Firmas y registros fiables para documentos generados por IA en la administración

Por qué importa: validez jurídica y trazabilidad de lo generado por IA

Cuando una administración usa IA para redactar resoluciones, notificaciones o certificados, no basta con que el texto sea correcto: hay que garantizar su validez jurídica, su integridad y que pueda auditarse. Eso implica controles técnicos (firmas, sellado temporal, registros inmutables) y procesos organizativos (responsables, revisión humana, conservación). Además, hay obligaciones de seguridad (ENS RD 311/2022), protección de datos (RGPD) y, según el caso, requisitos del EU AI Act.

A continuación proponemos un enfoque práctico y aplicable a ayuntamientos y entidades públicas para que los documentos generados por IA sean verificables y resistentes a manipulación.

Principios básicos a aplicar

Integridad: poder demostrar que un documento no ha sido alterado desde su creación.
Autenticidad: atribuir quién (o qué proceso) generó o aprobó el documento.
Trazabilidad: conservar metadatos que expliquen el origen y la versión del modelo.
Proporcionalidad: aplicar controles según el riesgo legal y administrativo del documento.
Cumplimiento normativo: firmar y conservar conforme a ENS y criterios de protección de datos.

Controles técnicos recomendados

1. Huella criptográfica y sellado temporal

Calcular un hash (SHA-256 o superior) del documento final y almacenar ese hash en un repositorio seguro.
Aplicar un sello temporal (RFC 3161) que asocie el hash con una marca de tiempo externa para probar la fecha de generación.
Ventaja práctica: cualquier alteración posterior rompe la coincidencia de hash → manipulación detectable.

2. Firma electrónica adecuada al caso de uso

Documentos con valor jurídico pleno: promover el uso de firma electrónica cualificada (FEQ) o firma avanzada con certificado reconocido por la administración.
Documentos de apoyo o borradores: pueden usarse firmas avanzadas y registro interno, siempre informando al ciudadano.
Integración técnica: firmar el paquete documental (PDF/A, container ASiC) y conservar el certificado y la cadena de confianza.

3. Registro de metadatos de procedencia

Incluir en el contenedor firmado metadatos inmutables que describan:

Identificador del modelo (ID, versión).
Fecha y hora de inferencia.
Plantilla de prompt y parámetros relevantes (temperature, top-k).
Hash o identificador del conjunto de datos si procede.
Usuario o servicio que validó/aprobó el documento. Estos metadatos permiten auditorías internas y externas y encajan con plantillas de model cards.

4. Almacenamiento inmutable y copias verificables

Emplear almacenamiento WORM (write once, read many) o sistemas con capacidades de retención inmutable conforme ENS.
Crear copias verificables: conservar el hash en un sistema separado (registro interno o TTP) para evitar que una misma brecha afecte al documento y al registro.
Evaluar ledgers de prueba (tamper-evident ledgers) solo cuando aporten valor comprobable y no compliquen la gobernanza.

5. Registro de cadena de custodia y auditoría

Mantener un log de acceso y modificación (append-only) con información mínima: quién, cuándo, acción realizada.
Diseñar dashboards de auditoría que permitan reconstruir el ciclo: generación → revisión → firma → publicación → notificación.

Procesos y responsabilidades

Clasificar documentos: definir niveles (ej. A: resoluciones firmadas con efectos jurídicos; B: notificaciones; C: borradores internos) y aplicar controles proporcionales.
Punto de control humano: establecer roles responsables que revisen y aprueben contenidos antes de firma cuando el documento tenga efectos jurídicos.
Procedimiento de reclamación: garantizar que el ciudadano pueda ejercer sus derechos (acceso, rectificación) y que exista un registro de correcciones con su propia trazabilidad.
Evaluación de impacto: realizar un análisis de riesgos técnico-legal y, si procede, un DPIA bajo el RGPD antes de desplegar generación automatizada de documentos.

Cuestiones regulatorias clave

ENS RD 311/2022: aplicar medidas de seguridad adecuadas a la categoría de la información y a la disponibilidad e integridad requeridas.
RGPD: si el documento contiene datos personales, tener base jurídica para su tratamiento y garantizar derechos ARCO/consentimiento según proceda.
EU AI Act: si el sistema se considera de riesgo elevado (p. ej. decisiones automatizadas con efectos jurídicos), habrá obligaciones adicionales de documentación, registros de funcionamiento y supervisión humana.

Consultar siempre con el servicio jurídico antes de autorizar notificaciones totalmente automatizadas.

Ejemplo práctico (flujo mínimo)

IA genera borrador de notificación con metadatos incrustados.
Revisor humano valida contenido y marca aprobación en el SGD.
Sistema firma electrónicamente el documento final (FEQ o firma avanzada según clasificación).
Se calcula hash y se crea sello temporal; hash y metadatos se almacenan en registro inmutable.
Documento se publica y se notifica al interesado; todos los eventos quedan en el log de auditoría.

Implementación en 90 días: checklist operativo

Semana 1–2: Clasificar tipos de documentos y mapear riesgos.
Semana 3–4: Definir metadatos mínimos de procedencia y plantilla de model card.
Semana 5–8: Integrar firma electrónica y sellado temporal en el pipeline de generación.
Semana 9–10: Configurar almacenamiento WORM y log de auditoría.
Semana 11–12: Pruebas, DPIA (si aplica) y capacitación de revisores.
Fin: Puesta en producción limitada y monitoreo.

OptimGov y otras plataformas SaaS pueden ayudar a integrar estos pasos con el SGD municipal, pero los principios son aplicables con equipos propios o proveedores.

Tomaaways / Acción recomendada

Acción inmediata: identifica en 30 días los tres tipos de documentos que tu entidad generaría con IA y aplica el flujo mínimo de ejemplo para uno de ellos. Prioriza firma cualificada y sello temporal para todos los documentos con efectos jurídicos y documenta metadatos de procedencia para facilitar auditorías y cumplimiento.