Servicio de IA compartido entre municipios: modelo operativo y gobernanza

La colaboración entre municipios para ofrecer servicios de IA comunes es una respuesta práctica a la escasez de recursos técnicos y legales en administraciones pequeñas y medianas. Sin embargo, compartir un servicio de IA no es solo una cuestión técnica: exige un diseño claro de gobernanza, contratación, seguridad y responsabilidades. Esta entrada ofrece un modelo operativo accionable y una checklist práctica para poner en marcha un servicio compartido, con referencias normativas clave (ENS RD 311/2022, Ley 9/2017, Ley 38/2003, RGPD, EU AI Act).

¿Por qué un servicio compartido?

• Reduce costes unitarios y evita duplicidades en desarrollo.
• Permite montar equipos especializados (devops, compliance, seguridad).
• Facilita una única versión auditada y mantenida del modelo/servicio. Pero requiere acuerdos explícitos sobre datos, responsabilidades legales, costes y salida.

Modelo operativo: roles y responsabilidades

• Socio anfitrión (operador técnico): aloja y opera el servicio (infraestructura, despliegues, backups, parches).
• Comité intermunicipal de gobernanza: toma decisiones sobre roadmap, criterios de acceso, priorización funcional.
• Responsable de tratamiento conjunto (según RGPD) o entidades responsables diferenciadas: definir quién es responsable del tratamiento y en qué alcance.
• Equipo de cumplimiento y seguridad (ENS): gestiona auditorías, controles y reportes de incidentes.
• Soporte y formación: atención a usuarios municipales y gestión del cambio.

Acción: formaliza estos roles en un convenio marco con firmas y actas que documenten funciones y límites de responsabilidad.

Contratación y marcos jurídicos

• Elige el instrumento legal adecuado: convenio de colaboración, consorcio, encomienda de gestión o prestación de servicios vía contrato público conforme a Ley 9/2017.
• Si hay financiación externa o subvenciones, revisa condicionantes de Ley 38/2003.
• Incluye cláusulas específicas:
  • Propiedad y titularidad de modelos y artefactos.
  • Derechos de auditoría y acceso a registros (logs, trazabilidad de decisiones).
  • SLA, KPIs y métricas de calidad.
  • Planes de salida y portabilidad de datos y modelos.
• Alinea pliegos y contratos con requisitos del EU AI Act para sistemas de alto riesgo (si aplican) y con controles ENS RD 311/2022.

Acción: prepara un anexo contractual tipo con cláusulas de interoperabilidad, portabilidad y auditoría.

Protección de datos y modelos de datos compartidos

• Define categoría de datos que se pueden subir al servicio (datos personales, especiales, anonimizados).
• Establece bases jurídicas para tratamientos (art. 6 RGPD) y mecanismos para ejercicio de derechos.
• Implementa minimización y gobernanza de acceso: roles y autorizaciones por municipio.
• Valor legal de la anonimización: documenta procesos y pruebas (para demostrar que los datos no son personales).
• Considera modelos colaborativos que eviten mover datos sensibles (federación, consultas por API, procesamiento en el perímetro del dato).

Acción: crea un registro conjunto de actividades de tratamiento y un protocolo de respuesta a solicitudes RGPD.

Seguridad y ENS (RD 311/2022)

• El proveedor/operador debe cumplir ENS si presta servicios a órganos públicos: clasifica la información y define medidas técnicas y organizativas.
• Requisitos mínimos: control de accesos, cifrado en tránsito y reposo, gestión de identidades, monitorización de incidentes.
• Incluye pruebas periódicas (pentesting) y un procedimiento de notificación de incidentes a las autoridades competentes y a las entidades afectadas.

Acción: incorpora un Plan de Seguridad y un informe anual de conformidad ENS como entregable del proveedor/operador.

Arquitectura técnica y soberanía

• Preferir arquitectura modular: front-end municipal, capa de orquestación y capa de modelos gestionada centralmente.
• Hosting y soberanía: decide si se hospeda en nube pública, privada o centro de datos municipal; documenta cumplimiento de requisitos de soberanía y continuidad.
• Versionado y catálogo de modelos (model cards): para cada modelo documenta datos de entrenamiento, límites de uso y métricas de rendimiento.
• Estrategia de despliegue: entornos de staging, pruebas, canary releases y rollback automático.

Acción: define un catálogo inicial de APIs y modelos con su model card y un repositorio de versiones.

Operación, SLAs y financiación

• SLAs claros: disponibilidad, tiempos de respuesta, tiempos de resolución de incidencias, ventanas de mantenimiento.
• Financiación y reparto de costes: cuota fija + coste por uso; define mecanismo de ajuste anual y gobernanza presupuestaria.
• KPI operativos: disponibilidad, latencia, tasa de falsos positivos/negativos (según servicio), satisfacción de usuario municipal.

Acción: acuerda un ciclo de revisión trimestral de KPIs y la fórmula de reparto de costes.

Gestión de riesgos y salida

• Plan de contingencia: servicios degradados, fallos, y plan de recuperación de datos.
• Estrategia de salida: exportabilidad de datos y modelos en formatos abiertos, transferencia a otra entidad u operatora.
• Seguro de responsabilidad civil y cláusulas de indemnización en contratos.

Acción: incluye un “exit kit” con exportadores de datos, instrucciones de reconstrucción de entorno e inventario.

Piloto y escalado

• Comienza con un piloto limitado (2–3 municipios, 6 meses): validar flujos de datos, SLAs y gobernanza.
• Documenta lecciones, ajusta contratos y luego escala por módulos funcionales.
• Usa pruebas de aceptación (UAT) con casos reales y escenarios de fallo.

Acción: diseña un piloto con objetivos SMART, casos de prueba y criterios de aceptación.

Conclusión — takeaway

Para que un servicio de IA compartido entre municipios funcione se necesita más que tecnología: un convenio jurídico robusto, reglas claras de gobernanza, cumplimiento ENS y RGPD, y una arquitectura que permita portabilidad y control. Empieza por formalizar roles, definir el alcance de datos y lanzar un piloto corto con 2–3 municipios. Si buscas un enfoque modular ya validado para gobernanza y operación, considera plataformas diseñadas para la administración pública (por ejemplo, OptimGov) y adapta los contratos y controles a tu contexto local.

Acción inmediata recomendada: convoca una reunión de 4 horas entre técnicos, juristas y responsables municipales para aprobar el esquema de roles y un plan piloto de 6 meses.