El Reglamento de IA para el sector público: deberes más pesados, EIDF obligatoria
Los organismos públicos afrontan la cara más dura del RIA: EIDF obligatoria (art. 27), exposición al anexo III, deber de registro y usos prohibidos.
Los organismos públicos se sitúan en la cara más dura del Reglamento de IA, Reglamento (UE) 2024/1689. Concentran los casos de uso de alto riesgo, afrontan deberes que los responsables del despliegue privados no tienen, y son los más expuestos a las prohibiciones de plano. Si operas IA en una administración, un organismo, un ayuntamiento o un cuerpo de servicio público, las obligaciones son reales y varias de ellas son obligatorias allí donde en otros sitios son meramente aconsejables.
La EIDF obligatoria (artículo 27)
La diferencia de cabecera: los responsables del despliegue que son organismos públicos o de servicio público de IA de alto riesgo deben realizar una evaluación de impacto sobre los derechos fundamentales (artículo 27) antes del primer uso. Para los empleadores privados una EIDF normalmente no es obligatoria; para el sector público sí lo es. La EIDF evalúa el impacto del sistema sobre los derechos fundamentales —no discriminación, debido proceso, protección de datos— y las medidas para mitigar el daño, y puede apoyarse en una EIPD del RGPD ya existente (artículo 27, apartado 4).
Fuerte exposición al anexo III
Los organismos públicos operan a la vez muchas de las categorías de alto riesgo del anexo III: acceso a servicios y prestaciones públicas esenciales (decisiones de elegibilidad), aplicación de la ley, migración, asilo y control fronterizo, administración de justicia y educación. Cada uso de alto riesgo trae los deberes de responsable del despliegue del artículo 26 —instrucciones, supervisión humana (artículo 14), conservación de registros, vigilancia— más la EIDF. La exposición es amplia, así que el trabajo de inventario importa aún más.
El deber de registro
A diferencia de la mayoría de los responsables del despliegue privados, las autoridades públicas (y los organismos que actúan en su nombre) deben registrar los sistemas de alto riesgo que usan en la base de datos de la UE conforme al artículo 49. Así que un responsable del despliegue público tiene un punto de contacto de registro que un responsable del despliegue privado normalmente no tiene.
Las tentaciones prohibidas
El sector público es donde varias prohibiciones del artículo 5 muerden con más fuerza, y deben evitarse de plano: la puntuación social (5, apartado 1, letra c)); la identificación biométrica remota en tiempo real en espacios públicos con fines de aplicación de la ley (5, apartado 1, letra h), excepciones acotadas); la vigilancia policial predictiva basada únicamente en la elaboración de perfiles (5, apartado 1, letra d)); y el rastreo no selectivo de imágenes faciales (5, apartado 1, letra e)). Estos no son de alto riesgo para documentar —están prohibidos, en vigor desde el 2 de febrero de 2025, en el nivel de 35 millones de euros o el 7 %.
Ejemplo práctico: una agencia municipal de prestaciones
Una agencia municipal usa IA para ayudar a evaluar la elegibilidad para prestaciones sociales —alto riesgo de servicios esenciales del anexo III. Como responsable del despliegue público debe ejecutar una EIDF del artículo 27 antes del uso, garantizar una supervisión humana genuina de modo que ninguna prestación se deniegue únicamente por la salida del sistema, registrar el sistema conforme al artículo 49 y conservar registros. También confirma que no está ni cerca de un uso de puntuación social, que estaría prohibido. El resultado es un programa real pero definido, anclado en la EIDF.
Cómo ayuda Confir
Confir clasifica cada uso de IA del sector público, señala la EIDF obligatoria del artículo 27 y el registro de responsable del despliegue público del artículo 49, ensambla los deberes del artículo 26 y prueba cada uso primero frente a las prohibiciones del artículo 5 —de modo que un uso prohibido se caza en lugar de documentarse. El motor es determinista y basado en reglas, con cada hallazgo citado.
Preguntas frecuentes
¿Es obligatoria una EIDF para el sector público?
Sí. Los responsables del despliegue que son organismos públicos o de servicio público de IA de alto riesgo deben realizar una evaluación de impacto sobre los derechos fundamentales conforme al artículo 27 antes del primer uso. Esto es obligatorio para el sector público, a diferencia de la mayoría de los empleadores privados, y puede apoyarse en una EIPD del RGPD ya existente conforme al artículo 27, apartado 4.
¿Qué categorías de alto riesgo afectan más a los organismos públicos?
Acceso a servicios y prestaciones públicas esenciales, aplicación de la ley, migración/asilo/control fronterizo, administración de justicia y educación —todas categorías del anexo III. Los organismos públicos a menudo operan varias a la vez, cada una con los deberes de responsable del despliegue del artículo 26 más la EIDF.
¿Tienen que registrar las autoridades públicas la IA que usan?
Sí. Las autoridades públicas y los organismos que actúan en su nombre deben registrar los sistemas de alto riesgo que despliegan en la base de datos de la UE conforme al artículo 49 —un deber que la mayoría de los responsables del despliegue privados no tienen, donde es el proveedor quien registra en su lugar.
¿Qué usos prohibidos debe evitar el sector público?
La puntuación social (artículo 5, apartado 1, letra c)), la identificación biométrica remota en tiempo real en espacios públicos con fines de aplicación de la ley (5, apartado 1, letra h)), la vigilancia policial predictiva basada únicamente en la elaboración de perfiles (5, apartado 1, letra d)) y el rastreo no selectivo de imágenes faciales (5, apartado 1, letra e)). Están prohibidos de plano desde el 2 de febrero de 2025, en el nivel de 35 millones de euros o el 7 %.
¿Cuándo aplican los deberes de alto riesgo?
El alto riesgo autónomo del anexo III se aplica desde el 2 de diciembre de 2027, fecha a la que lo aplaza el Ómnibus Digital, ya adoptado por el Parlamento y el Consejo y pendiente solo de publicación en el Diario Oficial (originalmente 2 de agosto de 2026). Las prohibiciones y la alfabetización en IA ya están en vigor. Planifica frente al 2 de diciembre de 2027 para el alto riesgo.
Guías relacionadas
- La EIDF conforme al artículo 27
- Casos de uso de alto riesgo del anexo III
- Prácticas prohibidas del artículo 5
- Registro en la base de datos de la UE
- Vigilancia policial predictiva: ¿prohibida o de alto riesgo?
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →