IA per a l administracio publica: les dades no surten de l organisme

Per què un organisme no pot fer servir ChatGPT sense més

Un ajuntament que valora la IA per a expedients, actes, processos selectius o gestió de personal topa de seguida amb un límit que no és tècnic sinó jurídic: aquests documents contenen dades personals de treballadors i de ciutadans, i enviar-los a un servei extern significa transferir-los a un encarregat del tractament que cal designar, avaluar i —si els servidors són fora de la Unió— cobrir amb garanties adequades. A això s'hi afegeixen l'avaluació d'impacte, el registre d'activitats i les preguntes que farà el delegat de protecció de dades abans de donar el vistiplau.

Per això molts projectes es queden en el pilot: funcionen a la demo, no superen l'informe jurídic.

L'alternativa: el model funciona dins de l'organisme

La via que proposem capgira el problema. En lloc d'enviar els documents al model, instal·lem el model on ja són els documents: a la infraestructura de l'administració, o en servidors dedicats que continuen sota el seu control. Cap prompt, cap document, cap representació vectorial i cap metadada s'envia a proveïdors externs d'intel·ligència artificial.

Canvia la naturalesa de la pregunta que s'ha de fer el delegat: ja no «on acaben les nostres dades», sinó «qui accedeix a un sistema que ja és nostre». És una pregunta que un organisme sap respondre, perquè és la mateixa que es fa amb el gestor documental.

On s'aplica, concretament

• Cerca sobre els actes — acords, resolucions i ordenances consultables amb preguntes obertes, amb la referència exacta al document d'origen.
• Suport a la tramitació — esborranys de resposta i comprovació de documentació, amb l'última paraula sempre del funcionari.
• Atenció al ciutadà — assistent que respon 24 hores sobre terminis, formularis i procediments, sense substituir l'oficina però estalviant-li les preguntes repetides.
• Gestió de personal — cerca sobre convenis, circulars i normativa interna.

Les certificacions

Global Accelerationist Company S.r.l. treballa amb un sistema de gestió verificat cada any per una entitat tercera independent: ISO/IEC 27001:2022 per a la seguretat de la informació, ISO/IEC 27017:2015 per als serveis al núvol, ISO/IEC 27018:2019 per a les dades personals al núvol i ISO 9001:2015 per a la qualitat. Els certificats són més avall, descarregables i amb el seu número identificatiu.

El que acaba al contracte

• Confidencialitat primer. L'acord se signa abans que l'organisme ensenyi ni un sol document, i continua vigent encara que després no treballem junts.
• Sense conservació, si es demana. El sistema es pot configurar per no retenir res: prompts i documents processats en memòria i descartats en acabar la sessió, sense registres persistents ni historial.
• Llista de components. Quin programari s'executa, on s'executa i què no surt del perímetre es posen per escrit, perquè el delegat ho pugui verificar abans de la signatura.

Per on es comença

El primer pas útil no és una demo sinó una comprovació: quins procediments tracten dades que no poden sortir, quin maquinari hi ha ja disponible i què preguntarà el delegat de protecció de dades. És una valoració breu i es fa abans de qualsevol compromís de despesa.