Soberanía del dato, servidores en la UE y el nuevo Reglamento de IA: qué cambia para tu ayuntamiento

La inteligencia artificial ya ha entrado en las secretarías e intervenciones municipales: redacción de informes, búsqueda normativa, atención al ciudadano. Antes de adoptar una herramienta, conviene hacerse una pregunta que rara vez aparece en la demostración: ¿dónde se procesan los datos del ayuntamiento y bajo qué leyes quedan?

1. Hay un reglamento europeo de IA, y ya está en marcha

El Reglamento (UE) 2024/1689, de 13 de junio de 2024 (el «Reglamento de IA» o AI Act), entró en vigor el 1 de agosto de 2024 y se aplica de forma escalonada: las prácticas prohibidas desde febrero de 2025, las reglas de los modelos de uso general desde agosto de 2025, y las obligaciones de los sistemas de alto riesgo y de transparencia a partir del 2 de agosto de 2026. Texto oficial: EUR-Lex (CELEX 32024R1689) y referencia en el BOE.

Para una entidad local, la lectura práctica es sencilla: la IA que se incorpore al trabajo administrativo debe ser transparente, trazable y supervisada por una persona, no una caja negra que «inventa» normas.

2. Residencia del dato no es lo mismo que soberanía

Que un proveedor aloje los datos «en Europa» reduce riesgos, pero no los elimina. Si el proveedor o su matriz están sujetos a leyes de acceso de terceros países, esos datos pueden quedar expuestos pese a estar físicamente en la UE. El RGPD limita además las transferencias fuera del Espacio Económico Europeo y exige garantías adecuadas. La soberanía del dato consiste en que la información quede bajo jurisdicción europea de principio a fin: dónde se procesa, quién puede acceder y qué ley se aplica.

3. El sector público tiene un estándar propio: el ENS

Las administraciones públicas no se rigen solo por el RGPD: deben cumplir el Esquema Nacional de Seguridad (Real Decreto 311/2022), que categoriza los sistemas de información y fija medidas de seguridad según su nivel. Cualquier herramienta que trate información municipal debería encajar en ese marco, no ir por libre.

4. Qué conviene exigir a una herramienta de IA

• Procesamiento dentro de la UE, sin salida de datos fuera del EEE.
• Proveedor y cadena técnica que no expongan los datos a accesos extracomunitarios.
• Trazabilidad y citas verificables de las respuestas, no afirmaciones sin fuente.
• Supervisión humana y encaje con RGPD y ENS.

No se trata de frenar la innovación, sino de adoptarla sin ceder el control de la información pública.

Edilia Copiloto es un asistente de IA especializado en administración local española: trabaja sobre un corpus normativo curado con citas verificadas contra el BOE, genera borradores para revisión profesional y procesa los datos en la Unión Europea, alineado con el RGPD. Puede probarse gratis en copiloto.edilia.tech.