomendados del convenio

1. Sujetos y roles claros

• Identificar a las entidades firmantes y determinar rol: responsable del tratamiento, encargado o codeterminantes (joint controllers). Esta designación condiciona obligaciones y responsabilidades bajo el RGPD.
• Incluir datos de contacto del Delegado de Protección de Datos (DPD) y del responsable técnico.

2. Finalidad y base jurídica

• Especificar la finalidad concreta del intercambio (p. ej., entrenamiento de modelos para predicción de incidencias urbanas).
• Citar la base jurídica aplicable según RGPD (interés público, cumplimiento de una misión pública, etc.) y limitar el uso a esa finalidad. Evitar cláusulas abiertas que permitan usos futuros sin consentimiento legal adicional.

3. Minimización, pseudonimización y anonimización

• Requerir que se apliquen técnicas de minimización: sólo los atributos estrictamente necesarios.
• Priorizar la pseudonimización; cuando sea posible, entregar datos anonimizados.
• Definir los umbrales y técnicas aceptables (hashing, tokenización, agregación), y establecer validación técnica antes de la entrega.

4. Medidas de seguridad y cumplimiento ENS

• Referenciar explícitamente el cumplimiento del ENS (RD 311/2022) y exigir medidas proporcionales: control de acceso, cifrado en tránsito y reposo, gestión de claves, registro de auditoría y planes de continuidad.
• Incluir requisitos mínimos de alojamiento (on-premise o nube certificada) y condiciones para proveedores subcontratados.

5. DPIA y evaluación de riesgos

• Obligación de realizar y compartir una Evaluación de Impacto en la Protección de Datos (DPIA) antes del intercambio, con medidas de mitigación explícitas.
• Establecer quién lidera la DPIA y el procedimiento para incorporar recomendaciones.

6. Derechos de la ciudadanía y respuesta a solicitudes

• Definir procedimientos operativos para gestionar peticiones de acceso, rectificación y supresión derivadas de datos compartidos.
• Determinar responsabilidades para estas gestiones según los roles asignados.

7. Trazabilidad, auditoría y transparencia

• Exigir registros de operaciones de tratamiento y disponibilidad de logs para auditoría (periodicidad y formato).
• Incluir obligación de generar documentación para cumplimiento con el Registro de Sistemas de IA (cuando aplique por el EU AI Act).

8. Gobernanza del modelo y uso del resultado

• Aclarar qué puede hacerse con los modelos resultantes (p. ej., uso compartido, comercialización, apertura) y condiciones sobre reentrenamiento con nuevos datos.
• Requerir model cards y data sheets que documenten sesgos, límites y métricas de rendimiento.

9. Retención, eliminación y reversibilidad

• Definir plazos de retención y procedimientos técnicos para la eliminación segura o devolución de datos al final del proyecto.
• Incluir cláusula de portabilidad y plan de salida (exportación de modelos, datos de auditoría).

10. Incidentes, responsabilidades e indemnizaciones

• Obligación de notificar incidentes a las otras partes y al DPD dentro de plazos concretos.
• Establecer responsabilidades por incumplimientos, criterios de indemnización y jurisdicción aplicable.

Proceso operativo en 8 pasos (práctico)

1. Inventario inicial: tabla de atributos, sensibilidad, orígenes y volumen.
2. Decisión de rol: nombrar responsable(es) y encargado(s).
3. DPIA conjunta: liderada por la entidad que actúe como responsable principal.
4. Definición técnica: formato de archivos, métodos de pseudonimización, canal seguro de entrega.
5. Redacción del convenio con cláusulas mínimas (ver arriba).
6. Prueba piloto limitada: datasets anonimizados y resultado en entorno controlado.
7. Auditoría y aceptación: revisión del piloto, pruebas de seguridad y aprobación del comité técnico.
8. Operación y monitorización: registros continuos, revisiones trimestrales y plan de caducidad.

Ejemplos cortos de cláusulas (lenguaje sugerido)

• "Las partes actúan como codeterminantes respecto de los datos cedidos para la finalidad descrita y asumirán las obligaciones establecidas en el RGPD."
• "Los datos objeto de cesión se entregarán pseudonimizados y cifrados; la clave será gestionada exclusivamente por la entidad X."
• "Previo a cualquier cesión se completará y aprobará la DPIA; los hallazgos y medidas mitigadoras formarán parte integrante del presente convenio."
• "En caso de incidente de seguridad que afecte a los datos cedidos, la parte afectada notificará a las otras partes y al DPD en un plazo máximo de 72 horas."

Toma de acción recomendada (24/90/180 días)

• 24 días: convocar reunión técnica entre municipios interesados y elaborar inventario de datos.
• 90 días: tener firmado un convenio mínima viable + DPIA aprobada y piloto en entorno controlado.
• 180 días: despliegue operativo con monitorización, auditoría y plan de salida definido.

Un acuerdo bien diseñado agiliza la innovación y reduce riesgos legales y técnicos. Si su equipo necesita plantillas o apoyo en la DPIA y requisitos ENS, soluciones como OptimGov Ready pueden integrarse en su proceso de diagnóstico y roadmap sin sustituir sus responsabilidades legales. Acción clave: redacte hoy un convenio mínimo viable que incluya DPIA, medidas ENS y cláusulas de reversibilidad.