IA en la administración pública: qué se puede automatizar y qué debe decidir una persona (2027)

Respuesta corta: en un organismo público, la IA rinde antes en el trabajo que prepara una decisión: clasificar y encaminar lo que entra por registro, extraer datos de formularios, redactar borradores que revisa un empleado público, buscar en la normativa interna y resumir expedientes. La decisión que afecta a los derechos de un ciudadano, la que ejerce una potestad discrecional y la que exige un acto motivado deben quedarse con una persona que tenga autoridad para cambiarla. Abajo, lo que dice cada norma, con enlace a la fuente.

Es para responsables y técnicos de ayuntamientos, diputaciones, comunidades autónomas y ministerios, y para los integradores que concursan por sus contratos. No es asesoramiento jurídico: contrástalo con tu servicio jurídico y tu delegado de protección de datos.

Qué se puede automatizar primero

En un buen primer candidato hay mucho volumen, una persona revisa el resultado antes de que produzca efectos y, si el sistema se equivoca, el error se ve y se corrige sin perjudicar a nadie.

• Clasificar y encaminar lo que entra. Solicitudes, escritos y documentos que llegan al registro electrónico: el sistema propone el tipo de trámite, la unidad competente y si falta documentación. El funcionario confirma o corrige, y cada corrección mide el acierto.
• Extraer datos de formularios y documentos. Pasar a campos lo que viene en una instancia, un PDF escaneado o una factura, con la página de origen para comprobar cada dato en segundos.
• Redactar borradores para revisión. Respuestas a consultas frecuentes, requerimientos de subsanación o comunicaciones de trámite. El borrador lo firma o lo descarta un empleado público.
• Buscar en la normativa interna. Ordenanzas, instrucciones y circulares, con la cita exacta del artículo del que sale cada respuesta. Sin fuente, el sistema debe decir que no la encuentra.
• Resumir expedientes. Un índice comentado de un expediente largo, con enlace a cada documento. El resumen orienta; leer los documentos sigue siendo trabajo de quien resuelve.

El modelo propone; deciden el código y las personas. Es la regla que aplicamos también fuera del sector público, explicada con un caso real en agentes de IA frente a flujos de trabajo.

Qué debe decidir una persona, y por qué

Tres tipos de decisión deben quedar fuera de la automatización:

• Las que afectan a derechos o intereses de un ciudadano. Conceder o denegar una ayuda o una licencia, sancionar, inadmitir un recurso.
• Las discrecionales. El margen de apreciación que deja la norma lo ejerce el órgano competente, no un modelo entrenado con decisiones anteriores.
• Las que exigen un acto motivado. El artículo 35 de la Ley 39/2015 obliga a motivar, «con sucinta referencia de hechos y fundamentos de derecho», entre otros, los actos que limiten derechos subjetivos o intereses legítimos y los que se dicten en ejercicio de potestades discrecionales. Una motivación tiene que poder defenderse ante un recurso; un texto verosímil escrito por un modelo no basta.

Y la revisión humana tiene que ser real. La AEPD, en su guía Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial, indica que para considerar que hay participación humana la supervisión debe hacerla una persona competente y autorizada para modificar la decisión, mediante una acción significativa y no simbólica. Un botón de «aprobar» pulsado sin tiempo para pensar no es supervisión.

El marco legal, con fuentes

Ley 39/2015 y Ley 40/2015

La Ley 39/2015 fija las piezas con las que convivirá cualquier sistema: el Registro Electrónico General (artículo 16), el expediente electrónico, definido como «el conjunto ordenado de documentos y actuaciones que sirven de antecedente y fundamento a la resolución administrativa» (artículo 70), y la obligación de motivar ya citada (artículo 35).

La Ley 40/2015 regula en su artículo 41 la actuación administrativa automatizada: «cualquier acto o actuación realizada íntegramente a través de medios electrónicos por una Administración Pública en el marco de un procedimiento administrativo y en la que no haya intervenido de forma directa un empleado público». El apartado 2 exige establecer previamente el órgano u órganos competentes para la definición de las especificaciones, programación, mantenimiento, supervisión y control de calidad y, en su caso, auditoría del sistema de información y de su código fuente, e indicar el órgano responsable a efectos de impugnación.

En la práctica: si un sistema va a producir actos sin intervención directa de un empleado público, hace falta antes esa designación formal. Si un empleado revisa y firma cada resultado, la actuación ya no es íntegramente automatizada, pero esa revisión tiene que ser real.

Esquema Nacional de Seguridad (Real Decreto 311/2022)

El Real Decreto 311/2022 se aplica a todo el sector público (artículo 2.1) y también a los sistemas de las empresas privadas que, por contrato, presten servicios o provean soluciones a entidades del sector público (artículo 2.3). Los pliegos deben exigir la conformidad con el ENS, por ejemplo con Declaraciones o Certificaciones de Conformidad, también a la cadena de suministro del contratista según el análisis de riesgos. Según el artículo 38, los sistemas de categoría MEDIA o ALTA necesitan una auditoría para certificar su conformidad, y los de categoría BÁSICA, una autoevaluación. Las guías están en el portal del ENS del Centro Criptológico Nacional. Para un integrador, el servicio de IA conectado, incluido el proveedor del modelo, forma parte de esa cadena de suministro.

RGPD, artículo 22, y la AEPD

El artículo 22 del RGPD reconoce a todo interesado el derecho «a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar». Las excepciones son tres: contrato, autorización por el Derecho de la Unión o de un Estado miembro con medidas adecuadas, o consentimiento explícito. En los casos de contrato y consentimiento, el responsable debe garantizar como mínimo el derecho a obtener intervención humana, a expresar su punto de vista y a impugnar la decisión.

Para auditar estos sistemas, la AEPD publica unos Requisitos para auditorías de tratamientos que incluyan IA.

Reglamento europeo de IA (Reglamento (UE) 2024/1689)

El Reglamento de IA ha sido modificado por el Reglamento (UE) 2026/1744, el ómnibus digital sobre IA. Los artículos que citamos aquí conservan su número y su contenido tras esa modificación, salvo el artículo 27, cuyos apartados 4 y 5 cambian. El anexo III enumera los ámbitos de alto riesgo. El punto 5 a) incluye los sistemas destinados a ser utilizados por las autoridades públicas, o en su nombre, para evaluar la admisibilidad de las personas físicas para beneficiarse de servicios y prestaciones esenciales de asistencia pública, incluida la asistencia sanitaria, así como para conceder, reducir o retirar esas prestaciones o reclamar su devolución. Otros puntos afectan también a educación, empleo, garantía del cumplimiento del Derecho, migración y justicia.

El artículo 6.3 matiza que un sistema del anexo III no se considera de alto riesgo cuando no plantea un riesgo importante para la salud, la seguridad o los derechos fundamentales, por ejemplo si realiza una tarea de procedimiento limitada, mejora el resultado de una actividad humana ya realizada o hace una tarea preparatoria. Pero siempre es de alto riesgo si elabora perfiles de personas físicas, y el proveedor que lo considere fuera del alto riesgo debe documentarlo (artículo 6.4). Clasificar documentos puede encajar en la excepción; puntuar solicitantes, no.

Si el sistema es de alto riesgo, el organismo que lo usa (el «responsable del despliegue») tiene obligaciones propias. El artículo 26 le exige confiar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias, conservar los registros del sistema al menos seis meses salvo que otra norma disponga otra cosa, no usar, si es autoridad pública, un sistema no inscrito en la base de datos de la UE, e informar a las personas sobre las que el sistema decide o ayuda a decidir. El artículo 27 exige a los organismos de Derecho público una evaluación de impacto en los derechos fundamentales antes del despliegue, que tras la modificación puede remitirse a las partes pertinentes de la evaluación de impacto en protección de datos del artículo 35 del RGPD, y el artículo 86 da al afectado derecho a una explicación clara del papel del sistema en la decisión.

Hay deberes de transparencia que no dependen del alto riesgo. Según el artículo 50.1, el proveedor debe diseñar el sistema que interactúa con personas para que sepan que hablan con una IA, salvo que sea evidente. El artículo 50.4 exige indicar que un texto publicado para informar al público sobre asuntos de interés público se ha generado con IA, salvo que haya pasado por revisión humana y una persona tenga la responsabilidad editorial.

Las fechas de aplicación de cada obligación merecen un artículo propio; aquí nos quedamos con lo que dice el texto.

Cómo contratarlo y ponerlo en marcha

• Empieza por un diagnóstico acotado. Un trámite, un volumen medido y un criterio de éxito escrito. Termina en una decisión: seguir, cambiar o parar.
• Mantén humana la decisión que llega al ciudadano. Lo que produce el sistema entra en el expediente como propuesta o borrador; la resolución la firma el órgano competente.
• Registra todo. Entrada, versión del modelo y de sus instrucciones, salida, quién revisó y qué cambió. Sirve para el ENS, el Reglamento de IA y cualquier recurso.
• Conecta con lo que ya existe, no lo sustituyas. El sistema debe leer del registro y del gestor de expedientes y escribir en ellos por sus interfaces actuales.
• Trabaja con tu equipo de TI y con tu integrador. Conocen los sistemas, la categoría ENS y el contrato.
• Lleva a los pliegos lo que importa. Conformidad con el ENS, conservación de registros, posibilidad de cambiar de modelo y, si va a haber actuación automatizada, quién asume cada responsabilidad del artículo 41.2.

El fallo habitual: pilotos que se quedan en demo

Muchos pilotos de IA en el sector público no fallan por el modelo, sino porque se construyen con datos limpios, al margen del registro y del gestor de expedientes, sin responsable, sin criterio de éxito y sin análisis de seguridad. La demo funciona, y para llevarla a producción hay que rehacerla.

Para evitarlo, el camino a producción se planifica desde el primer día: integraciones, categoría ENS, designación del artículo 41.2 si procede, evaluación de impacto en protección de datos si procede y quién lo mantendrá al terminar el contrato. El traspaso de un caso del sistema a una persona también se diseña; lo contamos para otro sector en nuestra guía de traspaso humano y RGPD.

Lista de comprobación

• El trámite elegido tiene volumen y una persona revisa cada resultado antes de que produzca efectos.
• El sistema no toma decisiones sobre derechos, discrecionales ni motivadas.
• La persona que revisa tiene tiempo, información y autoridad para cambiar el resultado.
• Si va a haber actuación automatizada, el artículo 41.2 de la Ley 40/2015 está cubierto antes de empezar.
• La categoría ENS está fijada y el proveedor acredita la conformidad.
• Se ha valorado el artículo 22 del RGPD con el delegado de protección de datos.
• Se ha comprobado si el uso entra en el anexo III del Reglamento de IA y, si se invoca el artículo 6.3, está documentado.
• Quien habla con una IA lo sabe.
• Cada entrada, salida, versión y revisión queda registrada.
• Hay un criterio de éxito escrito y una fecha para decidir.

Cómo trabajamos en SME Analytica

Hacemos ingeniería desplegada: software, integración, datos, aplicaciones y sistemas heredados, con IA donde compensa. Construimos y mantenemos en producción sistemas con IA, como Conversa, un agente de WhatsApp conectado a un CRM, y trabajamos junto a equipos de TI y como subcontratistas de integradores.

Si tu organismo quiere saber qué trámite conviene automatizar, el primer paso es un Reconocimiento: estudiamos un trámite con tu equipo, medimos el volumen, revisamos los sistemas implicados y te entregamos una recomendación por escrito. Si sale adelante, el Lanzamiento lo pone en producción sobre tus sistemas. Cuéntanos qué trámite tienes en mente.

Imagen de portada: De raadkamer op het stadhuis te Amsterdam (la sala del consejo del Ayuntamiento de Ámsterdam en sesión), aguafuerte y grabado de Noach van der Meer (II) según dibujo de Willem Kok, 1790. Rijksmuseum, RP-P-OB-67.954. Licencia CC0 (dominio público). Fuente.