¿Qué es la regulación de la IA en el sector público y el gobierno?
Regulación de la IA: sectores y ámbitos
La regulación de la IA en el sector público y el gobierno es el conjunto de derecho público, derechos humanos, protección de datos, normas de contratación, regulación sectorial y obligaciones específicas de IA más recientes que controla cómo los organismos estatales adquieren, desarrollan, despliegan y revisan la IA. Su importancia es mayor cuando la IA afecta a prestaciones, permisos, apoyo policial, migración, justicia u otras decisiones sobre personas. Las principales pruebas son la legalidad, la equidad, la transparencia, la explicabilidad, la supervisión humana, los derechos de impugnación, la auditabilidad y la responsabilidad de los proveedores.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Rara vez existe una "ley de IA para el gobierno" que lo abarque todo. En la práctica, las autoridades públicas se encuentran dentro de un entramado de derecho administrativo, obligaciones de igualdad, normas de privacidad, derecho de contratación, normas de registros y auditoría, y a veces regímenes específicos de IA como el EU AI Act o directivas para el sector público.
Ese entramado es más estricto que el despliegue ordinario en el sector privado, porque el Estado puede conceder o denegar dinero, licencias, entrada, libertad, escrutinio oficial o acceso a servicios esenciales. Incluso una herramienta que solo puntúa, clasifica, resume o prioriza puede cambiar el trato que un organismo da a una persona, por lo que los reguladores se preocupan por la evidencia, los motivos, la revisión y las vías de impugnación.
Cuando el gobierno adquiere IA de un proveedor, el contrato es solo una capa. El organismo público sigue teniendo que demostrar que el uso es lícito, proporcionado, gobernable en la práctica y susceptible de ser suspendido o retirado si los riesgos se vuelven inaceptables.
Por qué importa
La IA en el sector público es el ámbito donde una gobernanza débil se convierte muy rápidamente en riesgo legal, político y operativo. Un modelo que condiciona una decisión sobre prestaciones, señala un caso de visado, prioriza la atención policial o filtra una respuesta de contratación puede afectar a derechos, dignidad, igualdad, privacidad y acceso a servicios públicos básicos. Dado que las decisiones gubernamentales pueden recurrirse, auditarse, impugnarse ante los tribunales o ser investigadas por reguladores, los organismos públicos necesitan pruebas más sólidas que "la herramienta funciona bien en promedio".
Esto también importa para proveedores y asesores. En el ámbito gubernamental, los fallos más graves suelen comenzar antes del despliegue: sin base legal clara, sin evidencia sobre los datos de entrenamiento, sin forma de probar un modelo de proveedor en condiciones locales, sin derecho contractual a inspeccionar cambios, sin explicación utilizable para las personas afectadas, o sin proceso de revisión humana cuando el sistema se equivoca. Un organismo público no puede externalizar esas obligaciones simplemente comprando software.
La cuestión práctica en juego es la legitimidad. Si un organismo no puede explicar para qué sirve la herramienta, qué influye, quién asume el riesgo y cómo puede una persona impugnar su uso, el problema no es solo técnico. Es un fallo de gobernanza.
Cómo funciona
La mayoría de las obligaciones provienen del marco de derecho público
La IA en el sector público se rige habitualmente, en primer lugar, por el derecho ordinario, no por un código de IA independiente. Un ministerio, agencia, regulador, cuerpo policial o autoridad local sigue necesitando habilitación legal para la tarea, una finalidad adecuada, un procedimiento justo, no discriminación, tratamiento lícito de datos personales, llevanza adecuada de registros y cumplimiento de las normas sectoriales que ya regulan el bienestar, la educación, la salud, la migración, la fiscalidad, la policía o la justicia. La IA cambia cómo se aplican estas obligaciones; no las elimina.
Este punto es fácil de pasar por alto cuando el sistema se describe como "apoyo a la decisión" en lugar de "automatización". En muchos modelos del sector público, la ley se aplica incluso cuando una persona sigue interviniendo. Si la herramienta condiciona materialmente el juicio al clasificar casos, generar puntuaciones de riesgo, producir resúmenes, recomendar acciones o filtrar quién recibe mayor escrutinio, puede seguir estando dentro del ámbito del derecho administrativo, el derecho a la privacidad, el derecho a la igualdad o un régimen específico de IA para el sector público.
Por eso el mismo sistema puede enfrentarse a un escrutinio muy diferente según el uso. Un asistente interno de redacción para tareas administrativas de bajo riesgo puede generar principalmente cuestiones de seguridad, confidencialidad y registros. El mismo modelo subyacente, si se utiliza para clasificar casos de vivienda, señalar fraudes en prestaciones, recomendar la denegación de un visado o dirigir la atención policial, entra en una zona mucho más estricta donde la legalidad, la explicación y los derechos de impugnación son fundamentales.
Los instrumentos internacionales y regionales están marcando la dirección
No existe una ley global única para la IA en el gobierno, pero sí existe ya una arquitectura internacional reconocible. La Recomendación de la OECD sobre IA no es un estatuto, pero se ha convertido en una base de política duradera. Enmarca la IA confiable en torno a los derechos humanos y los valores democráticos, la transparencia y la explicabilidad, la solidez, la seguridad y la responsabilidad, e impulsa a los gobiernos hacia una gobernanza interoperable en lugar de reglamentos nacionales aislados.
El Convenio Marco del Council of Europe va más lejos para los estados que lo firman y ratifican. Es un marco de tratado jurídicamente vinculante, está abierto más allá de Europa, y en junio de 2026 la UE figura como Parte, mientras que los signatarios incluyen el Reino Unido, Canadá, Israel, Japón, Estados Unidos y Uruguay. Para el uso en el sector público, su importancia es práctica: cubre a las autoridades públicas, incluidos los actores privados que actúan en su nombre, y exige principios, salvaguardias, evaluación iterativa de riesgos e impacto, notificación, acceso a la información necesaria para impugnar decisiones y vías de reclamación ante autoridades competentes. El efecto jurídico interno sigue dependiendo de los pasos de cada estado en materia de tratados y de la vía de implementación.
El EU AI Act añade el derecho público transectorial más detallado para el despliegue de IA actualmente en vigor. Para los contextos gubernamentales y de servicios públicos, su estructura de alto riesgo es la más relevante. La orientación oficial de la UE identifica casos de uso de alto riesgo en áreas sensibles como servicios públicos y privados esenciales, aplicación de la ley, migración, justicia, biometría, educación y empleo. Los proveedores deben cumplir requisitos exhaustivos, entre ellos gestión de riesgos, documentación, transparencia, supervisión humana y registro. Los desplegadores que sean autoridades públicas, u operadores privados que presten servicios públicos, también deben realizar una evaluación de impacto sobre los derechos fundamentales antes del primer uso. En junio de 2026, la ley está en vigor y algunas disposiciones ya se aplican, pero partes del calendario de implementación para las obligaciones de alto riesgo seguían bajo revisión activa a nivel de la UE porque el trabajo de normalización y la creación de autoridades iban con retraso. Esto significa que los organismos públicos deben seguir el calendario de implementación en tiempo real, no solo el texto principal.
La evaluación de impacto es el control de acceso
En todas las jurisdicciones, el principal punto de control no es un formulario único, sino un conjunto de revisiones. Según el uso, un organismo público puede necesitar una evaluación de impacto de la IA, una evaluación de impacto sobre la protección de datos, una revisión de igualdad o derechos humanos, una evaluación de seguridad y un análisis jurídico sectorial específico. Estas herramientas responden a preguntas distintas. Una DPIA se centra en el riesgo para los datos personales. Una revisión de derechos pregunta qué hace el sistema con la legalidad, la equidad, la no discriminación, los derechos procedimentales y el acceso a recursos. Una evaluación de seguridad pregunta si el sistema es fiable y defendible. Ninguna sustituye a las demás.
Canadá ofrece uno de los modelos más claros para el sector público. Su Directiva sobre toma de decisiones automatizada se aplica a los departamentos federales que utilizan sistemas automatizados para automatizar total o parcialmente decisiones administrativas, incluidos los sistemas que apoyan a los funcionarios en lugar de sustituirlos por completo. La Evaluación de Impacto Algorítmico obligatoria puntúa el caso de uso, asigna un nivel de impacto y escala las salvaguardias. La orientación relacionada muestra lo amplio que es el concepto: las decisiones sobre permisos, prestaciones, admisibilidad, selección de personal, investigaciones y focalización biométrica pueden entrar en el ámbito de aplicación cuando el sistema asiste al juicio. Para los sistemas de mayor impacto, se aplican obligaciones de revisión por pares y publicación antes del uso en producción.
El modelo federal de Estados Unidos funciona ahora de manera similar, con la evidencia como punto de partida. En virtud del Memorando OMB M-25-21, las agencias deben clasificar los usos de IA de "alto impacto", completar una evaluación de impacto de la IA antes del despliegue, actualizarla con el tiempo, realizar pruebas previas al despliegue, supervisar los efectos adversos, formar a los operadores humanos, proporcionar una supervisión humana adecuada y mantener una vía de apelación o recurso cuando corresponda. El memorando también exige un proceso escrito de aceptación de riesgos, revisión independiente de la evaluación y resúmenes públicos de las exenciones cuando las agencias se apartan de las prácticas mínimas.
El punto operativo importante es que estas evaluaciones generan evidencia. Registran la finalidad prevista, la base legal, las fuentes de datos, los efectos previsibles, las medidas de mitigación, los calendarios de revisión, la aprobación de la dirección y el punto en el que la organización debe ralentizar o detener el proceso. Esa evidencia es lo que respalda la aprobación interna, la contratación, la auditoría, la rendición de cuentas pública y la defensa si el uso es impugnado posteriormente.
La contratación no traslada la responsabilidad al proveedor
Los organismos públicos suelen comprar IA en lugar de desarrollarla. Eso no traslada la responsabilidad al proveedor. El organismo sigue siendo titular del riesgo de derecho público porque es él quien utiliza la herramienta para afectar a personas, gastar dinero público o ejercer funciones estatutarias.
Por eso la contratación forma parte de la regulación en la práctica. Los compradores deben preguntarse si el caso de uso es lícito antes de adquirir nada, si el proveedor puede aportar documentación suficiente para la evaluación de riesgos y la explicación, y si el contrato preserva la capacidad del organismo para probar, supervisar, impugnar y abandonar el sistema. El contrato debe cubrir más que el precio y los niveles de servicio. Debe abordar la procedencia de los datos, los derechos de propiedad intelectual, los límites al uso de datos gubernamentales no públicos para el entrenamiento de modelos, el control de cambios, la notificación de incidentes, el acceso a auditorías, los derechos a información sobre el rendimiento, la portabilidad de datos y modelos cuando proceda, y el apoyo para la retirada o migración del sistema.
La orientación reciente sobre adquisiciones federales de EE. UU. es explícita en este punto. Se indica a las agencias que involucren a un equipo multifuncional, identifiquen los usos de alto impacto previsibles durante la planificación de la contratación, exijan cláusulas que respalden el cumplimiento de las obligaciones federales de gestión de riesgos, se protejan frente a la dependencia del proveedor y preserven los derechos de prueba y supervisión. La orientación de contratación del Reino Unido adopta la misma línea práctica. Indica a los equipos comerciales que pregunten cuándo los proveedores han utilizado IA en la licitación o la prestación de servicios, realicen una diligencia debida proporcionada y consideren cláusulas contractuales que impidan que los datos sensibles del organismo se reutilicen para el entrenamiento de modelos salvo que el organismo lo haya acordado expresamente.
Este es uno de los ámbitos donde la regulación de la IA gubernamental se malinterpreta con más frecuencia. La orientación sobre contratación no es simplemente una gestión comercial rutinaria. Es una de las principales vías por las que un organismo público mantiene el control legal de un sistema adquirido tras su puesta en marcha.
La transparencia, la explicación y los derechos de impugnación deben incorporarse desde el diseño
La transparencia en la IA gubernamental trata generalmente de una rendición de cuentas significativa, no de publicar todo el código fuente. Las personas necesitan saber lo suficiente para entender qué hace la herramienta, por qué se utiliza, qué papel desempeña en una decisión, cuáles son sus límites y cómo puede una persona plantear sus preocupaciones o solicitar una revisión. En algunos contextos, la ley también exige notificar a la persona que está interactuando con IA en lugar de con un ser humano.
El Estándar de Registro de Transparencia Algorítmica del Reino Unido es un buen ejemplo de transparencia operativa en lugar de principio abstracto. Exige que los departamentos gubernamentales, y determinados organismos a distancia, publiquen información sobre las herramientas algorítmicas en el ámbito de aplicación que influyen significativamente en decisiones con efecto público o interactúan directamente con el público. El objetivo no es publicar el código fuente. Es crear un registro público estándar de finalidad, uso, titularidad, datos, vías de revisión, límites y responsables, y hacer que los proveedores sean conscientes de que existen estas obligaciones de transparencia.
El EU AI Act también eleva el listón. Los desplegadores de autoridades públicas de ciertos sistemas de alto riesgo pueden necesitar registrarlos, informar a las personas afectadas cuando un sistema de alto riesgo asiste en decisiones sobre ellas, y estar preparados para proporcionar una explicación clara y significativa cuando la decisión tenga efectos jurídicos. El convenio del Council of Europe refuerza la misma lógica mediante documentación, vías de reclamación y garantías procedimentales.
Una regla práctica útil es la siguiente: si un organismo público tendría dificultades para explicar la herramienta a un auditor, juez, defensor del pueblo, cargo electo o persona afectada, probablemente tiene un problema de gobernanza, no solo de comunicación.
La gobernanza continúa tras el lanzamiento
La regulación de la IA en el sector público no se detiene en la aprobación. La mayor parte del trabajo serio comienza tras el lanzamiento. Los sistemas derivan, los datos cambian, el personal de primera línea adapta su comportamiento en torno a la herramienta, los proveedores actualizan los modelos, y un uso que parecía limitado puede convertirse silenciosamente en algo central para la toma de decisiones. Por eso son importantes los inventarios, los responsables sénior designados, la formación, la escalada de incidentes, las pruebas repetidas y la revisión periódica.
El Marco de Gestión de Riesgos de IA de NIST es útil aquí porque proporciona una estructura operativa duradera en lugar de un reglamento jurídico. Sus funciones principales, gobernar, mapear, medir y gestionar, son una forma práctica de organizar la evidencia y los controles en el sector público. También hace hincapié en características especialmente importantes para el uso gubernamental: validez, fiabilidad, transparencia, explicabilidad, privacidad, equidad y responsabilidad. Para la IA generativa, el perfil complementario de NIST añade cuestiones a las que las autoridades públicas se enfrentan cada vez más en el trabajo cotidiano, como la procedencia del contenido, las pruebas previas al despliegue, la divulgación de incidentes y los riesgos derivados de servicios de terceros y adquisiciones.
Varios regímenes del sector público reflejan ahora este enfoque de ciclo de vida. Canadá combina la puntuación de impacto con la revisión por pares y la presentación de informes. Las agencias federales de EE. UU. deben nombrar Directores de IA y mantener prácticas mínimas para los usos de alto impacto. La UE está construyendo estructuras de autoridad en torno a la Oficina de IA, las autoridades nacionales de vigilancia del mercado y los canales de reclamación. En todos estos ejemplos, el patrón es el mismo: inventariar el sistema, asignar titularidad, probar antes del uso, supervisar durante el uso, conservar evidencia y retirar el sistema de forma segura cuando la herramienta ya no sea lícita, fiable o necesaria.
Ejemplos
Un departamento federal canadiense que introduce una herramienta automatizada para revisar prestaciones, permisos, casos de admisibilidad o expedientes de selección de personal no puede tratarla como un cambio informático menor si la herramienta automatiza total o parcialmente una decisión administrativa. La Directiva sobre toma de decisiones automatizada exige una Evaluación de Impacto Algorítmico, controles escalonados según el nivel de impacto y, para los usos de mayor impacto, revisión por pares con publicación antes del uso en producción. El mismo régimen exige transparencia, recursos y presentación de informes públicos.
En la UE, una autoridad pública que utiliza IA para ayudar a decidir el acceso a un servicio público esencial o una prestación se encuentra en una categoría que la orientación oficial de la Comisión trata como potencialmente de alto riesgo. Esto conlleva obligaciones del proveedor, como gestión de riesgos, documentación y supervisión humana, así como obligaciones del desplegador. Si el desplegador es una autoridad pública, o un operador privado que presta servicios públicos, debe realizar una evaluación de impacto sobre los derechos fundamentales antes del primer uso y estar preparado para informar y explicar cuando la ley lo exija.
Una autoridad contratante del Reino Unido que adquiere una plataforma de videoconferencia no puede asumir que es software ordinario si funciones como la transcripción o la traducción en tiempo real dependen de IA generativa. La orientación de contratación vigente indica que los compradores deben considerar pedir a los proveedores que divulguen el uso de IA, realizar una diligencia debida proporcionada y dejar claro en las cláusulas contractuales que los datos capturados en el servicio no se reutilizan para el entrenamiento de modelos salvo que el organismo lo haya acordado expresamente por escrito. Si la herramienta adquirida tiene posteriormente una influencia significativa en una decisión con efecto público, también pueden surgir obligaciones de transparencia a través del Estándar de Registro de Transparencia Algorítmica.
Malentendidos frecuentes
"Los humanos siguen en el proceso, así que la IA no está regulada." No necesariamente. Muchas normas del sector público cubren herramientas que asisten o influyen materialmente en el juicio, no solo la automatización completa.
"Solo cuenta el aprendizaje automático." No en la mayoría de los modelos del sector público. Las herramientas basadas en reglas, estadísticas y otras herramientas automatizadas también pueden estar en el ámbito de aplicación cuando sustituyen o condicionan el juicio en procesos administrativos.
"Si lo construyó un proveedor, el proveedor asume el riesgo legal." El proveedor tiene obligaciones contractuales y de producto, pero el organismo público sigue siendo titular de la legalidad de su uso, sus motivos, sus registros, su vía de revisión y su responsabilidad ante las personas afectadas.
"Transparencia significa publicar el código fuente." Generalmente significa información significativa sobre la finalidad, el papel en la decisión, las categorías de datos, los límites, la titularidad y las vías de impugnación. La divulgación completa del código no es el requisito habitual.
"La revisión de privacidad es suficiente." La privacidad es solo una parte del panorama. La IA en el sector público también plantea cuestiones de legalidad, igualdad, equidad procesal, explicabilidad, contratación, seguridad y derecho sectorial.
Riesgos y límites
Los casos más difíciles no son la automatización rutinaria de tareas administrativas internas. Son los sistemas que clasifican, puntúan, categorizan, predicen o recomiendan acciones sobre personas o grupos identificables. Ahí es donde la IA en el sector público intersecta más claramente con los derechos, los motivos, los recursos y la rendición de cuentas democrática.
Este entramado también tiene límites. No sustituye al derecho sectorial específico, y no significa que todo uso interno de IA deba tratarse como si estuviera decidiendo sobre prestaciones o actuaciones policiales. Los equipos a veces sobrerregulan herramientas de redacción inofensivas y subrregulan herramientas de apoyo a la decisión porque un humano sigue haciendo clic en el botón final. Ambos errores son costosos.
También existe incertidumbre jurídica activa en algunos ámbitos. En la UE, el AI Act está en vigor, pero la orientación detallada y partes del calendario para las obligaciones de alto riesgo seguían bajo revisión activa de implementación en junio de 2026. El convenio del Council of Europe es un marco de tratado importante, pero su efecto interno depende de la firma, la ratificación y la implementación nacional. Fuera de los regímenes con instrumentos específicos para el sector público, muchos países siguen regulando la IA gubernamental principalmente a través del derecho público, la privacidad, la contratación y las normas cibernéticas existentes, en lugar de una ley exclusiva de IA.
Por último, la contratación pública no puede legalizar un caso de uso ilícito o desproporcionado. Un contrato bien redactado ayuda, pero no puede subsanar la ausencia de base legal, una revisión de derechos deficiente o un sistema que el organismo no puede explicar ni supervisar de forma realista.
Qué hacer a continuación
Comience con un inventario de todas las herramientas de IA o algorítmicas que puedan afectar a una persona, un pago, un permiso, una prestación, una inspección, el escrutinio oficial o el acceso a un servicio público. Para cada uso, registre la base legal, el punto de decisión, el proveedor, los datos utilizados, el papel humano, el efecto público y si se necesita una DPIA, una revisión de derechos, una revisión de igualdad, una evaluación de seguridad o una evaluación de impacto de la IA.
A continuación, alinee la contratación y las operaciones. Antes de adquirir, exija evidencia sobre los datos de entrenamiento y la documentación, el acceso a pruebas, las afirmaciones sobre el rendimiento, las cláusulas de control de cambios, los límites de uso de datos, la notificación de incidentes y los derechos de salida. Antes del lanzamiento, asigne un responsable sénior designado, establezca la vía de revisión humana, decida qué debe publicarse y cree una vía para reclamaciones y reevaluación.
Tras el lanzamiento, supervise la deriva, los cambios de contexto, los patrones de error desiguales, las soluciones alternativas del personal y las actualizaciones del proveedor. Si la herramienta no puede explicarse, impugnarse o gobernarse de forma segura en el entorno real, suspéndala. En la administración pública, detener un sistema deficiente es a menudo una señal de buena gobernanza, no de fracaso.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Existe una ley global única para la IA en el gobierno?
No. La mayoría de los países utilizan un conjunto de derecho público, privacidad, igualdad, contratación y normas sectoriales, y algunos añaden obligaciones específicas de IA. El resultado es un entramado en lugar de un código universal único.
¿La regulación de la IA en el sector público se aplica solo a las decisiones totalmente automatizadas?
Generalmente no. Si una herramienta puntúa, clasifica, resume, prioriza o recomienda de una manera que condiciona materialmente una decisión, puede seguir estando en el ámbito de aplicación.
¿Es suficiente una DPIA por sí sola?
A menudo no. Una DPIA cubre el riesgo para los datos personales. Las autoridades públicas también pueden necesitar una revisión de legalidad, equidad, igualdad, seguridad, contratación y derechos procedimentales.
¿Cuándo es más importante una revisión de derechos independiente?
Cuando la IA puede afectar significativamente a derechos, libertad, acceso a servicios esenciales, prestaciones públicas, situación migratoria, justicia, atención policial o escrutinio oficial. En la UE, parte de esto está formalizado a través de la evaluación de impacto sobre los derechos fundamentales para determinados desplegadores.
¿Puede un comprador gubernamental confiar en el paquete de garantías de un proveedor?
Los materiales del proveedor ayudan, pero no sustituyen las obligaciones propias del organismo. El comprador sigue necesitando evidencia de que el uso local concreto es lícito, verificable, explicable y gobernable.
¿Están exentos los usos policiales y de seguridad nacional?
No automáticamente. Algunos regímenes contienen excepciones o tratamientos especiales, pero estos suelen ser los usos más sensibles y pueden estar sujetos a controles estatutarios más estrictos, autorización independiente o vías de gobernanza separadas.
¿Qué debe publicar un organismo público sobre su uso de la IA?
Información suficiente para la rendición de cuentas: finalidad, papel en la decisión, categorías de datos, papel del proveedor, supervisión humana, límites, responsable y vías de revisión o reclamación cuando corresponda. La divulgación completa del código fuente rara vez es el requisito por defecto.
¿Las herramientas internas de IA generativa de bajo riesgo activan el mismo nivel de control?
Generalmente no. Pero siguen planteando cuestiones de confidencialidad, exactitud, registros, seguridad y contratación, y pueden pasar a una categoría de mayor riesgo si el personal empieza a depender de ellas en decisiones sobre personas.