La conformidad de los sistemas de información territoriales ya no se juega únicamente en el terreno del RGPD. La entrada en aplicación progresiva del reglamento europeo sobre la inteligencia artificial, combinada con el endurecimiento de los requisitos de la CNIL sobre el derecho al olvido y la trazabilidad de los tratamientos, redefine las obligaciones de las entidades que despliegan servicios digitales, portales ciudadanos o componentes de IA en sus software profesionales.
Norma ISO/IEC 42001 y gobernanza de la IA territorial
La norma ISO/IEC 42001, publicada en diciembre de 2023, sigue siendo poco aprovechada por las direcciones de sistemas de información (DSI) territoriales. Sin embargo, proporciona un marco de gestión directamente operativo para cualquier organismo que desarrolle o utilice sistemas de inteligencia artificial.
Su arquitectura se basa en una lógica de mejora continua: análisis de riesgos e impactos, documentación de modelos, supervisión en producción, transparencia hacia las personas afectadas y control de la calidad de los datos de entrenamiento. Para una intercomunalidad que integra un motor de clasificación automática de solicitudes de usuarios o una herramienta predictiva de mantenimiento de edificios, esta norma estructura lo que a menudo son iniciativas aisladas dentro de las direcciones profesionales.
La CNIL la destaca como un medio de preparación para las futuras normas armonizadas del reglamento europeo sobre la IA. Recomendamos a las entidades comprometidas en proyectos de IA que cartografíen desde ahora sus tratamientos algorítmicos y los confronten con los requisitos de la ISO/IEC 42001, antes de que la presión regulatoria transforme esta buena práctica en una obligación de hecho.
Para seguir la evolución de estos temas a lo largo de los meses, las novedades de Collectivité Numérique constituyen un punto de entrada regular sobre las evoluciones regulatorias y técnicas que afectan a los territorios.
Derecho al olvido en las arquitecturas multi-software de las entidades
El derecho al olvido no es un tema teórico para las entidades que interconectan varios software profesionales. La trazabilidad de los datos personales a lo largo de toda la cadena de aplicaciones se convierte en un criterio de auditoría en sí mismo.
La CNIL recordó en 2026, en el marco de una sanción relacionada con el incumplimiento de este derecho, que los organismos deben ser capaces de tratar efectivamente las solicitudes de las personas y asegurar su trazabilidad. El problema, en una entidad de tamaño intermedio, es la dispersión de los datos entre el software de gestión de relaciones con ciudadanos (GRC), la plataforma de desmaterialización de mercados, el sistema de información geográfica (SIG) y los posibles herramientas de IA desplegadas como capa adicional.
Un agente que recibe una solicitud de olvido debe identificar todos los sistemas involucrados, verificar las bases legales de conservación propias de cada tratamiento, y luego documentar la ejecución o el rechazo motivado. Sin una cartografía actualizada de los flujos de datos y sin un procedimiento formalizado, la entidad se expone a un riesgo creciente de sanción.
- Mantener un registro de tratamientos que identifique explícitamente las interconexiones entre software y los proveedores involucrados en cada flujo de datos personales.
- Definir un circuito de tratamiento de las solicitudes de ejercicio de derechos con plazos internos inferiores al plazo regulatorio, para absorber la complejidad técnica sin exceder el mes legal.
- Probar el procedimiento de olvido al menos una vez al año sobre un caso ficticio, verificando que cada componente de la aplicación ha eliminado o anonimizado correctamente los datos correspondientes.
Seguridad de los servicios digitales y portales ciudadanos: integrar la protección desde el diseño
La seguridad desde el diseño ya no es una recomendación, es una exigencia operativa. La presión regulatoria sobre la seguridad de los datos se intensifica, y las entidades que despliegan portales ciudadanos o servicios digitales deben integrar la trazabilidad y la protección desde la fase de diseño.
Concretamente, esto significa que el pliego de condiciones de un portal familiar o de una plataforma de reporte debe incluir requisitos de cifrado de datos en tránsito y en reposo, de registro de accesos, y de aislamiento de los entornos de producción y prueba. Demasiadas entidades descubren estas restricciones después de la puesta en marcha, cuando el proveedor ha entregado una solución cuya arquitectura hace que el aislamiento sea costoso de implementar.
Verificaciones a exigir al elegir un editor
Observamos que las entidades a menudo subestiman la fase de selección del editor en favor de la negociación de precios. Los siguientes puntos merecen una atención especial al redactar el pliego de condiciones:
- La capacidad del editor para proporcionar un plan de respuesta a incidentes documentado, con compromisos de notificación en plazos compatibles con las obligaciones del RGPD.
- La existencia de auditorías de seguridad independientes sobre la solución, y la posibilidad para la entidad de encargar su propia auditoría.
- La portabilidad de los datos en caso de cambio de proveedor, incluyendo los formatos de exportación y los plazos de restitución contractuales.
- La localización de los datos y el régimen jurídico aplicable, especialmente para las soluciones que dependen de infraestructuras en la nube extraeuropeas.
Conformidad IA más allá del RGPD: documentación y transparencia
La CNIL recomienda ahora documentar los impactos y riesgos de los sistemas de IA, informar a las personas afectadas y prever modalidades adecuadas para el ejercicio de sus derechos. La conformidad de un proyecto de IA territorial se juega en tres registros simultáneos: el RGPD para los datos personales, el reglamento europeo sobre la IA para la clasificación de riesgos y las obligaciones de transparencia, y el derecho administrativo para la motivación de decisiones individuales.
Para una entidad que utiliza un algoritmo de ayuda a la decisión (asignación de plazas en guarderías, priorización de solicitudes de vivienda social), la documentación del modelo y de sus posibles sesgos debe ser accesible no solo a los agentes, sino también a los administrados. La ausencia de esta documentación debilita jurídicamente cualquier decisión impugnada.
El marco normativo evoluciona rápidamente. Las entidades que esperan la publicación de textos definitivos para actuar acumulan una deuda de conformidad que será más costosa de saldar que de prevenir. Anticipar la conformidad reduce el costo global del proyecto de IA y asegura los usos ya desplegados.
