La Agencia Española de Protección de Datos propone reforzar la formación del personal, la intervención de las personas delegadas de protección de datos y la aprobación de procedimientos internos que permitan utilizar la inteligencia artificial con seguridad y garantías.
La incorporación de herramientas de inteligencia artificial a la actividad administrativa no puede quedar en manos de la improvisación ni depender exclusivamente de la iniciativa individual del personal empleado público. Así se desprende de las nuevas recomendaciones publicadas por la Agencia Española de Protección de Datos (AEPD) para reforzar el cumplimiento de la normativa en el sector público.
Aunque el documento se ha elaborado a partir de la experiencia de la Administración General del Estado, la AEPD señala que sus conclusiones tienen vocación general y pueden proyectarse sobre el conjunto del sector público, incluidas las administraciones locales.
Formación antes de utilizar herramientas de inteligencia artificial
La AEPD considera que la implantación de la inteligencia artificial debe abordarse como un proceso de transformación organizativa y no como la simple incorporación de nuevas aplicaciones informáticas.
Por ello, recomienda que el acceso a las herramientas de inteligencia artificial generativa esté acompañado de una capacitación mínima previa sobre su funcionamiento, sus limitaciones y las condiciones para utilizarlas de manera responsable.
Esta formación debería adaptarse a las funciones de cada puesto y permitir que el personal conozca, entre otras cuestiones:
- Qué herramientas están autorizadas por la Administración.
- Qué información puede introducirse en ellas.
- Cómo evitar la exposición de datos personales, expedientes o información interna.
- Cómo comprobar la exactitud de los contenidos generados.
- Qué riesgos presentan los resultados incorrectos, incompletos o sesgados.
- Cuándo debe consultarse a la persona delegada de protección de datos.
La AEPD recomienda, además, actuaciones permanentes de sensibilización, responsabilidades claramente definidas, canales de consulta accesibles y mecanismos de coordinación entre protección de datos, seguridad de la información y transformación digital.
La alfabetización en inteligencia artificial ya es una obligación
Estas recomendaciones coinciden con las obligaciones establecidas en el Reglamento Europeo de Inteligencia Artificial.
Su artículo 4 obliga a los proveedores y responsables del despliegue de sistemas de IA —entre los que pueden encontrarse las administraciones que utilicen estas herramientas en su actividad— a adoptar medidas para garantizar que el personal encargado de su funcionamiento o utilización disponga de un nivel suficiente de alfabetización en inteligencia artificial.
Esta obligación se aplica desde el 2 de febrero de 2025. La aplicación general de buena parte del Reglamento Europeo de Inteligencia Artificial está prevista para el 2 de agosto de 2026.
La alfabetización no debe limitarse al manejo técnico de una aplicación. También debe comprender sus oportunidades, riesgos, limitaciones, posibles perjuicios y efectos sobre las personas afectadas por una actuación administrativa.
La responsabilidad corresponde a la Administración
La AEPD recuerda que la responsabilidad del cumplimiento de la normativa corresponde a la entidad responsable del tratamiento. La designación de una persona delegada de protección de datos no traslada a esta toda la responsabilidad ni exime a los órganos directivos y unidades administrativas de sus obligaciones.
Por tanto, las administraciones deben determinar qué sistemas pueden utilizarse, para qué finalidades, con qué datos y bajo qué condiciones. También deben realizar los análisis de riesgos y, cuando proceda, las correspondientes evaluaciones de impacto.
No resulta suficiente permitir el uso de aplicaciones de inteligencia artificial y trasladar posteriormente al personal las consecuencias derivadas de la ausencia de instrucciones, medios adecuados o formación.
Refuerzo de las personas delegadas de protección de datos
Otro de los principales puntos de las recomendaciones es el fortalecimiento de la figura del delegado o delegada de protección de datos.
La AEPD propone:
- Garantizar su independencia funcional.
- Facilitar su acceso a los órganos directivos.
- Incorporar su participación desde el inicio de los proyectos tecnológicos.
- Dotar estas funciones de estabilidad y recursos suficientes.
- Contar con perfiles jurídicos y tecnológicos especializados.
- Valorar el reconocimiento estructural del puesto y de sus funciones en la correspondiente relación de puestos de trabajo.
También se recomienda su intervención temprana en la contratación de aplicaciones que traten datos personales, en la elaboración de registros de actividades, en los análisis de riesgos y en las evaluaciones de impacto.
Especial atención a las decisiones que afectan a personas
El 21 de julio, la AEPD publicó además una nota técnica sobre los principios de exactitud y minimización de datos en tratamientos realizados mediante inteligencia artificial.
La Agencia advierte de que las garantías deben reforzarse cuando los resultados de la IA produzcan efectos sobre personas concretas. Esto puede afectar, por ejemplo, a sistemas empleados para clasificar solicitudes, valorar documentación, seleccionar candidaturas, asignar recursos o apoyar decisiones administrativas.
Los resultados generados —inferencias, predicciones o recomendaciones— deben ser adecuados para la finalidad perseguida y no ofrecer representaciones incorrectas o desproporcionadas de las personas afectadas. La AEPD recomienda documentar los requisitos de calidad, establecer controles y efectuar un seguimiento durante todo el ciclo de vida del sistema.
SEPMA reclama una digitalización con garantías
Desde SEPMA consideramos que la inteligencia artificial puede contribuir a mejorar determinados procesos administrativos, pero su implantación debe realizarse con transparencia, negociación, formación y respeto a los derechos del personal y de la ciudadanía.
La innovación tecnológica no puede justificar la sustitución indiscriminada de funciones, el incremento de cargas de trabajo ni la atribución de responsabilidades al personal sin instrucciones y medios suficientes.
Las administraciones locales deben aprobar protocolos claros, proporcionar herramientas corporativas seguras y formar adecuadamente a todas las personas que deban utilizar estos sistemas. Asimismo, debe garantizarse siempre la supervisión humana de las decisiones administrativas y la posibilidad de revisar y corregir los resultados generados por la inteligencia artificial.
Documentación y normativa aplicable
- Recomendaciones de la AEPD para fortalecer el cumplimiento de la normativa de protección de datos en el sector público
- Nota informativa de la AEPD sobre las nuevas recomendaciones
- Criterios de la AEPD sobre exactitud, minimización de datos e inteligencia artificial
- Reglamento General de Protección de Datos —Reglamento (UE) 2016/679—
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales
- Reglamento Europeo de Inteligencia Artificial —Reglamento (UE) 2024/1689—
Comunicaciones SEPMA