EU AI Act: implicaciones prácticas para ayuntamientos y entidades públicas

Por qué el EU AI Act importa para municipios

El Reglamento de la Unión Europea sobre la Inteligencia Artificial (EU AI Act) introduce obligaciones que afectan tanto a proveedores como a usuarios públicos de sistemas de IA. No es una guía teórica: muchas aplicaciones municipales (gestión de prestaciones sociales, selección automatizada de expedientes, sistemas de CCTV con análisis) entran en categorías que implican requisitos concretos de seguridad, transparencia y documentación. Este post resume las implicaciones prácticas y propone pasos concretos que una entidad local puede ejecutar de inmediato.

¿Qué tipos de obligaciones aparecen y cuándo aplican?

El EU AI Act organiza las obligaciones por niveles de riesgo:

• Sistemas prohibidos (p. ej. manipulación subliminal) — no aplicables en la práctica municipal habitual.
• Sistemas de alto riesgo — obligaciones estrictas: gestión de riesgos, gobernanza de datos, documentación técnica, registro de incidentes, supervisión humana, pruebas de robustez y exactitud, y evaluación de conformidad.
• Sistemas con obligaciones específicas (transparencia) — p. ej. chatbots que interactúan con ciudadanos deben informar que no son humanos.
• Riesgo bajo o mínimo — requisitos limitados.

Para la administración pública, el foco principal suele estar en los sistemas de alto riesgo y en las obligaciones de transparencia cuando hay interacción ciudadana.

Casos municipales típicos y su clasificación rápida

• Sistemas de puntuación para ayudas sociales o selección de beneficiarios: muy probablemente alto riesgo.
• Decisiones automatizadas que afectan derechos o prestaciones: alto riesgo y sujetas además al RGPD (evaluaciones de impacto).
• CCTV con reconocimiento facial: a menudo prohibido o sometido a restricciones muy severas en la UE; verificar normativa local.
• Chatbots de información general: obligación de transparencia (aviso de que se trata de un sistema automatizado).
• Análisis predictivo para planificación urbana (sin decisiones individuales): puede ser bajo riesgo, pero revisar uso de datos personales.

Pasos prácticos para cumplir (lista operativa)

1. Hacer un inventario de IA (1–2 semanas)

   • Lista todas las herramientas que incorporan IA, indicando proveedor, finalidad, datos usados y si toma decisiones automatizadas.
   • Asignar responsable interno por herramienta.

2. Clasificación de riesgo y priorización (1 semana)

   • Usar una plantilla simple: impacto sobre derechos, nivel de automación, sensibilidad de datos.
   • Priorizar alto riesgo para medidas inmediatas.

3. Evaluación preliminar y coordinación legal/TI (2–4 semanas)

   • Para sistemas con datos personales, vincular la evaluación con el RGPD (DPIA).
   • Involucrar al delegado de protección de datos y al responsable de seguridad ENS (RD 311/2022).

4. Implementar un sistema de gestión de riesgos específico para IA

   • Definir controles de gobernanza de datos (origen, calidad, representatividad).
   • Establecer requisitos de trazabilidad y registros de versiones de modelos.
   • Definir pruebas periódicas de sesgo, precisión y robustez.

5. Documentación técnica y expediente de conformidad

   • Mantener una "ficha técnica" por sistema: propósito, métricas de rendimiento, límites de uso, resultados de pruebas y medidas de mitigación.
   • Preparar protocolos de incidentes (pérdida de integridad, resultados erróneos) y sistema de notificación interna.

6. Contratación y cláusulas en pliegos (Ley 9/2017)

   • Incluir requisitos contractuales sobre responsabilidad, acceso a código o explicaciones técnicas, derechos de auditoría y obligación de entregar documentación necesaria para la evaluación de conformidad.
   • Establecer criterios de aceptación basados en pruebas de conformidad y pruebas de integración.

7. Transparencia frente al ciudadano

   • Informes claros cuando el sistema interactúe con la ciudadanía: finalidad, posibilidad de reclamar revisión humana y cómo presentar reclamaciones.
   • Publicar un registro público de sistemas de IA de la entidad (resumen funcional y responsable).

8. Prepararse para evaluaciones de conformidad

   • Dependiendo del tipo de alto riesgo, la evaluación puede requerir revisión por terceros. Planificar tiempos y presupuesto.
   • Mantener pruebas replicables y datasets de test (o descripciones reproducibles).

Interoperabilidad con ENS y RGPD

• ENS (RD 311/2022): aplicar medidas de seguridad técnica y organizativa exigidas por ENS en cualquier despliegue de IA (control de acceso, cifrado, gestión de incidentes).
• RGPD: cuando se procesen datos personales, realizar DPIA y garantizar derechos (acceso, rectificación, oposición). El cumplimiento del EU AI Act complementa pero no sustituye obligaciones RGPD.

Ejemplo práctico (breve)

Un ayuntamiento quiere implantar un sistema de priorización automática para otorgar subvenciones a pequeñas empresas:

• Paso 1: inventariar y clasificar — alto riesgo (impacto económico y derechos).
• Paso 2: DPIA conjunta RGPD + AI Act.
• Paso 3: requisitos en pliego: datos de entrenamiento, métricas de equidad, logs de decisiones, derecho a revisión humana.
• Paso 4: pruebas en paralelo con decisiones humanas antes del despliegue completo.

OptimGov incorpora plantillas de documentación técnica y cláusulas contractuales que pueden acelerar estos pasos en procesos reales.

Recomendación final: título accionable

Acción inmediata (en 30 días): crear el inventario de IA y clasificar los cinco sistemas con mayor impacto. Nombrar un responsable por sistema y planificar una DPIA para los que sean alto riesgo.

Takeaway: No espere a que las obligaciones le alcancen. Identifique, clasifique y ponga controles básicos (inventario, DPIA, cláusulas contractuales y transparencia) para convertir el cumplimiento del EU AI Act en parte del ciclo operativo de su entidad.