Es la una y media de un jueves. En el escritorio de un responsable de urbanismo o de contratación pública se amontonan treinta expedientes pendientes, junto con una solicitud de informe urgente del alcalde y un pliego de condiciones de ciento veinte páginas que se suponía que debía haberse revisado ayer. En este escenario de sobrecarga crónica, la tentación es inmediata y comprensible: abrir una pestaña en un navegador privado, acceder a un modelo comercial de inteligencia artificial y pegar el texto para que lo resuma o redacte una propuesta en treinta segundos.
Esto ya está ocurriendo en muchos ayuntamientos. No por malicia, sino por pura desesperación operativa. Es lo que en seguridad de la información se conoce como «Shadow IT»: el uso informal de herramientas externas sin supervisión institucional.
Pero, ¿qué ocurre cuando ese texto enviado a la nube contiene los nombres y apellidos de los vecinos, números de cuentas corrientes, datos de informes de los servicios sociales o tasaciones realizadas por abogados? La respuesta pone los pelos de punta a cualquier secretaria, contable o responsable de protección de datos: la administración local se ve de repente expuesta a una infracción flagrante del RGPD, a un fallo de seguridad en el marco del Plan Nacional de Seguridad (ENS) y a una posible responsabilidad civil y disciplinaria.
Ante esta realidad, prohibir la tecnología por decreto es una ilusión que no hace más que fomentar su uso clandestino. La verdadera tarea de los responsables públicos y los equipos jurídicos no es frenar la modernización, sino imponer normas claras e innegociables: soberanía tecnológica y supervisión humana obligatoria.
La obligación de confidencialidad no finaliza al abrir el navegador.
El secretario y los técnicos municipales tienen la obligación legal de velar por la confidencialidad de la información pública y de los ciudadanos. Cuando un funcionario público sube un archivo a servidores de inteligencia artificial abiertos y gratuitos, esos datos salen del espacio jurídico europeo y, en la mayoría de los casos, pasan a formar parte del futuro banco de datos de entrenamiento de esas empresas tecnológicas.
No se trata de una duda teórica o sin importancia; se trata de:
- Divulgación ilícita de datos personales (PII): Los registros que contienen datos de categorías especiales, según lo establecido en el artículo 9 del RGPD (salud, menores, vulnerabilidad económica), se alojan en servidores de terceros sin un acuerdo de tratamiento de datos ni garantías de anonimización.
- Pérdida de trazabilidad: el ayuntamiento no puede comprobar quién ha accedido al documento, dónde se ha guardado ni si realmente se ha eliminado.
- Incumplimiento de la ENS: Las administraciones públicas están obligadas a garantizar la continuidad, la confidencialidad y la integridad de sus servicios digitales, un marco que ninguna herramienta gratuita para uso doméstico cumple.
Si un ayuntamiento quiere que sus equipos aprovechen las capacidades analíticas de la IA para agilizar los trámites administrativos, la única vía legalmente admisible es la denominada «IA soberana»: modelos de procesamiento que se ejecutan en una infraestructura propia y cerrada dentro de la Unión Europea, sin conexión con proveedores que reutilicen los datos, y con mecanismos preexistentes que eliminan los metadatos y los datos personales antes de cualquier operación.
La máquina sugiere, la autoridad pública decide: el principio «Human-in-the-Loop»
En el derecho administrativo existe un límite que ningún algoritmo puede traspasar jamás: la autoridad pública es indelegable. Un modelo de lenguaje no puede firmar un decreto municipal, resolver un recurso fiscal ni pronunciarse sobre una licencia de obras.
La responsabilidad jurídica de cada acto administrativo recae exclusivamente en la persona que ostenta la firma delegada o la condición de funcionario público. Por lo tanto, el diseño de la tecnología al servicio de la administración local debe estructurarse en torno al principio «Human-in-the-Loop» (supervisión humana necesaria en el ciclo de toma de decisiones):
- La IA como analista preliminar: el modelo puede comparar cláusulas de un pliego de condiciones, localizar decretos anteriores sobre el mismo tema o resumir un expediente extenso para facilitar su lectura rápida.
- El personal público como filtro y autoridad: la propuesta generada por la máquina no es más que un borrador de trabajo. Es el técnico o la secretaria quien valida el contenido, corrige los criterios jurídicos, aplica su criterio técnico y, por último, valida y firma el documento.
Sin esta garantía de doble clave, la inteligencia artificial no supone un avance: constituye una amenaza para la seguridad jurídica de la administración local y abre la puerta a la nulidad absoluta de los actos administrativos por falta de motivación o delegación indebida.
Respuesta de ONode: Seguridad para el responsable, agilidad para el equipo
En ONode, trabajamos codo con codo con los equipos técnicos y jurídicos de los ayuntamientos. Entendemos perfectamente la presión que suponen los plazos y, al mismo tiempo, el temor legítimo a cometer alguna irregularidad documental o de procedimiento.
Por este motivo, nuestras herramientas no son adaptaciones de programas ofimáticos genéricos, sino un entorno concebido desde el derecho público:
- Arquitectura sobirana i aïllada: Tots els servidors estan radicats a la Unió Europea, amb entorns estancs per a cada ajuntament (multitenant separat) i alineats amb les exigències de seguretat de l’ENS i el nou Reglament Europeu d’IA. Les dades del teu municipi mai s’utilitzen per a entrenar xarxes externes.
- Anonimización inteligente previa: sistemas que identifican y ocultan automáticamente los documentos nacionales de identidad, los datos bancarios, las direcciones privadas o las firmas antes de que se pueda procesar o publicar cualquier registro, distinguiendo además entre funcionarios públicos y ciudadanos de a pie.
- Control humano integrado de forma nativa: cada resumen, clasificación o borrador generado requiere una acción de validación consciente por parte del responsable. No se publica ni se incorpora nada a un archivo sin que un funcionario lo haya revisado y aprobado.
La modernización de la administración local no consiste en poner nuevas pantallas a viejos problemas, ni en permitir que el personal utilice herramientas no autorizadas por la mera presión del tiempo. Se trata de dotar a los equipos del sector público de tecnología avanzada que se encargue de la carga de trabajo rutinaria, al tiempo que se salvaguarda la confidencialidad, la tranquilidad de los funcionarios y la legitimidad de cada acto administrativo.
