Políticas de retención y eliminación de modelos y datos de IA en la administración pública

Por qué importan las políticas de retención y eliminación para IA en el sector público

Las entidades públicas gestionan modelos y conjuntos de datos que pueden contener información personal, información sensible o artefactos necesarios para demostrar cumplimiento (auditorías, trazabilidad). Sin una política clara de retención y eliminación se multiplican los riesgos: incumplimientos del RGPD, brechas por exposición innecesaria, problemas de soberanía y dificultades para demostrar cumplimiento ante la AI Act y el ENS (RD 311/2022).

Una política práctica reduce superficie de riesgo, facilita la gobernanza del ciclo de vida del modelo y acorta tiempos para auditorías y solicitudes ciudadanas (ej. ejercicio de derechos ARCO/RGPD).

¿Qué activos hay que gestionar y por qué?

Datos de entrenamiento y conjuntos auxiliares: prueba de diligencia y reproducibilidad; pueden contener datos personales.
Modelos y versiones (weights, checkpoints): necesarios para trazabilidad y reproducibilidad, pero también pueden reproducir información personal.
Registros de inferencia y logs de decisión: exigidos por el EU AI Act para determinados sistemas de alto riesgo; útiles para auditoría y resolución de incidencias.
Artefactos de evaluación (metrics, test sets, informes de sesgo): necesarios para evidencias de gobernanza.
SBOM / model cards / data sheets: documentación de composición y origen de datos/modelos.
Copias de respaldo y depósitos de archivo.

Principios básicos para definir plazos

Limitación de la finalidad: retén sólo lo necesario para la finalidad autorizada y documentada.
Mínimo necesario: aplica periodos progresivos según tipo de activo (logs cortos, modelos y documentación más largos).
Responsabilidad y trazabilidad: cada activo debe tener un responsable (data steward/model owner) y un justificante documental de retención.
Compatibilidad legal: comprueba obligaciones sectoriales (ej.: plazos legales de conservación administrativa) y excepciones del RGPD (archivado histórico o investigación).
Proporcionalidad y riesgo: sistemas de mayor riesgo (alto riesgo según EU AI Act) requieren retención más extensa de logs y evaluaciones.

Ejemplo de calendario orientativo (para adaptar localmente)

Nota: son ejemplos orientativos. Cada entidad debe justificar sus plazos según finalidad, riesgo y requisitos legales.

Logs de interacción de chatbots públicos (p. ej. conversaciones ciudadanas): 30–90 días para usos operativos y mejora; conservar registros anonimizados o agregados para análisis a largo plazo.
Registros de decisiones de sistemas asistidos (no determinantes): 6–12 meses; si el sistema es alto riesgo, persistir logs técnicos por al menos 2 años para auditoría.
Conjuntos de entrenamiento con datos personales: retención solo mientras sea necesaria para reproducibilidad o mejora y si no existe obligación de conservación; cuando ya no sean necesarios, proceder a eliminación segura o anonimización irreversible.
Checkpoints/model snapshots: conservar versiones de producción durante el periodo de soporte más un año; archivar versiones antiguas con acceso restringido si son necesarias para cumplimiento.
Informes de evaluación, model cards y documentación de gobernanza: conservar mientras el sistema esté en operación + periodo adicional de 2–5 años para evidencias ante auditorías.

Pasos operativos para implementar políticas efectivas

1. Inventario y clasificación

Inventaria modelos, datasets, logs y documentación.
Clasifica por sensibilidad, riesgo (según EU AI Act) y vínculo con datos personales.

2. Definir retenciones por categoría

Documenta el objetivo, el plazo y la base legal para cada categoría (p. ej. mejora de servicio, obligación administrativa).
Incluye excepciones y responsables autorizados a prorrogas.

3. Controles técnicos

Versionado y etiquetado: identifica producción, pruebas y archivos.
Almacenamiento con control de accesos y cifrado.
Política de backups alineada: define tiempos de retención en copias y procedimientos de eliminación en backups.

4. Eliminación segura y verificación

Procedimientos para destrucción lógica (sobrescritura) y física cuando aplique.
Logs de eliminación que permitan demostrar el borrado para auditoría.
Si no es legalmente posible eliminar (e.g., obligaciones administrativas), aplicar técnicas de minimización y acceso restringido.

5. Integración con RGPD y ENS

Asegura que los plazos y procesos permiten responder a solicitudes de derechos (rectificación, supresión) en tiempos legales.
Incorpora medidas técnicas y organizativas del ENS (RD 311/2022): control de accesos, registro de actividades y protección de la información.

6. Decomissioning (desmantelamiento) de modelos

Checklist para retirada: notificación a usuarios, congelado de uso, retención final de artefactos justificativos, eliminación de datos residuales y actualización de registros públicos (si procede).
Guarda evidencias de desmantelamiento en el registro de IA de la entidad.

Gobernanza y responsabilidades

Nombrar un responsable por activo (data steward, model owner).
Incluir reglas de retención en contratos con proveedores (cláusulas de portabilidad y eliminación).
Revisiones periódicas (al menos anual) del catálogo y de los plazos por cambios legales o de riesgo.

Acciones prácticas inmediatas (checklist rápido)

Realizar un inventario mínimo de modelos, datasets y logs en 30 días.
Clasificar por riesgo y decidir plazos justificados por escrito.
Actualizar contratos con cláusulas de eliminación y portabilidad.
Publicar la política interna de retención y un proceso de desmantelamiento.

Takeaway / Acción recomendada

Define y documenta hoy una política de retención y eliminación para tus modelos y datos: inventario, clasificación por riesgo, plazos justificables, controles técnicos de eliminación y registro de evidencias. Empieza con un piloto sobre un servicio concreto (ej. chatbot municipal) y amplía la práctica al resto de sistemas. En plataformas modulares como OptimGov, integrar estas políticas desde el diseño del ciclo de vida facilita cumplimiento con RGPD, ENS y las exigencias de trazabilidad del EU AI Act.