María Luisa García Torres Dra. en Derecho Procesal Jefe de estudios del área de Derecho Facultad Business & Tech La incorporación de la Inteligencia Artificial -en adelante, IA- a las Administraciones Públicas ya no pertenece al terreno de la hipótesis. Es una realidad cotidiana. Cada vez más organismos públicos utilizan sistemas algorítmicos para analizar información, detectar fraude, priorizar expedientes, distribuir recursos, gestionar ayudas o asistir a los empleados públicos en decisiones administrativas.
 |
||
| Maria Luisa Garcia, experta en derecho tic y proteccion de datos (Imagen cedida por la autora) | ||
El debate suscitado por Pathfinder, herramienta utilizada por la Agencia Estatal de Administración Tributaria en actuaciones inspectoras, demuestra que estas cuestiones han abandonado definitivamente la especulación académica. Su uso obliga a reforzar los mecanismos de transparencia, trazabilidad, supervisión y responsabilidad, cuando estas tecnologías participan, directa o indirectamente, en el ejercicio de potestades públicas.
Nadie discute que estas herramientas pueden mejorar la eficiencia, reducir tiempos de tramitación y optimizar recursos públicos. Pero la pregunta jurídicamente relevante es otra: ¿qué ocurre cuando un ciudadano resulta perjudicado por el funcionamiento de un sistema de IA utilizado por la Administración?
Quien ejerce potestades públicas debe responder por las consecuencias de su actuación. Sin embargo, el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA introduce una solución que merece una reflexión crítica: mientras establece un régimen sancionador intenso para los operadores privados, excluye la imposición de multas administrativas a las Administraciones Públicas cuando incumplen las obligaciones derivadas del Reglamento (UE) 2024/1689, conocido como Reglamento de Inteligencia Artificial -RIA-.
Lo que está en juego es la rendición de cuentas del poder público. La IA no altera los principios del Estado de Derecho ni convierte al algoritmo en sujeto autónomo. La responsabilidad continúa correspondiendo a quienes diseñan, desarrollan, implantan, adquieren o utilizan estos sistemas.
El Reglamento europeo construye un modelo basado en el riesgo y en la atribución de obligaciones a las personas físicas y jurídicas que intervienen en el ciclo de vida de los sistemas de IA. Cuanto mayor sea el impacto sobre derechos fundamentales, seguridad o intereses de las personas, mayores serán las exigencias de supervisión humana, calidad de datos, documentación técnica, trazabilidad, transparencia y gestión de riesgos.
Ahora bien, cuando ese esquema se traslada al ámbito público, aparecen singularidades decisivas. La Administración no actúa como un operador económico más. Ejerce potestades públicas, limita derechos, impone sanciones, liquida tributos, concede subvenciones, gestiona prestaciones sociales y autoriza actividades económicas. En definitiva, ejerce poder público. Y precisamente por ello cabría esperar, al menos, el mismo nivel de exigencia.
Proyecto de ley sin sanción
El Proyecto de Ley Orgánica diseña, en apariencia, un sistema completo de responsabilidades, pero revela una diferencia sustancial según el sujeto infractor. Para los operadores privados se prevé un auténtico régimen sancionador, con sanciones económicas relevantes. Sin embargo, cuando quien incumple es una Administración Pública, el modelo cambia radicalmente.
El Proyecto de Ley Orgánica no prevé multas administrativas; en su lugar, establece un sistema basado en la declaración formal de la infracción, el apercibimiento y la adopción de medidas correctoras destinadas a poner fin a la conducta infractora o reparar sus efectos.
Ello no significa que las Administraciones queden completamente exentas de responsabilidad. Continúan vigentes la responsabilidad patrimonial prevista en el art. 106.2 de la Constitución Española y en la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público; la eventual responsabilidad disciplinaria de los empleados públicos, prevista en el Estatuto Básico del Empleado Público; cuando proceda, las responsabilidades civiles o penales. Pero la existencia de estos mecanismos generales no equivale a un régimen administrativo sancionador específico en materia de IA. Esa ausencia constituye una de las principales debilidades del Proyecto de Ley Orgánica.
El art. 39 es el núcleo de esta opción legislativa. Cuando una entidad del sector público, un órgano constitucional o una institución análoga autonómica cometa alguna infracción, la autoridad competente dictará una resolución declarando la infracción, apercibiendo a la entidad responsable y estableciendo, en su caso, medidas correctoras. El propio precepto excluye expresamente las multas administrativas, al amparo del art. 99.8 del Reglamento europeo. Nos encontramos, por tanto, ante un régimen esencialmente corrector para el sector público y ante un régimen verdaderamente sancionador para el sector privado.
Es cierto que el RIA, en su art. 99.8, no impone necesariamente la aplicación de multas administrativas a las autoridades y organismos públicos, sino que deja en manos de los Estados miembros la determinación de hasta qué punto pueden imponerse. Pero esa habilitación para modular el régimen sancionador del sector público no equivale a una obligación de excluirlo. España podía haber optado por un sistema específico, adaptado a las singularidades institucionales de las Administraciones Públicas, sin renunciar por completo a consecuencias sancionadoras efectivas. El Proyecto de Ley Orgánica rompe una regla clásica del Derecho Administrativo: la intensidad de los mecanismos de responsabilidad debería crecer al mismo ritmo que aumenta el poder público.
Frente a esta crítica podría sostenerse que la ciudadanía continúa protegida a través de la responsabilidad patrimonial de la Administración Pública. Cuando un ciudadano sufra un daño antijurídico imputable al funcionamiento normal o anormal de los servicios públicos, la Administración deberá indemnizarlo si concurren los requisitos legalmente establecidos. Pero trasladar esta garantía al ámbito de la IA exige importantes matizaciones.
La responsabilidad patrimonial es un mecanismo esencialmente reactivo. Actúa cuando el daño ya se ha producido y obliga al perjudicado a acreditar los presupuestos necesarios para obtener una indemnización. Y ahí aparece uno de los grandes problemas de la IA aplicada al sector público: el nexo causal. No basta con demostrar que el ciudadano ha sufrido un perjuicio. Debe acreditarse que ese daño trae causa del funcionamiento concreto del sistema de IA. Hay que probar que el algoritmo condicionó la decisión administrativa; que el modelo incorporaba un sesgo; que determinados datos fueron incorrectamente ponderados o; que una versión concreta del sistema estaba operativa al adoptarse la resolución.
Problemas con los algoritmos
La dificultad es evidente: ¿cómo puede un ciudadano reconstruir el proceso seguido por un sistema algorítmico? ¿Cómo acceder a los registros técnicos que permitan comprender lo ocurrido? En muchas ocasiones, esa información se encuentra exclusivamente en poder de la Administración o del proveedor tecnológico. Se produce así una profunda asimetría informativa, probatoria y digital: la Administración conoce el funcionamiento del sistema; el ciudadano solo conoce el resultado y no dispone de los logs, metadatos, versiones del sistema, parámetros de configuración o registros de intervención humana necesarios para reconstruir lo ocurrido.
Sin mecanismos específicos de preservación, acceso y trazabilidad de esa evidencia digital, la responsabilidad patrimonial puede quedar reducida a una garantía formalmente existente, pero materialmente ineficaz. Cuanto más complejo resulte acreditar el nexo causal, mayor debería ser la intensidad de los mecanismos administrativos destinados a prevenir y sancionar los incumplimientos. Sin embargo, la norma sigue la lógica inversa.
Tampoco el régimen disciplinario resuelve el problema. Es cierto que los empleados públicos pueden responder disciplinariamente cuando concurran sus presupuestos. Pero esa responsabilidad sanciona la conducta individual de una persona, no la rendición de cuentas institucional de la organización que decide implantar, contratar, utilizar o mantener un sistema de IA. Confundir ambos planos supone desplazar el foco desde la responsabilidad de la Administración hacia la del empleado.
Hay quienes podrían justificar la ausencia de multas argumentando que el ciudadano conserva la posibilidad de instar la nulidad de cualquier acto administrativo apoyado en un algoritmo defectuoso. Pero la nulidad de pleno derecho es un remedio tardío y reactivo: repara el daño individual a posteriori, pero no castiga la negligencia institucional ni frena el impacto sistémico de un software sesgado, que sigue aplicándose masivamente mientras el ciudadano pleitea.
A nuestro entender, también resulta poco convincente el argumento según el cual imponer multas a las Administraciones carece de sentido porque la carga económica recaería, en último término, sobre el erario público. La potestad sancionadora no tiene una finalidad meramente recaudatoria, sino principalmente preventiva: evitar incumplimientos, reforzar la cultura de cumplimiento normativo y garantizar la efectividad de la ley.
Un debate necesario
Por otra parte, el debate no tendría por qué plantearse únicamente en términos de sanciones económicas. Podría articularse un catálogo de sanciones administrativas de alto impacto institucional, como la prohibición temporal de uso del sistema de IA infractor, la publicación obligatoria de un registro de Administraciones incumplidoras o la obligación de financiar auditorías externas e independientes con cargo a partidas de libre disposición de los órganos responsables.
Ahora bien, estas medidas podrían terminar perjudicando indirectamente a la ciudadanía. La prohibición temporal de uso de un sistema de IA infractor, por ejemplo, podría paralizar servicios públicos esenciales, retrasar expedientes o dificultar la gestión de prestaciones, ayudas o procedimientos masivos. Por ello, esas consecuencias no deberían aplicarse de forma automática, sino conforme a criterios de proporcionalidad, previa valoración de su impacto sobre el servicio público y con medidas transitorias que garanticen la continuidad administrativa.
Pero precisamente por eso el problema no está en prever consecuencias jurídicas relevantes, sino en diseñarlas adecuadamente. Un régimen eficaz debe ser capaz de corregir el incumplimiento sin comprometer la continuidad del servicio público, pero también de generar incentivos reales dentro de la organización administrativa. Convertir el cumplimiento normativo en una prioridad institucional exige algo más que declaraciones formales y apercibimientos. Exige un sistema de responsabilidad suficientemente intenso para que la gobernanza de la IA no quede reducida a un discurso.
La transformación digital de la Administración no puede producirse a costa de debilitar las garantías clásicas del Derecho Administrativo. Al contrario, cuanto mayor sea la capacidad tecnológica del poder público, mayor debe ser también la intensidad de sus mecanismos de control.
La tramitación parlamentaria del Proyecto de Ley Orgánica ofrece todavía una oportunidad para corregir este desequilibrio. Las singularidades del sector público pueden justificar soluciones específicas, pero no vaciar el principio de responsabilidad institucional.
Esta cuestión será aún más relevante con la evolución hacia modelos de IA agéntica, capaces de intervenir con mayor intensidad en la actividad administrativa. Por ello, diseñar hoy un régimen de responsabilidad pensado solo para la IA actual puede resultar insuficiente para afrontar la Administración algorítmica de la próxima década.
La verdadera confianza ciudadana no dependerá de la sofisticación tecnológica de los algoritmos, sino de la certeza de que, cuando incumplan la ley, discriminen, produzcan daños o afecten a derechos, existirán instrumentos eficaces para exigir responsabilidades. La cuestión no es si la Administración puede utilizar IA, sino bajo qué condiciones, con qué controles y con qué consecuencias cuando incumpla.