Trazabilidad y buenas prácticas de datos de entrenamiento para IA en la administración local

Por qué la trazabilidad de datos de entrenamiento importa para las entidades públicas

Los proyectos de IA en ayuntamientos y otras entidades públicas dependen de conjuntos de datos para entrenar, validar y testar modelos. Sin controles claros sobre qué datos se usan, cómo se obtienen y quién los modifica, se multiplican los riesgos: infracciones del RGPD, incumplimiento del ENS (RD 311/2022), sesgos no detectados, problemas de reproducibilidad y dificultades para cumplir las obligaciones de transparencia del EU AI Act.

La trazabilidad no es solo un requisito normativo: es una práctica operativa que facilita auditorías, reproducibilidad, corrección de errores y una gobernanza de IA responsable. A continuación se ofrece un enfoque práctico, orientado a equipos técnicos y responsables jurídicos/operativos.

Principios clave a aplicar

Legalidad y minimización (RGPD): identificar la base jurídica (interés público, cumplimiento de misión) y limitar los datos al mínimo necesario.
Seguridad y protección (ENS RD 311/2022): aplicar controles técnicos y organizativos adecuados según clasificación de activos y servicios.
Transparencia y documentación (EU AI Act / obligaciones de transparencia): mantener registros que permitan explicar qué datos alimentaron un modelo y con qué intención.
Reproducibilidad y control de calidad: versiones de datasets, metadatos y pruebas que permitan reentrenar o revertir cambios.

Pasos prácticos para diseñar flujos trazables de datos de entrenamiento

1. Hacer un inventario y clasificar los datos

Inventario centralizado (hoja o catálogo): origen, titularidad, responsable, finalidad, categoría de nivel de sensibilidad (personales, sensibles, agregados).
Identificar datos personales: si existen, documentar la base jurídica y límite temporal de conservación.

2. Definir el marco jurídico operativo

Establecer la base legal (art. RGPD) — p. ej. cumplimiento de misión pública o interés público — y documentarla en un registro interno.
Realizar una Evaluación de Impacto relativa a la Protección de Datos (DPIA) cuando el tratamiento sea de alto riesgo.
Asegurar contratos y acuerdos de tratamiento con proveedores (encargados) que incluyan cláusulas de seguridad y subcontratación.

3. Minimización y pseudonimización desde el diseño

Aplicar principios de minimización: variables innecesarias se eliminan antes del almacenamiento.
Pseudonimizar datos personales cuando sea posible; mantener mapeos de re-identificación solo bajo control estricto.
Registrar transformaciones y algoritmos de anonimización para justificar decisiones ante auditorías.

4. Protocolos de anotación y calidad

Definir guías de anotación y crear un manual para anotadores (instrucciones, ejemplos, criterios de resolución de ambigüedades).
Mantener un dataset de control (gold standard) y métricas de consistencia anotador-anotador (inter-annotator agreement).
Versionar anotaciones y conservar históricos (quién anotó qué y cuándo).

5. Separación de entornos y datos de prueba

Mantener entornos aislados: desarrollo, validación, preproducción y producción.
No utilizar datos reales de ciudadanos en entornos de entrenamiento sin las medidas de protección adecuadas; considerar datasets sintéticos para pruebas de integración.
Registrar muestras usadas en pruebas y resultados de validación.

6. Trazabilidad, metadata y versionado

Para cada dataset, mantener un "dataset README" con: objetivo, fecha de creación, esquema, fuente, transformaciones aplicadas, versión y responsables.
Implementar control de versiones (git-lfs, DVC u otros) para datos y anotaciones.
Mantener un log de linaje (data lineage) que relacione versiones de datasets con versiones de modelos entrenados.

7. Gestión de proveedores y cadenas de suministro de datos

Incluir cláusulas en contratos que obliguen a proveedores a proporcionar metadatos y garantías de calidad y legalidad.
Auditar periódicamente proveedores de datos y anotación, y solicitar evidencia documental (procedimientos, formación de anotadores, controles de calidad).

8. Auditoría continua y métricas de sesgo

Implementar pruebas periódicas para detectar sesgos y degradación de rendimiento por cambios en los datos.
Mantener métricas y reportes accesibles para auditorías internas y para cumplir obligaciones de transparencia si aplica el EU AI Act.

Ejemplo breve de artefactos mínimos a crear

Catálogo de datasets (spreadsheet/portal) con campos obligatorios.
Dataset README / ficha de metadatos por conjunto.
Manual de anotación y registro de calidad (IAA).
Sistema de versionado (DVC o similar) y registro de linaje.
Plantilla de DPIA adaptada a IA y cláusula contractual tipo para encargados.

Implementación pragmática en 90 días

Semana 1–4: inventario y clasificación de los datasets en uso.
Semana 5–8: definir bases legales y completar DPIAs para casos prioritarios.
Semana 9–12: establecer versionado mínimo y dataset README para los proyectos en producción; definir responsabilidades (data steward).

Herramientas y despliegue pueden variar; plataformas como OptimGov ya integran algunos controles de trazabilidad y pueden acelerar la adopción, pero el punto crítico es la disciplina organizativa y la documentación.

Takeaway / Acción inmediata

Implementa hoy un inventario básico y una ficha de metadatos para tu primer dataset de IA. Asigna un responsable (data steward), documenta la base jurídica y registra la primera versión del dataset con su README. Esa pequeña acción reduce riesgos legales, facilita auditorías y es la base sobre la que construir una trazabilidad completa.

Bibliografía normativa rápida: RGPD (principios y DPIA), ENS (RD 311/2022) y obligaciones de documentación del EU AI Act para sistemas de alto riesgo.