Combinar low-code/no-code con IA en la administración pública: guía práctica y controles

La adopción de plataformas low-code/no-code permite a equipos municipales entregar servicios digitales con mayor rapidez. Cuando se combinan con componentes de IA (clasificación automática de formularios, priorización de incidencias, OCR inteligente), la velocidad aumenta, pero también lo hace el riesgo: fugas de datos, falta de trazabilidad, incumplimiento del ENS, obligaciones del RGPD y requisitos del EU AI Act. Esta guía práctica explica pasos concretos, controles técnicos y una plantilla de proyecto para lanzar pilotos seguros y escalables.

¿Qué entendemos por low-code/no-code + IA en la administración?

• Plataformas que permiten construir flujos, formularios y automatizaciones con poca o ninguna programación.
• Componentes de IA embebidos o conectables: modelos de lenguaje, OCR, clasificación de documentos, modelos de scoring.
• Casos típicos: tramitación automatizada de solicitudes, priorización de incidencias, extracción de datos de justificantes.

Riesgos principales a cubrir desde el inicio

• Cumplimiento: asegúrate de evaluar obligaciones del ENS (RD 311/2022), del RGPD (bases jurídicas, DPIA) y del EU AI Act según la categoría de riesgo del sistema.
• Seguridad: conectores inseguros, almacenamiento en proveedores no certificados, claves expuestas.
• Privacidad: inclusión innecesaria de datos personales en modelos, o envío a servicios externos sin base legal.
• Gobernanza y trazabilidad: falta de versionado del modelo, logs insuficientes para auditoría.
• Operacional: dependencia de proveedores (vendor lock-in) y dificultades para portar modelos o datos.

Controles y buenas prácticas imprescindibles

• Mapa de datos antes de construir: identifica qué datos entran, dónde se guardan y la base legal (art. 6 y 9 RGPD).
• Principio de mínimo privilegio: roles claros para edición de flujos, despliegue y acceso a datos.
• Asegurar proveedores: exigir cumplimiento ENS cuando proceda, cifrado en tránsito y reposo, y cláusulas de portabilidad y retirada en el contrato.
• Registro y trazabilidad: activar auditoría de cambios, versionado de modelos y dataset lineage.
• Evaluación de riesgos AI Act: clasificar el sistema y aplicar las obligaciones correspondientes (documentación técnica, gestión de riesgos, transparencia).
• Supervisión humana: establecer puntos de control humano para decisiones sensibles y métricas de rendimiento operacional.
• Pruebas y testbeds: usar datos sintéticos y conjuntos de prueba etiquetados antes de producción.

Plantilla paso a paso para un piloto (60–90 días)

1. Definir el alcance y métricas (día 0–7)
   • Caso: p.ej., automatizar la triage de expedientes de subvenciones.
   • Métricas: tasa de clasificación correcta, reducción de tiempo por expediente, tasa de revisiones humanas.
2. Mapeo legal y DPIA ligero (día 7–14)
   • Identifica si hay datos sensibles (art. 9 RGPD) y si procede realizar DPIA; documenta la base jurídica.
3. Selección de plataforma y contrato (día 14–21)
   • Requisitos: cifrado, certificaciones, posibilidad de despliegue en cloud soberano o on-prem, exportación de modelos/datos.
   • Incluir SLAs, derechos de auditoría y cláusulas de salida/portabilidad.
4. Prototipo con datos no personales o sintéticos (día 21–35)
   • Entrenar y validar sin datos reales cuando sea posible; registra métricas y límites del modelo.
5. Evaluación de riesgo AI Act y controles técnicos (día 35–45)
   • Completa checklist de obligaciones (documentación técnica, pruebas de robustez, medidas de mitigación de sesgos).
6. Despliegue limitado con supervisión humana (día 45–75)
   • Rollout a un canal/servicio reducido, logs activados, mecanismo de reversión listo.
7. Medición, lecciones y decisión de escalado (día 75–90)
   • Revisa métricas, incidentes, aceptación por parte del personal y cumplimiento; documenta un plan para producción o cierre.

Controles técnicos concretos (implementar desde el primer sprint)

• Versionado de artefactos: cada modelo y flujo con ID, autor, changelog y dataset asociado.
• Autenticación y autorización: integración con directorio municipal (LDAP/AD) y MFA para roles críticos.
• Registro de trazas: logs inmutables de entrada/salida de cada decisión automatizada para auditoría.
• Enmascaramiento y pseudonimización: en entornos de desarrollo y pruebas siempre.
• Monitorización de deriva y alertas: métricas de entrada/salida y umbrales para degradación del servicio.
• Backup y plan de recuperación: copia periódica de configuraciones y datos de entrenamiento.

Métricas prácticas para evaluar éxito y riesgo

• Rendimiento: precisión, recall, tasa de falsos positivos/negativos en tareas de clasificación.
• Operacional: tiempo medio de procesamiento por expediente, reducción de backlogs.
• Cumplimiento: número de incidencias de acceso indebido, porcentaje de decisiones con registro completo.
• Adoptabilidad: ratio de revisión humana versus automatizada y satisfacción del personal.

Conclusión y acción recomendada

No se trata de elegir entre agilidad y cumplimiento: con una plantilla de proyecto clara y controles técnicos mínimos puedes ejecutar pilotos low-risk que generen valor real. Acción recomendada: lanza un piloto de 60–90 días siguiendo la plantilla anterior, con un responsable de cumplimiento (ENS/RGPD) y un responsable técnico. Antes de escalar, documenta la DPIA, los registros de auditoría y las cláusulas contractuales de portabilidad. Si buscas un diagnóstico inicial, una auditoría rápida (OptimGov Ready u otra herramienta similar) puede ayudar a priorizar controles conforme al ENS y al EU AI Act.