AI Act e administración pública: que cambia para o software con IA en 2026

O Regulamento (UE) 2024/1689 sobre intelixencia artificial —coñecido como AI Act— establece o primeiro marco xurídico horizontal do mundo para a intelixencia artificial. Para os sistemas considerados de "alto risco", as obrigas plenas son aplicables desde agosto de 2026. Para as administracións públicas, isto significa que moitas ferramentas que xa están en uso ou a piques de adoptarse pasan a estar suxeitas a un réxime esixente de transparencia, supervisión e documentación.

Que se considera "alto risco" na administración pública

O anexo III do Regulamento enumera os usos de IA considerados de alto risco. Varios deles afectan directamente á administración pública:

• Identificación biométrica remota en espazos accesibles ao público (inclúe o recoñecemento facial en cámaras municipais, agás excepcións taxadas con fins policiais).
• Sistemas de toma de decisións sobre o acceso a servizos públicos esenciais (axudas sociais, servizos sanitarios etc.).
• Sistemas usados pola administración de xustiza e procesos democráticos.
• Sistemas de xestión e operación de infraestruturas críticas (control de tráfico, subministracións).
• Sistemas usados polas autoridades policiais para avaliar riscos individuais ou detectar emocións.

Hai tamén prácticas prohibidas de forma absoluta, sen posibilidade de excepción para as administracións: o "social scoring" gobernamental, a categorización biométrica por orixe racial, a inferencia de emocións en lugares de traballo ou centros educativos e a creación de bases de datos de recoñecemento facial mediante scraping indiscriminado.

As obrigas para os sistemas de alto risco

Cando un sistema entra no anexo III, o provedor (Labrax, no noso caso) e o usuario (a administración que o desprega) asumen obrigas distintas:

Obrigas do provedor

• Sistema de xestión da calidade documentado, con procedementos para todo o ciclo de vida.
• Documentación técnica exhaustiva: deseño, datos de adestramento, métricas de rendemento, riscos identificados e mitigacións.
• Conservación de logs durante toda a vida útil do sistema, con trazabilidade das decisións.
• Marcado CE e declaración UE de conformidade antes da comercialización.
• Inscrición na base de datos europea de sistemas de IA de alto risco.

Obrigas da administración usuaria

• Supervisión humana efectiva: persoal capacitado debe poder anular calquera decisión do sistema.
• Información ás persoas afectadas: cando unha persoa é obxecto dunha decisión baseada en IA, debe ser informada.
• Avaliación de impacto nos dereitos fundamentais antes do despregamento.
• Conservación de logs durante un mínimo de 6 meses.
• Cooperación coas autoridades de vixilancia.

O caso español: a AESIA e o sandbox regulatorio

España é o primeiro país da UE en crear unha autoridade nacional específica para a IA, a Axencia Española de Supervisión da Intelixencia Artificial (AESIA), con sede na Coruña. A AESIA é a autoridade competente para vixiar o cumprimento do AI Act en España e para autorizar o sandbox regulatorio que permite probar sistemas de IA en contornos controlados antes do seu despregamento masivo.

Para as administracións públicas españolas hai tres figuras clave:

• AESIA como autoridade de vixilancia do mercado.
• AEPD como autoridade competente cando hai tratamento de datos persoais (o que ocorre practicamente sempre).
• Punto de contacto único en cada administración para xestionar as obrigas do AI Act.

Sistemas de IA habituais na administración local

Imos revisar cales son os usos máis habituais e que nivel de risco se aplica:

A liña fina está no detalle. Por exemplo, unha cámara ANPR que só le matrículas e verifica autorizacións é de risco limitado. A mesma cámara con recoñecemento facial engadido pasa a ser de risco alto ou mesmo prohibida segundo o caso.

Como prepararse: catro pasos

1. Inventariar os sistemas con IA en uso

Moitas administracións non son conscientes de cantos compoñentes de IA están a funcionar. Comeza cun inventario: que sistemas usan modelos? Quen os forneceu? Hai documentación técnica dispoñible?

2. Clasificar por nivel de risco

Cada sistema debe encadrarse nunha das categorías do Regulamento: prohibido, alto risco, risco limitado, risco mínimo. A consultora da administración ou o propio provedor poden asesorar.

3. Solicitar a documentación ao provedor

Para os sistemas de alto risco, a administración debe poder acreditar que o provedor cumpre. Solicita a documentación técnica, a declaración de conformidade e os logs operativos.

4. Designar un punto de contacto e formar o persoal

O AI Act esixe que as persoas que operan o sistema teñan formación axeitada. Designar un responsable interno e planificar a formación é obrigatorio para os sistemas de alto risco.

Como o abordamos en Labrax

En Labrax temos produtos con compoñentes de IA —especialmente Grafiti-ID e OCR-ID— deseñados para cumprir o AI Act desde o primeiro día de obriga. Como marco de referencia traballamos coa ISO/IEC 42001, a norma internacional de sistemas de xestión da intelixencia artificial, que achega a estrutura de gobernanza (roles, avaliación de riscos, control dos datos de adestramento, supervisión e mellora continua) sobre a que se apoia boa parte do que esixe o regulamento europeo. Isto inclúe:

• Documentación técnica completa accesible para clientes e autoridades.
• Logs operativos exportables e conservados durante o ciclo de vida do sistema.
• Mecanismos de supervisión humana integrados (ningún sistema toma decisións finais sobre dereitos sen posibilidade de revisión humana).
• Formación específica para os operadores de cada produto.
• Inscrición na base de datos europea de sistemas de alto risco cando proceda.
• Xestión da IA conforme á ISO/IEC 42001, certificación coa que conta Labrax.

Se a túa administración está a avaliar ou despregar sistemas con IA, podemos axudarte a navegar polo AI Act e a estruturar o teu cumprimento.