IA para la administracion publica: los datos no salen del organismo

Por qué un organismo no puede simplemente usar ChatGPT

Un ayuntamiento que valora la IA para expedientes, actas, procesos selectivos o gestión de personal choca enseguida con un límite que no es técnico sino jurídico: esos documentos contienen datos personales de empleados y de ciudadanos, y enviarlos a un servicio externo significa transferirlos a un encargado del tratamiento que hay que designar, evaluar y —si los servidores están fuera de la Unión— cubrir con garantías adecuadas. A esto se suman la evaluación de impacto, el registro de actividades y las preguntas que hará el delegado de protección de datos antes de dar su visto bueno.

Por eso muchos proyectos se quedan en el piloto: funcionan en la demo, no superan el informe jurídico.

La alternativa: el modelo funciona dentro del organismo

La vía que proponemos da la vuelta al problema. En lugar de enviar los documentos al modelo, instalamos el modelo donde ya están los documentos: en la infraestructura de la administración, o en servidores dedicados que siguen bajo su control. Ningún prompt, ningún documento, ninguna representación vectorial y ningún metadato se envía a proveedores externos de inteligencia artificial.

Cambia la naturaleza de la pregunta que debe hacerse el delegado: ya no «dónde acaban nuestros datos», sino «quién accede a un sistema que ya es nuestro». Es una pregunta que un organismo sabe responder, porque es la misma que se hace con el gestor documental.

Dónde se aplica, en concreto

• Búsqueda sobre los actos — acuerdos, resoluciones y ordenanzas consultables con preguntas abiertas, con la referencia exacta al documento de origen.
• Apoyo a la tramitación — borradores de respuesta y comprobación de documentación, con la última palabra siempre del funcionario.
• Atención al ciudadano — asistente que responde 24 horas sobre plazos, formularios y procedimientos, sin sustituir a la oficina pero quitándole las preguntas repetidas.
• Gestión de personal — búsqueda sobre convenios, circulares y normativa interna.

Las certificaciones

Global Accelerationist Company S.r.l. trabaja con un sistema de gestión verificado cada año por una entidad tercera independiente: ISO/IEC 27001:2022 para la seguridad de la información, ISO/IEC 27017:2015 para los servicios en la nube, ISO/IEC 27018:2019 para los datos personales en la nube e ISO 9001:2015 para la calidad. Los certificados están más abajo, descargables y con su número identificativo.

Lo que acaba en el contrato

• Confidencialidad primero. El acuerdo se firma antes de que el organismo enseñe un solo documento, y sigue vigente aunque después no trabajemos juntos.
• Sin conservación, si se pide. El sistema puede configurarse para no retener nada: prompts y documentos procesados en memoria y descartados al terminar la sesión, sin registros persistentes ni historial.
• Lista de componentes. Qué software se ejecuta, dónde se ejecuta y qué no sale del perímetro se ponen por escrito, para que el delegado pueda verificarlo antes de la firma.

Por dónde se empieza

El primer paso útil no es una demo sino una comprobación: qué procedimientos tratan datos que no pueden salir, qué hardware hay ya disponible y qué preguntará el delegado de protección de datos. Es una valoración breve y se hace antes de cualquier compromiso de gasto.