Gobernanza de conjuntos de datos entre áreas municipales

Por qué importa gobernar los conjuntos de datos entre áreas municipales

Los proyectos de IA en un ayuntamiento rara vez quedan dentro de una sola área: datos de urbanismo, padrón, servicios sociales, movilidad y contratación confluyen en análisis comunes. Sin un marco de gobernanza de datos interdepartamental se pierden oportunidades (duplicidad, baja calidad) y se crean riesgos regulatorios (RGPD, ENS RD 311/2022) y operativos (fugas, usos no autorizados). Este artículo ofrece pasos prácticos para crear un catálogo y reglas de uso que permitan aprovechar datos municipales con seguridad y trazabilidad.

Objetivo concreto

Establecer en 90 días un catálogo operativo de conjuntos de datos municipales con roles, controles de acceso y documentación mínima que permita lanzar un piloto de IA compartida cumpliendo RGPD y requisitos de seguridad ENS.

Componentes mínimos de gobernanza de datos

1. Catálogo de conjuntos de datos (inventario operativo)

• Campos mínimos por dataset:
  • Identificador único y nombre.
  • Área responsable (propietario) y steward operativo.
  • Descripción y finalidad prevista.
  • Origen y frecuencia de actualización.
  • Clasificación de sensibilidad (p.ej. pública / interna / sensible / datos personales).
  • Base legal / tratamiento RGPD (interés público, consentimiento, etc.).
  • Retención prevista.
  • Calidad: última auditoría, % de completitud.
  • Enlaces a políticas, contratos y convenios de cesión.
• Herramienta: puede ser una hoja compartida al inicio; después migrar a catálogo (CKAN, Data Catalog) o funcionalidad en la plataforma SaaS municipal.

2. Roles y responsabilidades

• Propietario del dato (delegado del servicio): responsable legal y de negocio.
• Data steward: gestiona el día a día (calidad, metadata, peticiones).
• Oficial de Protección de Datos (DPO): valida bases legales, revisa DPIAs.
• Responsable de Seguridad (CISO/encargado ENS): define controles técnicos y clasificación conforme ENS RD 311/2022.
• Comité de Gobernanza de Datos: representantes de áreas clave que aprueban cesiones interdepartamentales y usos para IA.

3. Clasificación y controles técnicos (ENS + RGPD)

• Aplicar la clasificación de sensibilidad para determinar controles mínimos:
  • Pública/interna: acceso controlado por roles.
  • Sensible/DP: cifrado en reposo y tráfico, mínimos privilegios, registro de accesos.
• ENS RD 311/2022 exige medidas de seguridad proporcionadas al nivel de protección; documenta las decisiones de clasificación y evidéncialas.
• Para tratamientos que impliquen IA y datos personales, ejecutar una Evaluación de Impacto sobre la Protección de Datos (DPIA) antes del entrenamiento o puesta en producción.

4. Procedimiento de acceso y uso

• Solicitud formal en catálogo: razón del acceso, datos solicitados, duración, responsable técnico.
• Evaluación automatizada inicial (coincidencia con clasificación y base legal) y aprobación por steward/proprietario.
• Entrega segregada: vistas limitadas, extracción en entorno de desarrollo con datos sintetizados cuando sea posible.
• Logging obligatorio y revisión trimestral de accesos.

5. Calidad, versión y trazabilidad

• Versionado de datasets y registro de transformaciones (lineage). Cada modelo debe referenciar la versión exacta del dataset utilizado.
• Métricas de calidad: completitud, duplicidad, fecha de actualización. Definir umbrales mínimos para uso en modelos.
• Mantener data cards / dataset sheets con propósito, limitaciones y riesgos conocidos (útil para cumplimiento AI Act en sistemas de alto riesgo).

6. Contratos y convenios

• Para cesiones internas: un anexo o convenio donde quede claro:
  • Finalidad específica de uso.
  • Prohibición de reuso fuera del alcance.
  • Responsabilidades en caso de incidente.
  • Duración y obligación de eliminación o devolución.
• Cuando intervengan terceros (proveedores de IA), incorporar cláusulas de subcontratación y auditoría, asegurando cumplimiento ENS y RGPD.

Implementación práctica en 90 días: plan por hitos

1. Días 1–14: Inventario rápido — cada área lista sus 10 conjuntos de datos más usados. Priorizar 3 para el piloto.
2. Días 15–30: Definir metadata mínima y plantilla de solicitud de acceso. Nombrar stewards y propietario legal.
3. Días 31–60: Implementar controles técnicos básicos (cifrado, logging, acceso por roles) y una hoja de registro/mini-catalogo.
4. Días 61–75: Realizar DPIA si alguno de los datasets contiene datos personales para IA; preparar dataset sheet.
5. Días 76–90: Lanzar piloto (modelo pequeño) con datos versionados y revisar gobernanza post-mortem.

Herramientas auxiliares: hojas de cálculo compartidas para inventario inicial, soluciones de catálogo open source o módulos en plataformas SaaS (p. ej. una instancia de OptimGov que integre catálogo y controles).

Buenas prácticas y riesgos a evitar

• No usar datos personales en entornos de desarrollo sin anonimización o sin DPIA.
• Evitar contratos verbales: documentar cesiones y responsabilidades.
• No subestimar el versionado: reproducibilidad y auditoría dependen de ello.
• No centralizar todo sin representación: el comité debe incluir a las áreas proveedoras para evitar bloqueo operativo.

Takeaway — acción inmediata

Arranca con un inventario de 30 días: solicita a cada servicio que liste sus 5 datasets prioritarios con los campos de metadata propuestos. Con ese inventario puedes nombrar stewards, clasificar riesgos y seleccionar 1–3 datasets para un piloto en 90 días con acceso controlado, DPIA si procede y documentación completa de versiones. Esto reduce riesgos regulatorios y acelera proyectos de IA compartida sin crear cuellos de botella.