Licencias e propiedad intelectual al usar modelos de IA de código abierto en la administración pública

Por qué importa la licencia antes de desplegar un modelo de IA

Los modelos de IA de código abierto atraen por costes, control y rapidez de despliegue. Pero la licencia que acompaña al modelo (y a los datos de entrenamiento) define derechos y obligaciones que pueden afectar directamente a la administración: uso comercial, obligación de publicar código o pesos, responsabilidades por contenido derivado e incluso la necesidad de incluir cláusulas en contratos públicos (Ley 9/2017). Ignorar estas condiciones crea riesgos legales, operativos y de continuidad.

A continuación explicamos los elementos clave que todo equipo municipal debe revisar y traducimos las conclusiones a pasos operativos concretos.

Puntos legales y técnicos clave a evaluar

• Licencia del modelo (software/weights)

  • Permisivas (Apache 2.0, MIT): permiten uso comercial y adaptación; Apache añade una concesión de patentes y obliga a conservar avisos de copyright.
  • Copyleft fuerte (GPL, AGPL): exigen publicar código fuente al distribuir; AGPL extiende esa obligación al uso vía red (SaaS). Si vas a ofrecer servicio público sobre el modelo, AGPL puede obligar a liberar código o derivaciones.
  • Licencias de modelos o datos con cláusulas de uso (por ejemplo, prohibiciones comerciales o requisitos de atribución) pueden restringir su empleo por una entidad pública.

• Licencias de datasets

  • Datos bajo CC0/CC-BY suelen ser utilizables, pero CC-BY-NC o cláusulas que limitan explotación comercial pueden impedir usos administrativos o generar incompatibilidades con otras licencias.
  • Verificar la procedencia y derechos sobre textos, imágenes o bases de datos incluidas en el entrenamiento: la falta de clean-room en los datos incrementa riesgo de reclamaciones por copyright.

• Derivados y fine-tuning

  • El acto de afinar (fine-tune) un modelo puede crear un “derivado” sujeto a la misma licencia. Con copyleft fuerte esto puede obligar a compartir los pesos o el código generado.

• Contratos y garantías del proveedor

  • Muchos modelos de código abierto se distribuyen “tal cual” sin garantías. Para uso público exige garantías contractuales sobre la procedencia de datos de entrenamiento, ausencia de infracciones y mecanismos de indemnización.

• Protección de datos y RGPD

  • Si el modelo fue entrenado con datos personales o si procesa datos personales en producción, aplica RGPD: bases legales, impacto (DPIA), conservación y derechos de los interesados.

• Requisitos regulatorios y de seguridad

  • ENS aplica al despliegue de soluciones en entidades públicas. Además, el AI Act impone obligaciones de documentación y gestión de riesgos para sistemas de mayor riesgo.

Checklist operativo para equipos municipales

1. Inventario previo

   • Identifica el modelo, versión, URL de la licencia, y la licencia del dataset. Regístralo en el catálogo de servicios digitales.

2. Revisión legal inicial

   • Comprueba si la licencia es permisiva o copyleft. Marca modelos con AGPL/GPL como “requieren análisis legal y técnico” antes de uso.

3. Due diligence del proveedor

   • Solicita por escrito la procedencia de los datos de entrenamiento, lista de fuentes y certificación de derechos/licencias. Exige cláusulas de indemnidad por reclamaciones de terceros.

4. DPIA y clasificación de riesgo

   • Si hay datos personales o impacto sobre derechos de la ciudadanía, realiza una Evaluación de Impacto en la Protección de Datos (DPIA) y registra el sistema según AI Act si aplica.

5. Contrato y cláusulas imprescindibles

   • Derechos de uso explícitos para la administración.
   • Entrega de documentación técnica y model cards.
   • Entrega de pesos y artefactos en escrow o con derecho de exportación al finalizar contrato.
   • Cláusulas de confidencialidad, seguridad (ENS) y continuidad operativa.
   • Garantías sobre origen de datos y responsabilidad por infracciones IP.

6. Prueba en entorno controlado

   • Antes de producción, prueba el modelo en entorno cerrado para detectar contenido problemático y validar cumplimiento.

7. Plan de salida

   • Define cómo sustituir el modelo si surge una reclamación o si la licencia cambia. Asegura portabilidad de datos y artefactos.

Cláusulas contractuales prácticas (alto nivel)

• Garantía de origen de datos: el proveedor declara y garantiza que los datos utilizados para entrenar el modelo no infringen derechos de terceros y que dispone de las licencias necesarias.
• Entrega de artefactos: el proveedor entregará pesos, código y documentación técnica (model card, fichas de riesgos) en formato interoperable y en un repositorio de acceso municipal.
• Derecho de auditoría: la administración podrá auditar la cadena de custodia de datos y el proceso de entrenamiento bajo acuerdo confidencial.
• Indemnidad por reclamaciones IP: el proveedor asume responsabilidad y costes frente a reclamaciones de terceros relacionadas con IP.

Nota: estas son orientaciones operativas. Toda cláusula debe revisarse por el departamento jurídico.

Decisiones prácticas: alojar vs usar vía API

• Usar API (MaaS):

  • Pros: menos responsabilidad técnica; actualizaciones gestionadas por proveedor.
  • Contras: menor soberanía, obligación de revisar términos de servicio y posible restricción por licencias no compatibles.

• Alojar localmente:

  • Pros: control, cumplimiento ENS más sencillo, posibilidad de auditar pesos y finetunes.
  • Contras: mayor carga operacional y necesidad de expertos en seguridad y ML.

La elección debe basarse en capacidad interna, requisitos de soberanía y el tipo de licencia.

Takeaway — Acción recomendada para los próximos 30 días

Completa la checklist: identifica todos los modelos/datasets en uso, clasifica sus licencias, y solicita al proveedor las garantías mínimas (procedencia de datos, entrega de artefactos y cláusulas de indemnidad). Si planeas ofertar servicios públicos sobre un modelo con licencia copyleft (AGPL/GPL), detén la puesta en producción hasta la revisión legal y técnica.

Para proyectos modulares y catálogo de servicios, integrar esta revisión de licencias en la plantilla de contratación (pliegos) evita sorpresas legales y facilita el cumplimiento de ENS, RGPD y las obligaciones del AI Act. OptimGov puede integrarse en el catálogo y ayudar a mantener el inventario y la trazabilidad de licencias como parte del ciclo de vida del servicio.