El Reglamento (UE) 2024/1689 sobre Inteligencia Artificial — conocido como AI Act — establece el primer marco jurídico horizontal del mundo para la inteligencia artificial. Para los sistemas considerados de "alto riesgo", las obligaciones plenas son aplicables desde agosto de 2026. Para las administraciones públicas, esto significa que muchas herramientas que ya están en uso o están a punto de adoptarse pasan a estar sujetas a un régimen exigente de transparencia, supervisión y documentación.
Qué se considera "alto riesgo" en administración pública
El Anexo III del Reglamento enumera los usos de IA considerados de alto riesgo. Varios de ellos afectan directamente a la administración pública:
- Identificación biométrica remota en espacios accesibles al público (incluye reconocimiento facial en cámaras municipales, salvo excepciones tasadas para fines policiales).
- Sistemas de toma de decisiones sobre acceso a servicios públicos esenciales (ayudas sociales, servicios sanitarios, etc.).
- Sistemas usados por administración de justicia y procesos democráticos.
- Sistemas de gestión y operación de infraestructuras críticas (control de tráfico, suministros).
- Sistemas usados por autoridades policiales para evaluar riesgos individuales o detectar emociones.
Hay también prácticas prohibidas de forma absoluta, sin posibilidad de excepción para administraciones: el "social scoring" gubernamental, la categorización biométrica por origen racial, la inferencia de emociones en lugares de trabajo o centros educativos, y la creación de bases de datos de reconocimiento facial mediante scraping indiscriminado.
Las obligaciones para sistemas de alto riesgo
Cuando un sistema cae dentro del Anexo III, el proveedor (Labrax, en nuestro caso) y el usuario (la administración que lo despliega) asumen obligaciones distintas:
Obligaciones del proveedor
- Sistema de gestión de calidad documentado, con procedimientos para todo el ciclo de vida.
- Documentación técnica exhaustiva: diseño, datos de entrenamiento, métricas de rendimiento, riesgos identificados y mitigaciones.
- Conservación de logs durante toda la vida útil del sistema, con trazabilidad de decisiones.
- Marcado CE y declaración UE de conformidad antes de comercializar.
- Inscripción en la base de datos europea de sistemas de IA de alto riesgo.
Obligaciones de la administración usuaria
- Supervisión humana efectiva: personal capacitado debe poder anular cualquier decisión del sistema.
- Información a las personas afectadas: cuando una persona es objeto de una decisión basada en IA, debe ser informada.
- Evaluación de impacto en derechos fundamentales antes del despliegue.
- Conservación de logs durante un mínimo de 6 meses.
- Cooperación con las autoridades de vigilancia.
El caso español: AESIA y el sandbox regulatorio
España es el primer país de la UE en haber creado una autoridad nacional específica para la IA, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña. AESIA es la autoridad competente para la vigilancia del cumplimiento del AI Act en España y para autorizar el sandbox regulatorio que permite testar sistemas de IA en entornos controlados antes de su despliegue masivo.
Para administraciones públicas españolas, hay tres figuras clave:
- AESIA como autoridad de vigilancia del mercado.
- AEPD como autoridad competente cuando hay tratamiento de datos personales (que es prácticamente siempre).
- Punto de contacto único en cada administración para gestionar las obligaciones del AI Act.
Sistemas de IA habituales en administración local
Vamos a revisar cuáles son los usos más habituales y qué nivel de riesgo aplica:
| Caso de uso | Riesgo | Implicación |
|---|---|---|
| OCR de matrículas (ANPR) sin identificación de persona | Limitado | Transparencia básica |
| Reconocimiento facial municipal genérico | Alto / prohibido | Solo casos tasados |
| Chatbot de atención ciudadana | Limitado | Etiquetar como IA |
| Análisis predictivo para servicios sociales | Alto | Documentación + supervisión |
| Detección automática de patrones en grafitis vandálicos | Alto | Documentación + supervisión |
| Conteo automatizado de aforo en eventos | Limitado | Transparencia básica |
La línea fina está en el detalle. Por ejemplo, una cámara ANPR que solo lee matrículas y verifica autorizaciones es riesgo limitado. La misma cámara con reconocimiento facial añadido pasa a ser riesgo alto o incluso prohibido según el caso.
Cómo prepararse: cuatro pasos
1. Inventariar los sistemas con IA en uso
Muchas administraciones no tienen conciencia de cuántos componentes de IA están operando. Empieza con un inventario: ¿qué sistemas usan modelos? ¿quién los proporcionó? ¿hay documentación técnica disponible?
2. Clasificar por nivel de riesgo
Cada sistema debe encuadrarse en una de las categorías del Reglamento: prohibido, alto riesgo, riesgo limitado, riesgo mínimo. La consultora con la administración o el propio proveedor pueden asesorar.
3. Solicitar la documentación al proveedor
Para sistemas de alto riesgo, la administración debe poder acreditar que el proveedor cumple. Solicita la documentación técnica, la declaración de conformidad y los logs operativos.
4. Designar punto de contacto y formar al personal
El AI Act exige que las personas que operan el sistema tengan formación adecuada. Designar un responsable interno y planificar la formación es obligatorio para sistemas de alto riesgo.
Cómo lo abordamos en Labrax
En Labrax tenemos productos con componentes de IA — especialmente Grafiti-ID y OCR-ID — diseñados para cumplir el AI Act desde el primer día de obligación. Como marco de referencia trabajamos con la ISO/IEC 42001, la norma internacional de sistemas de gestión de inteligencia artificial, que aporta la estructura de gobernanza (roles, evaluación de riesgos, control de datos de entrenamiento, supervisión y mejora continua) sobre la que se apoya buena parte de lo que el reglamento europeo exige. Esto incluye:
- Documentación técnica completa accesible a clientes y autoridades.
- Logs operativos exportables y conservados durante el ciclo de vida del sistema.
- Mecanismos de supervisión humana integrados (ningún sistema toma decisiones finales sobre derechos sin posibilidad de revisión humana).
- Formación específica para los operadores de cada producto.
- Inscripción en la base de datos europea de sistemas de alto riesgo cuando proceda.
- Gestión de la IA conforme a la ISO/IEC 42001, certificación con la que cuenta Labrax.
Si tu administración está evaluando o desplegando sistemas con IA, podemos ayudarte a navegar el AI Act y a estructurar tu cumplimiento.
