IA en la administración pública: usos y garantías (módulo 1 gratis)

En la administración, las decisiones afectan a derechos y hay garantías que no admiten atajos. Esta guía es el primer módulo completo de nuestro curso de IA para el sector público: dónde aporta y con qué nivel de riesgo jurídico, qué no debe hacerse nunca, qué exigir en la contratación, cómo se superponen el RGPD, el Esquema Nacional de Seguridad y el Reglamento Europeo de IA, y cómo medir el impacto en eficiencia, servicio y garantías.

Estás leyendo gratis el primer módulo del curso IA para el Sector Público y la Administración. No hace falta registrarse.

Contenido de esta página

• Bienvenida: la IA al servicio del interés público
• Qué puede y qué no hacer la IA en la administración
• Herramientas y límites en el sector público
• Marco legal: RGPD, ENS, AI Act y transparencia
• Datos de la ciudadanía: máxima protección
• Cómo medir el impacto

Bienvenida: la IA al servicio del interés público

Una administración con una carga documental enorme

El sector público español tramita millones de expedientes al año, responde a un volumen creciente de consultas ciudadanas y produce una cantidad ingente de documentación: informes, resoluciones, pliegos, memorias, respuestas a solicitudes de información. Todo eso lo hacen personas que además tienen que atender al público.

La IA puede aliviar buena parte de esa carga. Pero en la administración hay una diferencia esencial respecto al sector privado: aquí las decisiones afectan a derechos de las personas, y están sujetas a un régimen jurídico que no admite atajos. Transparencia, motivación de los actos, derecho de defensa, igualdad de trato. Nada de eso se suspende porque una herramienta sea eficiente.

Para quién es

• Empleados públicos de cualquier administración y nivel.
• Responsables de transformación digital y de sistemas de información.
• Cargos con responsabilidad en la decisión de implantar estas herramientas.
• Empresas que prestan servicios a la administración y deben cumplir sus requisitos.

Aviso: orientación general, no asesoramiento jurídico. Consulta los criterios de tu administración, a tu delegado de protección de datos y a los servicios jurídicos.

Dónde aporta, por nivel de riesgo

Aplicación	Beneficio	Riesgo jurídico
Redacción de borradores documentales internos	Alto	Bajo
Resumen de expedientes y documentación extensa	Alto	Bajo, con verificación
Traducción y lenguaje claro para la ciudadanía	Alto	Bajo
Información general a la ciudadanía	Alto	Medio
Clasificación y enrutado de solicitudes	Alto	Medio
Análisis de datos para políticas públicas	Alto	Medio
Apoyo a la resolución de expedientes	Medio	Alto
Decisión automatizada sobre derechos	—	Muy alto

El principio rector

La IA prepara; la persona con competencia decide, motiva y firma.

Y una consecuencia que conviene subrayar: la motivación de un acto administrativo tiene que ser real y comprensible. Un acto cuya motivación consista en «lo ha determinado el sistema» es un acto mal motivado, y probablemente anulable.

La ventaja específica del sector público

Hay un uso donde la administración tiene mucho que ganar y poco que arriesgar: el lenguaje claro. La distancia entre cómo escribe la administración y cómo entiende la ciudadanía es un problema conocido, con coste real en consultas, errores y desigualdad de acceso. Reescribir comunicaciones en lenguaje comprensible es una tarea que la IA hace bien, que un empleado público valida en poco tiempo y que mejora el servicio de forma tangible.

Qué vas a saber hacer al terminar

1. Usar herramientas de IA en tareas documentales con las garantías necesarias.
2. Distinguir qué usos son admisibles y cuáles comprometen derechos.
3. Cumplir con RGPD, Esquema Nacional de Seguridad y el Reglamento Europeo de IA.
4. Aplicar transparencia algorítmica cuando corresponda.
5. Contratar soluciones con criterios adecuados.
6. Evaluar el impacto en el servicio a la ciudadanía, no solo en la eficiencia interna.

Ejercicio 1: mapa de tu unidad

1. Lista las tareas que más tiempo consumen en tu unidad.
2. Clasifícalas: documentales internas, atención a la ciudadanía, tramitación, análisis.
3. Marca cuáles afectan a derechos o intereses legítimos de personas.
4. Marca cuáles implican datos personales y de qué tipo.
5. Identifica una tarea de alto volumen y bajo riesgo jurídico: ese es tu punto de partida.

Qué deberías tener al acabar: un mapa que separa lo que se puede abordar ya de lo que exige un análisis jurídico previo.

Qué puede y qué no hacer la IA en la administración

Lo que sí, con revisión del personal competente

• Borradores de documentación interna: informes, memorias, notas, propuestas. Siempre revisados y asumidos por quien los firma.
• Resumen de expedientes voluminosos y de documentación técnica, verificando siempre los datos determinantes contra el original.
• Lenguaje claro: reescribir resoluciones y comunicaciones para que se entiendan, manteniendo el contenido jurídico exacto.
• Traducción a otras lenguas oficiales y a idiomas de la población atendida.
• Clasificación y enrutado de solicitudes y escritos entrantes hacia la unidad competente.
• Información general a la ciudadanía sobre trámites, requisitos y plazos, a partir de documentación oficial validada.
• Análisis de datos agregados para el diseño y evaluación de políticas.
• Apoyo a la redacción de pliegos y documentación de contratación, con revisión jurídica.
• Accesibilidad: subtitulado, lectura fácil, descripciones alternativas.

Lo que NO debe hacer

1. Resolver expedientes. La resolución corresponde al órgano competente, con motivación propia.
2. Valorar méritos o solicitudes en procedimientos concurrenciales sin intervención humana efectiva.
3. Determinar el acceso a una prestación o ayuda.
4. Sancionar ni proponer sanciones de forma automática.
5. Priorizar personas en listas de espera o servicios sin supervisión y sin criterios públicos.
6. Sustituir la motivación de un acto administrativo.
7. Tratar datos de la ciudadanía en herramientas no autorizadas por la administración.
8. Aportar normativa o jurisprudencia sin verificar. Las herramientas generalistas inventan artículos y sentencias.

El problema del sesgo en lo público

En el sector privado, un sesgo algorítmico es un problema comercial. En el sector público es un problema de igualdad ante la ley.

Un sistema entrenado con decisiones históricas reproduce los patrones de esas decisiones, incluidos los indeseables. Si históricamente se concedieron menos ayudas a un colectivo, un sistema que aprenda de ahí replicará el patrón, y lo hará con apariencia de objetividad, que es lo que lo hace más peligroso.

Por eso, cuando un sistema interviene en decisiones sobre personas: hay que analizar el sesgo antes y de forma continuada, documentar los criterios, y garantizar que existe revisión humana real y un cauce de reclamación efectivo.

La supervisión humana tiene que ser efectiva

Es un requisito del Reglamento Europeo de IA y conviene entenderlo bien: firmar sin leer no es supervisión. Para que la supervisión sea efectiva hacen falta tres cosas:

1. Que la persona tenga competencia para valorar la propuesta.
2. Que tenga tiempo real para hacerlo. Si el sistema propone 400 resoluciones al día y una persona las firma todas, no hay supervisión.
3. Que pueda apartarse de la propuesta sin coste ni justificación extraordinaria.

El riesgo de la falsa objetividad

Una decisión respaldada por un sistema parece más objetiva y resulta más difícil de discutir para la ciudadanía. Esa asimetría es en sí misma un problema de garantías: quien recibe una resolución tiene derecho a entender por qué y a poder rebatirla.

Ejercicio 2: clasifica y decide

1. Coge las tareas de tu ejercicio 1.
2. Clasifícalas: admisible con revisión, requiere análisis jurídico previo, o no admisible.
3. Para las del primer grupo, define quién revisa y qué verifica exactamente.
4. Para las del segundo, anota qué consulta necesitas hacer y a quién.
5. Escribe cómo comprobarías que la supervisión humana es efectiva y no formal.

Qué deberías tener al acabar: una clasificación defendible. En lo público, poder explicar por qué se hace algo importa tanto como el resultado.

Herramientas y límites en el sector público

Herramientas por categoría de uso

1. Asistentes generalistas en entorno corporativo

Para redacción, resumen, reformulación y traducción. Solo en la versión contratada por la administración, con contrato de encargo del tratamiento y tratamiento dentro del Espacio Económico Europeo.

Nunca en cuentas personales. Es la regla más incumplida y la más fácil de cumplir.

2. Consulta sobre documentación propia

Sistemas que responden únicamente a partir del corpus documental de la administración —normativa aplicable, instrucciones internas, criterios— y citan la fuente. Es la categoría más prometedora para el sector público, porque resuelve el problema de la invención: la herramienta no genera desde su conocimiento, extrae del documento.

3. Clasificación y enrutado

Análisis de escritos entrantes para dirigirlos a la unidad competente y detectar el tipo de trámite. Riesgo contenido si el enrutado erróneo es corregible y no genera indefensión.

4. Atención e información

Asistentes que responden sobre trámites a partir de información oficial. Requisitos: identificarse como sistema automático, no inventar, derivar a persona ante cualquier duda, y dejar claro que la información no sustituye a la resolución del órgano competente.

5. Análisis de datos

Para diseño y evaluación de políticas públicas, siempre con datos agregados o anonimizados. Es donde hay más valor social y menos riesgo individual.

6. Accesibilidad

Subtitulado automático, lectura fácil, lenguaje claro, descripciones de imágenes. Mejora directa del acceso al servicio público y con muy poco riesgo.

Requisitos de contratación

Cuando se contrata una solución de IA en el sector público, los pliegos deberían recoger al menos:

1. Tratamiento de datos dentro del EEE y contrato de encargo del tratamiento.
2. Prohibición de reutilizar los datos para entrenar modelos del proveedor.
3. Conformidad con el Esquema Nacional de Seguridad en el nivel que corresponda.
4. Interoperabilidad y estándares abiertos.
5. Portabilidad: poder recuperar los datos y no quedar cautivo del proveedor.
6. Transparencia técnica: documentación del sistema, criterios y limitaciones.
7. Auditabilidad: registro de actividad que permita reconstruir qué hizo el sistema y cuándo.
8. Trazabilidad de versiones: saber qué versión del modelo estaba operando en cada momento.
9. Formación del personal incluida.

Ese octavo punto es especialmente importante y se olvida: si dentro de dos años alguien recurre una actuación, hay que poder explicar cómo funcionaba el sistema en aquel momento.

Software libre y soluciones propias

Para determinados usos, ejecutar modelos abiertos en infraestructura propia tiene ventajas claras en el sector público: los datos no salen, no hay dependencia de proveedor, y la trazabilidad es total. A cambio exige capacidades técnicas internas. Merece valorarse en administraciones con volumen suficiente.

Señales de alarma en un proveedor

• Promete «automatizar la tramitación» sin hablar de supervisión humana.
• No aclara dónde se tratan los datos.
• No permite auditar ni conocer los criterios del sistema.
• No acredita conformidad con el Esquema Nacional de Seguridad.
• No permite piloto con casos reales.

Ejercicio 3: prepara tu evaluación

1. Elige una tarea de alto volumen y bajo riesgo de tu ejercicio 1.
2. Comprueba si tu administración tiene ya herramientas corporativas disponibles.
3. Redacta los requisitos que exigirías, usando la lista de contratación.
4. Consulta con tu delegado de protección de datos qué análisis previo hace falta.
5. Diseña un piloto acotado con indicadores medibles.

Qué deberías tener al acabar: un piloto bien acotado. En lo público, empezar pequeño y documentado vale mucho más que una implantación ambiciosa que luego no se puede justificar.

Marco legal: RGPD, ENS, AI Act y transparencia

Cuatro marcos que se superponen

El sector público acumula obligaciones que en el privado no existen. Conviene tenerlas ordenadas.

Aviso: orientación general, no asesoramiento jurídico. Consulta a los servicios jurídicos de tu administración y a tu delegado de protección de datos.

1. RGPD y LOPDGDD

• Base legal: en la administración suele ser el cumplimiento de una obligación legal o el ejercicio de poderes públicos. Debe estar identificada y documentada para cada tratamiento.
• Delegado de protección de datos: obligatorio en el sector público. Consúltale antes de implantar, no después.
• Evaluación de impacto: con tecnologías nuevas y tratamientos a gran escala, prácticamente siempre procede.
• Registro de actividades actualizado con estos tratamientos.
• Decisiones automatizadas: el artículo 22 del RGPD reconoce el derecho a no ser objeto de decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente. Es la disposición central de todo este módulo.

2. Esquema Nacional de Seguridad

De obligado cumplimiento para el sector público y para quien le presta servicios. Determina medidas según la categoría del sistema. Cualquier herramienta de IA que trate información de la administración entra dentro de su ámbito y debe encajar en el análisis de riesgos del sistema.

3. Reglamento Europeo de IA

Es el marco que más afecta a las administraciones, porque muchos usos públicos se clasifican como alto riesgo: acceso a servicios públicos esenciales, evaluación de solicitudes, ámbitos de justicia, empleo y educación. Para esos casos se exigen, entre otras cosas:

• Sistema de gestión de riesgos.
• Calidad y gobernanza de los datos de entrenamiento.
• Documentación técnica y registro automático de actividad.
• Transparencia e información a las personas afectadas.
• Supervisión humana efectiva.
• Niveles adecuados de precisión, robustez y ciberseguridad.

Además hay usos prohibidos —como determinados sistemas de puntuación social— y obligaciones específicas para las administraciones como usuarias de estos sistemas. Su aplicación es escalonada: conviene seguirlo institucionalmente.

4. Transparencia y procedimiento administrativo

• Motivación de los actos. Un acto debe explicar sus razones de forma comprensible. «El sistema lo determinó» no es motivación.
• Derecho de acceso al expediente por parte del interesado.
• Transparencia algorítmica. Diversas normas y criterios apuntan a que debe poder conocerse cuándo interviene un sistema automatizado y bajo qué criterios.
• Publicidad activa: conviene publicar qué sistemas se usan, para qué y con qué garantías. Varias administraciones ya mantienen registros públicos de algoritmos, y es una buena práctica que genera confianza.

La regla práctica de oro

Si una actuación afecta a derechos de una persona, tiene que haber una persona identificable que la decida, la motive y responda de ella. Y esa persona debe poder explicar la decisión sin referirse al funcionamiento interno del sistema.

Documentación mínima que debe existir

1. Inventario de sistemas de IA en uso, con su finalidad.
2. Base legal y registro de actividades para cada uno.
3. Evaluación de impacto donde proceda.
4. Análisis de riesgos conforme al Esquema Nacional de Seguridad.
5. Documentación técnica del sistema y sus limitaciones.
6. Procedimiento de supervisión humana, con responsables.
7. Cauce de reclamación para la ciudadanía.
8. Registro de incidencias y de decisiones apartadas de la propuesta del sistema.

Ese último punto es un excelente indicador de si la supervisión es real: si el sistema propone 10.000 decisiones y en ningún caso nadie se apartó, algo no está funcionando.

Ejercicio 4: audita el cumplimiento

1. Averigua qué sistemas de IA se usan hoy en tu unidad, incluidos los informales.
2. Comprueba cuáles están en el registro de actividades.
3. Consulta a tu delegado de protección de datos qué falta.
4. Comprueba si alguno podría clasificarse como de alto riesgo.
5. Revisa si existe cauce de reclamación para quien discrepe de una actuación con apoyo automatizado.

Qué deberías tener al acabar: el inventario real y los huecos. En lo público, el uso informal de herramientas no autorizadas es el riesgo más extendido y el menos documentado.

Datos de la ciudadanía: máxima protección

Datos que la ciudadanía no ha elegido darte

Hay una diferencia importante entre el sector privado y el público: el ciudadano no puede elegir otro proveedor. No puede irse a otra Seguridad Social ni a otro ayuntamiento. Esa falta de alternativa impone un deber de custodia más exigente, no menos.

Además, la administración concentra datos de una sensibilidad excepcional: salud, situación económica, situación familiar, discapacidad, antecedentes, situación administrativa, medidas de protección.

Aviso: orientación general, no asesoramiento jurídico. Consulta a tu delegado de protección de datos.

La regla de partida

Los datos de la ciudadanía no salen a herramientas no autorizadas. Ni a una cuenta personal, ni a una versión gratuita, ni «solo para probar». Es la regla más importante de este módulo y la que más se incumple sin mala intención.

Las técnicas que permiten trabajar

• Anonimizar y seudonimizar antes de cualquier uso: nombre, DNI, número de expediente, dirección, fecha de nacimiento exacta.
• Generalizar lo que identifica por singularidad: municipio pequeño a comarca, edad exacta a franja, profesión poco común a sector.
• Trabajar con extractos: si necesitas revisar una alegación, no vuelques el expediente completo.
• Usar datos agregados para todo lo que sea análisis de políticas.
• Prueba de reidentificación: ¿podría alguien de la unidad saber de quién se trata? En un municipio pequeño, la respuesta suele ser sí con muy pocos datos.

Los colectivos que exigen protección reforzada

• Menores, especialmente en protección, educación y servicios sociales.
• Personas en situación de vulnerabilidad: violencia de género, sinhogarismo, dependencia.
• Personas con discapacidad.
• Personas migrantes en situación administrativa irregular.
• Antecedentes penales y datos de menores infractores.

En estos ámbitos, la recomendación es prudencia máxima: limitar el uso a tareas administrativas sin contenido individual, y no introducir automatización en decisiones sin un análisis jurídico específico.

El riesgo de la reutilización

Un dato recogido para un fin no puede usarse para otro sin base legal. Es la limitación de la finalidad, y con IA la tentación de reutilizar datos para «entrenar un modelo que mejore el servicio» es alta. Ese es un tratamiento nuevo, con su propia base legal, su análisis y su información a las personas afectadas.

Interoperabilidad y proporcionalidad

La capacidad de cruzar datos entre administraciones es útil y está regulada. Cruzarlos porque técnicamente se puede, sin analizar la proporcionalidad, no. Cada cruce debe tener finalidad, base legal y análisis de necesidad.

Seguridad

• Doble factor en todos los accesos.
• Mínimo privilegio: cada persona accede solo a lo que su función requiere.
• Registro de accesos y auditoría periódica. En la administración, el acceso indebido a expedientes por curiosidad es un problema real y recurrente.
• Cifrado en tránsito y en reposo.
• Procedimiento de brecha con plazos y responsables.

Transparencia hacia la ciudadanía

Más allá de la obligación, es una cuestión de confianza. Buenas prácticas que ya aplican varias administraciones:

• Publicar un registro de sistemas algorítmicos en uso, con su finalidad y garantías.
• Informar en la propia comunicación cuando un sistema automatizado ha intervenido.
• Explicar los criterios en lenguaje comprensible.
• Ofrecer un cauce claro para pedir revisión humana.

Ejercicio 5: revisa tu unidad

1. Lista los tipos de datos de ciudadanía que maneja tu unidad y su nivel de sensibilidad.
2. Comprueba si alguien está usando herramientas no autorizadas con esos datos.
3. Escribe tu protocolo de anonimización para las tareas más frecuentes.
4. Comprueba el doble factor y el registro de accesos.
5. Revisa si existe y está publicado el cauce de reclamación.

Qué deberías tener al acabar: un protocolo escrito y una foto del uso informal. Ese uso informal casi siempre existe y casi nunca es malintencionado: es gente intentando trabajar mejor sin herramientas adecuadas. La solución es darles herramientas autorizadas, no prohibir sin alternativa.

Cómo medir el impacto

Medir lo que importa en lo público

En una empresa, el indicador último es el beneficio. En la administración es el servicio a la ciudadanía, y eso obliga a medir cosas distintas. Un proyecto que reduce costes y empeora la atención es un mal proyecto, aunque los números internos luzcan.

Indicadores de eficiencia

• Tiempo medio de tramitación por tipo de expediente.
• Expedientes resueltos por unidad de tiempo.
• Backlog: expedientes pendientes y su antigüedad.
• Tiempo de personal dedicado a tareas administrativas frente a atención y análisis.
• Coste por expediente tramitado.

Indicadores de servicio

Estos son los que no deben faltar nunca:

• Satisfacción de la ciudadanía con el trámite.
• Comprensibilidad: porcentaje de personas que entienden la comunicación recibida sin ayuda. Es un indicador infrautilizado y muy revelador.
• Trámites completados sin necesidad de asistencia.
• Consultas de aclaración por expediente: si bajan, has comunicado mejor.
• Subsanaciones requeridas: si el formulario y las instrucciones mejoran, deberían bajar.
• Accesibilidad efectiva para personas con discapacidad o barrera idiomática.

Indicadores de garantías

Específicos del sector público y probablemente los más importantes:

• Recursos y reclamaciones presentados, y su evolución.
• Porcentaje de estimación de esos recursos: si sube, el sistema está produciendo decisiones peores.
• Casos en que la persona competente se apartó de la propuesta del sistema. Si es cero, la supervisión no es efectiva.
• Análisis de sesgo: distribución de resultados por grupos, revisada periódicamente.
• Incidencias registradas y tiempo de resolución.
• Solicitudes de revisión humana y su resultado.

La métrica que nunca debe usarse sola

«Porcentaje de expedientes tramitados automáticamente.» Se puede subir eliminando garantías. Va siempre acompañada de recursos estimados, satisfacción y análisis de sesgo. Presentarla sola es una forma de esconder el problema.

Cómo montar la evaluación

1. Línea base antes de implantar. Sin ella no hay evaluación posible, solo relato.
2. Piloto acotado en una unidad o tipo de expediente.
3. Grupo de comparación si es viable: misma tramitación sin la herramienta.
4. Medir las tres dimensiones: eficiencia, servicio y garantías.
5. Revisión periódica de sesgo, no solo al inicio.
6. Publicar los resultados. La transparencia sobre lo que funciona y lo que no es en sí misma un servicio público, y protege frente a la desconfianza.

Un criterio de decisión honesto

Antes de escalar un piloto, tres preguntas:

1. ¿Ha mejorado el servicio a la ciudadanía, y no solo el trabajo interno?
2. ¿Se mantienen todas las garantías del procedimiento?
3. ¿Podría explicar públicamente cómo funciona y por qué es adecuado?

Si alguna respuesta es no, no se escala. Y conviene decirlo: cancelar un proyecto que no funciona es una decisión de buena gestión, no un fracaso.

Qué hacer con el tiempo liberado

Esta es una decisión política y de gestión, no técnica. Las opciones —reducir plazos, atender más y mejor, dedicar personal a los casos complejos, mejorar la proactividad hacia colectivos vulnerables— no son equivalentes. Conviene decidirla explícitamente y comunicarla, porque si no se decide, el tiempo se absorbe sin que nadie note la mejora.

Ejercicio 6: diseña tu evaluación

1. Elige el trámite del piloto que definiste en el ejercicio 3.
2. Define tres indicadores de eficiencia, tres de servicio y tres de garantías.
3. Mide su valor actual como línea base.
4. Define cada cuánto revisarás el sesgo y cómo.
5. Escribe cómo publicarías los resultados, incluidos los negativos.

Qué deberías tener al acabar: un cuadro de nueve indicadores con su valor de partida. Es lo que convierte una implantación en un proyecto evaluable y defendible ante cualquiera.