RGPD y IA en la administración pública: checklist práctico

Por qué importa el RGPD cuando la administración usa IA

Los proyectos de IA en ayuntamientos y entidades públicas suelen implicar tratamiento de datos personales: chatbots que gestionan consultas ciudadanas, sistemas predictivos para ayudas sociales, análisis de documentación administrativa, etc. El Reglamento General de Protección de Datos (RGPD) y normas complementarias (p. ej. la futura EU AI Act y el ENS) imponen obligaciones específicas sobre transparencia, bases jurídicas, derechos de los interesados y seguridad. Ignorarlas no solo supone un riesgo legal, sino también pérdida de confianza ciudadana.

A continuación encontrarás una guía práctica y comprobable para integrar el cumplimiento desde el diseño del proyecto.

Pasos prácticos antes de desplegar IA

1. Inventario y clasificación de datos

Identifica qué datos personales se usan (identificadores, categoría especial, datos sensibles) y su origen (sistemas internos, formularios, terceros).
Clasifica por finalidad: atención al ciudadano, decisión asistida, perfilado para asignación de recursos, etc.
Registro de actividades (Artículo 30 RGPD): documenta responsables, finalidades, plazos de conservación y transferencias.

2. Determina la base jurídica adecuada

Como norma general, las entidades públicas deberían apoyarse en el artículo 6(1)(e) RGPD (cumplimiento de una misión de interés público) o en una obligación legal (art. 6(1)(c)), no en el interés legítimo cuando actúan como autoridad pública.
Si se tratan categorías especiales de datos (salud, ideología, etc.), revisa el artículo 9 y suencaje en legislación sectorial que habilite el tratamiento o medidas alternativas.

3. Realiza un DPIA (Evaluación de Impacto sobre la Protección de Datos)

Es obligatoria cuando el tratamiento entraña alto riesgo (p. ej. perfilado sistemático, decisiones automatizadas que afectan derechos).
Contenido mínimo: descripción del tratamiento, evaluación de la necesidad y proporcionalidad, evaluación de riesgos para los derechos y libertades, medidas para mitigarlos.
Si persiste un alto riesgo, consulta a la autoridad de control (AEPD).

4. Asegura la transparencia y los derechos de los interesados

Información clara y accesible (art. 12-14): propósito, base jurídica, destinatarios, plazos de conservación, derechos y cómo ejercerlos.
Para decisiones automatizadas con efectos legales o significativos, ofrece mecanismos de intervención humana, explicación comprensible y posibilidad de recurso (art. 22).

5. Contratos y responsabilidad con proveedores

Firma Acuerdos de Encargado de Tratamiento conforme al artículo 28 RGPD, especificando subencargados, medidas técnicas y organizativas, auditorías y obligaciones tras una brecha.
Evalúa capacidad técnica y garantías del proveedor: certificaciones, pruebas de seguridad, ubicaciones de almacenamiento y transferencias internacionales.

6. Medidas técnicas y organizativas

Minimizacion de datos: recolecta solo lo necesario para la finalidad concreta.
Pseudonimización y cifrado: reduce riesgos y facilita el cumplimiento (art. 32).
Control de accesos, registro de operaciones y trazabilidad de decisiones (loggings) para auditoría y explicación.
Retención limitada: plazos claros y procedimientos para supresión o anonimización.

7. Transferencias internacionales

Evita transferencias fuera de la UE si no son necesarias. Si son inevitables, utiliza decisiones de adecuación, cláusulas contractuales tipo o medidas suplementarias aprobadas.

8. Interfaz con la EU AI Act y ENS

Si el sistema IA se clasifica como "alto riesgo" bajo la EU AI Act, incorpora requisitos adicionales: gestión de riesgos, documentación técnica, registro de operaciones y etiquetado de transparencia.
Integra controles del ENS (RD 311/2022) para garantizar la ciberseguridad de la solución en entornos públicos.

Ejemplos prácticos para casos habituales

Chatbot de información:
- Base jurídica: ejecución de tarea pública.
- Medida clave: aviso inicial sobre tratamiento, logs limitados y pseudonimización de consultas para análisis.
Sistema predictivo para baremar ayudas sociales:
- Alto riesgo: DPIA completa, explicación de criterios, revisión humana de decisiones automáticas y política de apelación.
OCR y proceso de expedientes:
- Minimizar extracción de datos personales sensibles; eliminar o anonimizar campos innecesarios antes de análisis masivo.

Checklist operativo (resumen para proyecto)

Inventario de datos y registro de actividades actualizado.
Base jurídica documentada para cada finalidad.
DPIA realizada y aprobada; consulta a la AEPD si procede.
Textos informativos y canales para ejercer derechos implementados.
Contrato con proveedor conforme al art. 28 RGPD.
Medidas técnicas (cifrado, pseudonimización, control de accesos) aplicadas.
Plan de retención y anonimización/supresión.
Evaluación de transferencias internacionales.
Revisión de requisitos EU AI Act y ENS aplicables.

Responsable del cumplimiento: roles internos

Responsable del tratamiento: define finalidades y decisiones políticas.
DPO (Delegado de Protección de Datos): supervisa DPIA, comunicación con AEPD y formación.
Equipo técnico: implementa medidas de seguridad y trazabilidad.
Jurídico/contratación: revisa cláusulas con proveedores. Asegura coordinación entre todas estas funciones desde la fase de diseño.

Conclusión y acción recomendada

Para las administraciones, la protección de datos no es un trámite adicional sino un elemento central del diseño de cualquier proyecto de IA. Acción inmediata recomendada: lanzar una auditoría rápida (2–4 semanas) que combine inventario de datos + evaluación preliminar de riesgo (screening DPIA) y revisión contractual de proveedores. Ese diagnóstico permitirá priorizar medidas concretas y demostrar cumplimiento ante la ciudadanía y la autoridad de control.

OptimGov incorpora funcionalidades de trazabilidad y gestión documental pensadas para facilitar varios de estos requisitos, pero el punto de partida siempre es el mismo: inventario, DPIA y contratos claros. Tomar estas tres medidas reduce el riesgo legal y mejora la confianza en los servicios digitales municipales.