La Agencia Española de Protección de Datos (AEPD) ha publicado su Política general interna para el uso de IA generativa, un documento que marca las líneas generales de implementación, gobernanza y uso responsable de estos sistemas en el ámbito interno. Este ejercicio de transparencia es visto por la comunidad jurídica que esperan que empresas públicas y otras entidades hagan lo mismo en el futuro. Al final podrí crearse una tendencia interesante en el sector público sobre estas cuestiones”.
Esta Política, la primera de este tipo en el sector público, sitúa a la Agencia que ahora preside el catedrático de Derecho Constitucional, Lorenzo Cotino, como una institución pionera en el uso responsable, legal y transparente de la inteligencia artificial y la automatización en la Administración Pública. Ha sido aprobada en ejercicio de las facultades de la AEPD como Autoridad Administrativa Independiente y forma parte de su Política de Información, promoviendo la transparencia, la seguridad y la confianza en la implementación con garantías de estos sistemas.
Su objetivo es reforzar la capacidad tecnológica y organizativa de la Agencia, asegurando una transformación digital segura, ética y conforme con el marco normativo vigente.
La publicación de esta Política se integra en el Eje 1 del Plan estratégico 2025-2030 de la Agencia, que apuesta por una política de IA first, promoviendo el uso seguro y responsable de la inteligencia artificial desde el convencimiento de que estos sistemas deben integrarse como un proceso normal en el funcionamiento de las administraciones públicas, al igual que en otros sectores.
El documento proporciona una hoja de ruta para abordar la transformación tecnológica de forma controlada y alineada con el interés público. La implantación progresiva de estos sistemas bajo una gobernanza sólida y con supervisión humana tiene como finalidad contribuir a que la Agencia continúe mejorando su eficiencia y capacidad técnica, manteniendo sus funciones y potestades.
La Política detalla casos de uso específicos en el ámbito administrativo, mostrando cómo se aplicará esta tecnología en la práctica. El apartado de análisis de riesgos identifica los desafíos asociados a la IA generativa, mientras que la sección de gobernanza, políticas y gestión establece el marco operativo.
Estos puntos definen aspectos clave como la selección de soluciones, el tratamiento de datos personales, el diseño de casos de uso, la transparencia, la explicabilidad y la protección de derechos fundamentales. Por último, describe los procedimientos para la redacción, aprobación, revisión, incorporación de nuevos casos de uso, gestión de incidentes y supervisión continua, asegurando una implementación ordenada y alineada con los valores de la entidad.
El alcance de esta Política interna se limita al uso de IA generativa en los procesos administrativos de la AEPD, sin que suponga una verificación, evaluación, certificación o forma indirecta de aplicación del Reglamento de Inteligencia Artificial. Su implementación estará acompañada de un proceso continuo de evaluación, adaptación y mejora, de forma que pueda dar respuesta a los avances tecnológicos y los cambios normativos.
Rodolfo Tesone esper que con este paso de transparencia otras organizaciones públicas sigan la misma estela de transparencia FOTO ENATIC
Lo que opinan los expertos
Para Rodolfo Tesone, presidente emérito de ENATIC y uno de los firmantes en su día de la Carta de Derechos Digitales, "la adopción por parte de la AEPD de una política interna de uso de Inteligencia Artificial generativa representa, sin duda, un avance muy relevante. Que una autoridad de control decida aplicarse a sí misma principios de gobernanza, transparencia, supervisión humana, análisis de riesgos, trazabilidad y responsabilidad en el uso de la IA constituye un gesto de ejemplaridad regulatoria que merece una valoración claramente positiva”.
Desde su punto de vista, este movimiento de régimen interno que hace la AEPD es relevante “en un contexto de progresiva y acelerada transformación digital del sector público, este movimiento refuerza la confianza en que la innovación puede y debe ser compatible con los Derechos Fundamentales. Todas las administraciones públicas y los consorcios público y privados tendrán que publicar en su portal de transparencia cuáles son sus políticas de IA, su plan director, sistema de cumplimiento, entre otras cuestiones”.
“Ahora bien, conviene no confundir la aspiración hacia la excelencia organizativa de esta política interna con una garantía plena de cumplimiento del marco regulatorio europeo. Su alcance queda limitado al uso administrativo interno y no equivale, ni directa ni indirectamente, a un mecanismo de verificación del Reglamento de Inteligencia Artificial. Dicho de otro modo, es un instrumento valioso de orden interno, pero no un estándar externo de control jurídico” comenta Tesone.
Este jurista cree que hay cuestiones por resolver “desde esta constatación surge una primera cuestión inevitable: ¿debe la AESIA asumir, más allá de sus funciones generales de supervisión y control, un papel específico en la auditoría periódica —interna o externa— de los sistemas de IA utilizados por las propias Administraciones Públicas? “.
En su opinión, “el Reglamento exige trazabilidad, gestión de riesgos, documentación técnica y supervisión humana, pero deja un margen demasiado indeterminado en cuanto a la concreción de mecanismos de auditoría sistemática. Esa zona de indeterminación normativa plantea un reto de fondo para la rendición de cuentas en el sector público”.
Para Tesone, “a esta cuestión se añade un problema estructural que, desde hace tiempo, venimos señalando junto a otros juristas y expertos —como Borja Adsuara o Idoia Salazar desde OdiseIA—: la profunda asimetría del régimen sancionador. Mientras el sector privado se enfrenta a multas potencialmente multimillonarias por incumplimientos del Reglamento de Inteligencia Artificial o del RGPD, las Administraciones Públicas quedan, en términos generales, excluidas de sanción económica”. La cuestión es quién vigila al vigilante, indica.
Desde su punto de vista “el resultado es una desigualdad material ante la ley que debilita el efecto disuasorio del sistema y traslada al cumplimiento público al terreno —mucho más débil— de la responsabilidad reputacional o política, cuando no de la impunidad por parte de la persona responsable de la infracción”.
En opinión de este abogado experto en derecho digital “la experiencia comparada en Europa refuerza esta preocupación. En distintos Estados se está abriendo paso, con mayor o menor intensidad, la idea de que los requisitos de “auditabilidad” del Reglamento deben complementarse con esquemas de control técnico más robustos, apoyados en normas armonizadas, certificaciones y auditorías independientes, al menos para los sistemas de alto riesgo”.
A su juicio “el propio diseño del Reglamento permite esta evolución a través de la normalización técnica, pero su eficacia dependerá en gran medida de cómo cada Estado decida cerrar esa brecha entre autorregulación interna y control externo efectivo. Si este refuerzo no se produce, el riesgo de una fragmentación real de la gobernanza de la IA en Europa es evidente”.
Como conclusión Rodolfo Tesone subraya que “ la política interna de la AEPD constituye un paso valiente, coherente y necesario. Pero no debe ser entendida como un punto de llegada”.
Para este experto, el verdadero reto de la gobernanza pública de la inteligencia artificial pasa por articular auditorías efectivas, reforzar el papel supervisor de la autoridad competente y revisar, con compromiso político y honestidad jurídica, el actual desequilibrio del régimen sancionador. Solo así será posible construir un modelo de IA pública que no solo sea innovador, sino también efectivamente responsable”, aclara
Antonio Serrano, abogado digital, emprendedor es uno de los referentes en materia de IA en nuestro país. Sobre el paso dado por la AEPD subraya que que el vigilante decida vigilarse a sí mismo es un ejercicio de transparencia loable”. (Imagen cedida por el experto)
Un mensaje de calado
Por su pante, Antonio Serrano, abogado, emprendedor y experto en IA, en algunas manifestaciones ha señalado que los abogados tendrán más trabajo con llegada de la IA a las empresas, destaca que “la reciente publicación de la Política interna de uso de Inteligencia Artificial por parte de la Agencia Española de Protección de Datos (AEPD) no es solo una noticia tecnológica; es un mensaje institucional de calado”.
A su juicio “al convertirse en la primera entidad pública que formaliza este tipo de actuación, la AEPD asume un rol que va más allá del regulador: asume el rol de pionero. En un momento donde la incertidumbre ante los algoritmos es palpable, que el vigilante decida vigilarse a sí mismo es un ejercicio de transparencia loable”.
“El paso dado por la Agencia es significativo porque rompe con la inercia habitual de la Administración, a menudo reactiva ante la tecnología. Al integrar esta política en su Plan Estratégico 2025-2030 bajo una filosofía "IA first", se envía una señal clara: la inteligencia artificial debe integrarse con normalidad en el servicio público. Sin embargo, esta adopción conlleva una responsabilidad inmensa”, revela.
En su opinión, “el verdadero valor de este documento reside en su enfoque sobre la gobernanza. La AEPD ha establecido una hoja de ruta que prioriza la supervisión humana y el análisis de riesgos. Esto es fundamental. Si bien el riesgo de vulnerar derechos existe tanto en el ámbito privado como en el público, en este último la exigencia de ejemplaridad es máxima. La Administración no puede permitirse ser una "caja negra"; debe garantizar que la eficiencia técnica nunca se logre a costa de la opacidad o el sesgo”.
Para este experto, “aquí es donde nos encontramos con el gran desafío de nuestra era: el equilibrio entre regulación e innovación. Es vital que este rigor garantista actúe como cauce y no como dique. Una supervisión excesiva o miedosa podría frenar la necesaria modernización de los servicios públicos, condenándonos a la obsolescencia, mientras que una adopción precipitada y sin control nos expondría a riesgos inasumibles”.
Serrano cree que “la política de la AEPD parece buscar ese punto medio: permitir la transformación tecnológica, pero de forma controlada y alineada con el interés público”.
“No obstante, debemos ser realistas. El documento aclara que su alcance se limita a procesos internos y no supone una certificación de cumplimiento del Reglamento Europeo de IA. Esta distinción es jurídicamente correcta, pero el ciudadano rara vez distingue entre "uso interno" y "servicio externo" cuando interactúa con el Estado. Por tanto, aunque esta política no sea un estándar de control externo, sí establece un listón moral y técnico que eleva las expectativas sobre cómo deben actuar el resto de organismos, recalca este jurista.
En su opinión debe buscarse la uniformidad en las administraciones públicas en este terreno “el riesgo a evitar es una administración a dos velocidades. Mientras la AEPD avanza con una gobernanza sólida, otras entidades podrían caer en la tentación de implementar soluciones de IA generativa sin este rigor, o peor aún, renunciar a innovar por miedo a no cumplir con estándares tan altos”.
Para Antonio Serrano, “en conclusión, la iniciativa de la AEPD es un punto de partida valiente y necesario. Refuerza su capacidad tecnológica y legitima su autoridad para exigir cumplimiento a terceros. Pero el éxito final dependerá de nuestra capacidad para armonizar dos fuerzas opuestas: la innovación que nos impulsa hacia el futuro y la regulación que asegura que lleguemos a él con nuestros derechos intactos".