IA local en la administración: qué marco hay que mirar (ENS, RGPD, LOPDGDD)

Cuando una administración quiere usar IA con normativa o expedientes, la pregunta no es solo «qué modelo», sino «dónde van los datos». Mi laboratorio cerrado sale de esa pregunta.

Aviso: este texto es divulgación técnica, no asesoramiento jurídico. Cada caso requiere su propio análisis.

El marco que cargué como datos

Las cinco normas de mi corpus son justamente el marco al que se enfrentaría un proyecto así: el Esquema Nacional de Seguridad (Real Decreto 311/2022), el RGPD, la LOPDGDD y las leyes 39/2015 y 40/2015. Son datos abiertos del BOE y se citan mucho entre sí, por eso resultan buenas para probar un grafo.

Qué aporta un entorno cerrado

• Los datos y el modelo no salen del perímetro: sin servicios externos de IA, no hay envío de datos a terceros.
• La red interna del laboratorio no tiene salida a internet; la descarga de modelos va por otra red, aparte.
• Es reproducible: otra persona puede levantarlo y repetir la medición.

Esto no equivale a cumplir el ENS ni el RGPD: son medidas organizativas y técnicas que dependen de la categoría del sistema, del análisis de riesgos y de los datos que se traten.

Qué revisar

1. La categorización del sistema según el ENS y las medidas que corresponden.
2. Las guías CCN-STIC aplicables y las recomendaciones de la AEPD sobre IA.
3. El Reglamento europeo de IA y su calendario de obligaciones.
4. Si hay datos personales: base jurídica, evaluación de impacto y contratos de encargo.

Una búsqueda reciente no me confirmó el estado de una ley española específica de IA, así que lo dejo como punto a verificar.

Mi enfoque

IA que cita artículos concretos, que se abstiene cuando no sabe y que se mide antes de usarse: un RAG preparado para trabajar sobre normativa, sin prometer lo que no se ha comprobado.