Curso de IA para la Administración Pública

Reglamento (UE) 2024/1689 de Inteligencia Artificial y enfoque regulatorio basado en niveles de riesgo.

Calendario progresivo de aplicación del Reglamento de IA y seguimiento de sus modificaciones y disposiciones de desarrollo.

Alfabetización en IA y medidas para desarrollar las competencias del personal que utiliza sistemas de IA conforme al artículo 4 vigente.

Identificación de sistemas de alto riesgo vinculados a empleo, educación, servicios esenciales, prestaciones y otras decisiones relevantes.

Evaluación de impacto sobre derechos fundamentales cuando resulte exigible para organismos de Derecho público que desplieguen determinados sistemas de alto riesgo.

Relación del Reglamento de IA con RGPD, LOPDGDD, Ley 39/2015, Ley 40/2015, transparencia, ENS, ENI y contratación pública.

Actuación administrativa automatizada y distinción respecto al mero apoyo automatizado o asistido por IA.

Requisitos del artículo 41 de la Ley 40/2015 sobre órganos responsables de especificaciones, mantenimiento, supervisión, control de calidad y eventual auditoría.

Derechos afectados por la IA: igualdad, no discriminación, protección de datos, tutela, información, participación y buena administración.

Buena administración digital en sistemas que clasifican, priorizan, recomiendan o intervienen dentro de procedimientos administrativos.

Transparencia hacia la ciudadanía sobre cuándo existe automatización o apoyo de IA, qué función realiza y quién supervisa sus resultados.

Explicaciones comprensibles sobre finalidad, datos utilizados, límites, criterios relevantes y posibilidades de revisión.

Mantenimiento de canales alternativos para evitar exclusión por brecha digital, discapacidad u otras circunstancias.

Supervisión humana efectiva cuando una salida de IA pueda incidir en derechos, cargas, prestaciones o situaciones jurídicas.

Evidencias a conservar: finalidad, base jurídica, datos, sistema, proveedor, versiones, decisiones, pruebas, métricas, controles y responsables.

Detección de oportunidades mediante entrevistas, análisis de procesos, cargas de trabajo, expedientes y tareas repetitivas.

Clasificación de iniciativas en productividad, asistencia documental, búsqueda semántica, atención, analítica, automatización y agentes.

Identificación de quick wins de bajo riesgo frente a proyectos estructurales con mayor impacto jurídico, técnico u organizativo.

Priorización según valor público, ahorro de tiempo, reducción de errores, accesibilidad, disponibilidad de datos y dificultad de integración.

Evaluación de datos personales, impacto sobre derechos, colectivos vulnerables, opacidad, seguridad y dependencia de terceros.

Ficha de caso de uso con finalidad, usuarios, datos, proceso, sistema actual, beneficio esperado, riesgos y métricas.

Criterios para descartar proyectos sin problema real, sin datos suficientes, sin responsable o con riesgo desproporcionado.

Prevención de chatbots sin fuentes fiables, resúmenes no validados, modelos sin gobierno y automatizaciones sin propietario funcional.

Equilibrio entre mejora interna, atención ciudadana, conocimiento institucional, automatización y modernización de servicios.

Definición de responsables funcionales, TIC, jurídico, protección de datos, seguridad y dirección para cada iniciativa.

Identificación de dependencias tecnológicas, organizativas, normativas y contractuales antes de iniciar el proyecto.

Determinación de hipótesis de valor y condiciones objetivas para continuar, modificar o abandonar una iniciativa.

Priorización de pilotos con impacto controlable y posibilidad real de medir resultados.

Roadmap institucional con fases, propietarios, controles, dependencias, hitos y criterios de escalado.

Diferenciación entre datos abiertos, internos, personales, categorías especiales, información reservada y documentación de publicidad activa.

Evaluación de completitud, exactitud, actualización, duplicidades, sesgos y trazabilidad de las fuentes antes de utilizar IA.

Riesgo de reproducir desigualdades o prácticas históricas al entrenar o evaluar sistemas con datos administrativos anteriores.

Designación de responsables de datos y propietarios funcionales para evitar conjuntos de información sin mantenimiento.

Catálogos de datos con origen, finalidad, calidad, permisos, sensibilidad, retención y limitaciones de utilización.

Anonimización, seudonimización y generación de datos sintéticos para pruebas, pilotos y entornos de formación.

Riesgo de reidentificación o inferencia cuando se combinan conjuntos de datos aparentemente inocuos.

Principios de minimización, limitación de finalidad, exactitud, seguridad y conservación aplicados a soluciones de IA.

Protección de datos desde el diseño y por defecto en asistentes, modelos, RAG, agentes y automatizaciones.

Identificación de responsable, encargado, proveedor, subencargado, usuario interno y terceros conectados.

Bases jurídicas, transparencia, conservación, ejercicio de derechos y transferencias internacionales.

Gestión de datos personales en prompts, archivos, logs, historiales, embeddings, bases vectoriales y trazas de agentes.

Evaluaciones de impacto en protección de datos cuando el tratamiento pueda entrañar un alto riesgo para derechos y libertades.

Contratos y controles aplicables a proveedores que tratan información personal por cuenta de la Administración.

Protocolo para pilotos con datos reales, anonimizados o sintéticos y participación temprana del DPO cuando corresponda.

Papel del Esquema Nacional de Seguridad en la protección de información, servicios y sistemas del sector público.

Clasificación previa de información como pública, interna, confidencial, restringida, personal, sensible o sometida a secreto.

Determinación de qué información puede y no puede enviarse a servicios externos o modelos generativos.

Riesgos de fuga de prompts, extracción de información, exposición de credenciales, malware, abuso de API e instrucciones maliciosas.

Prompt injection directa e indirecta en asistentes conectados a documentos, correo, bases de datos o sistemas administrativos.

Evaluación de SaaS, cloud, APIs de modelos, conectores, almacenamiento de conversaciones, subprocesadores y residencia de datos.

Controles de acceso, principio de mínimo privilegio, MFA, segregación de funciones y gestión de identidades.

Cifrado, registro de actividad, trazabilidad, conservación de logs y monitorización de comportamiento anómalo.

Separación entre desarrollo, pruebas, pilotos y producción para impedir que sistemas experimentales accedan a expedientes vivos.

Gestión segura de credenciales, secretos, tokens, claves API y cuentas de servicio.

Riesgos específicos de agentes con acceso a herramientas, aplicaciones internas y fuentes corporativas.

Respuesta ante fuga de información, comportamiento inesperado, acceso indebido o ejecución no autorizada.

Coordinación entre responsables ENS, seguridad, TIC, DPO y unidad funcional.

Evaluación periódica de controles según criticidad, cambios de proveedor, modelo, conectores o datos.

Checklist de seguridad de IA alineada con el ciclo de vida del sistema y el nivel de riesgo.

Papel del Esquema Nacional de Interoperabilidad en la interoperabilidad organizativa, semántica y técnica de las Administraciones.

Integración de IA con sistemas existentes evitando repositorios paralelos, silos documentales y conocimiento no gobernado.

Identificación de fuentes oficiales que deben alimentar asistentes, motores de búsqueda y arquitecturas RAG.

Gestión de metadatos, taxonomías, órganos, unidades, procedimientos, códigos y contexto administrativo.

Integración mediante APIs, conectores, gestores documentales, portafirmas, registro, archivo y sede electrónica.

Control de versiones para evitar respuestas basadas en normas, formularios o instrucciones obsoletos.

Arquitectura por capas: datos, recuperación, modelo, aplicación, integración, seguridad, trazabilidad y supervisión.

Comparación entre modelos comerciales, abiertos, especializados, multimodales y desplegados en infraestructura propia.

Evaluación según precisión, idioma, coste, seguridad, residencia de datos, transparencia, integración, latencia y soporte.

Decisión entre SaaS, API, cloud, entorno privado, on-premise e infraestructura híbrida.

Riesgos de lock-in, discontinuidad de modelos, cambios de precio, límites de uso y falta de portabilidad.

Condiciones relativas a entrenamiento con datos del cliente, retención de prompts, logging, subprocesadores y ubicación geográfica.

Selección de licencias institucionales y prohibición de utilizar cuentas personales o no autorizadas para información administrativa.

Modelos especializados para OCR, traducción, clasificación, voz, visión, analítica, accesibilidad y búsqueda semántica.

Documentación de la arquitectura y de las decisiones tecnológicas para mantenimiento, auditoría, contratación y eventual sustitución.

Redacción asistida de correos, actas, notas internas, borradores de informes, guías, preguntas frecuentes y documentación de apoyo.

Transformación de textos administrativos a lenguaje claro manteniendo fidelidad jurídica y revisión humana.

Resumen de documentación extensa con control de omisiones, contradicciones y contraste obligatorio con la fuente.

Generación de cronogramas, esquemas de procedimiento, matrices, checklists y plantillas de seguimiento.

Revisión de estructura, coherencia, estilo, ambigüedades, duplicidades y claridad de documentos administrativos.

Límites de la IA frente a firma, resolución, certificación, valoración jurídica definitiva y responsabilidad administrativa.

Estructura de prompts mediante objetivo, rol, contexto, fuentes, restricciones, criterios y formato de salida.

Instrucciones para reconocer falta de información, evitar invenciones y citar las fuentes utilizadas.

Plantillas adaptadas a atención ciudadana, contratación, subvenciones, RR. HH., urbanismo, archivo, comunicación y normativa.

Evaluación de outputs por exactitud, completitud, tono institucional, claridad, normativa aplicable y ausencia de alucinaciones.

Versionado de prompts e instrucciones para poder reproducir y auditar resultados de procesos recurrentes.

Biblioteca institucional de prompts aprobados y catálogo de usos, instrucciones o prácticas no autorizadas.

Uso de IA en notas, campañas, publicaciones web, contenidos para sede electrónica y comunicación institucional.

Adaptación a lectura fácil, otros idiomas y formatos accesibles sin modificar el significado oficial.

Gestión del riesgo de desinformación, errores normativos, contenido sintético, imágenes, audio o vídeo y circuitos de aprobación.

Arquitectura RAG como combinación de recuperación documental y generación condicionada por información autorizada.

Casos de uso en normativa, manuales, procedimientos, instrucciones, pliegos, FAQs y conocimiento interno.

Curación previa de fuentes fiables, vigentes, versionadas y autorizadas.

Fragmentación documental, embeddings, metadatos, filtros y criterios de recuperación.

Bases vectoriales con segregación, permisos, trazabilidad, actualización, conservación y eliminación.

Riesgo de documentos obsoletos, fragmentos fuera de contexto, ausencia de fuentes y mezcla de niveles de confidencialidad.

Respuestas con referencias documentales, evidencia recuperada y reconocimiento de información insuficiente.

Validación mediante preguntas habituales, casos límite, consultas adversariales, normativa derogada y documentos similares.

Procedimientos de actualización para evitar que el asistente conserve conocimiento administrativo obsoleto.

Clasificación automática de documentos, extracción de datos, detección de duplicados y generación de metadatos.

OCR y extracción de entidades, fechas, importes, interesados, órganos, referencias normativas y plazos.

Resumen de expedientes con control sobre documentos faltantes, contradicciones y necesidad de interpretación jurídica.

Integración con expediente electrónico, archivo, gestor documental, registro y portafirmas.

Prevención de indexación accidental de documentos restringidos en espacios accesibles a usuarios no autorizados.

Métricas de recuperación, exactitud, cobertura, errores corregidos, documentación incompleta y reducción de trabajo manual.

Qué es la IA agéntica y diferencia entre chatbot, copiloto, workflow automatizado y agente capaz de utilizar herramientas.

Casos de apoyo: localizar información, preparar borradores, abrir tickets, clasificar solicitudes y coordinar pasos internos.

Diferencias entre agente asistente, agente con herramientas, agente que propone acciones y agente que ejecuta acciones.

Tool calling, APIs, correo, gestores documentales, bases de datos y sistemas administrativos.

Gestión de permisos, límites de autonomía, confirmaciones, registros y reversibilidad.

Riesgos de actuación no autorizada, errores encadenados, exceso de permisos, fuga de información e instrucciones maliciosas.

Protección de datos en sistemas agénticos conforme a las orientaciones publicadas por la AEPD.

Human-in-the-loop para comunicaciones, cambios de estado, expedientes y actuaciones de especial impacto.

Trazas de decisiones, acciones, herramientas utilizadas, entradas, salidas y errores.

Monitorización de agentes mediante métricas de error, registros auditables y revisiones periódicas.

Diferencia entre automatización de apoyo, automatización interna y actuación administrativa automatizada.

Distinción entre reglas deterministas, modelos probabilísticos, recomendaciones y decisiones administrativas.

Automatización de clasificación, asignaciones, verificaciones formales, extracción y notificaciones internas.

Precauciones especiales en sanciones, ayudas, baremación, admisión, priorización y reconocimiento de derechos.

Política de agentes y automatizaciones con acciones permitidas, prohibidas, controles, responsables y proceso de aprobación.

Diseño de asistentes para trámites, requisitos, documentación, plazos, horarios, servicios y canales de atención.

Bases de conocimiento oficiales y sincronizadas con sede electrónica y fuentes institucionales.

Delimitación entre información general, orientación administrativa y asesoramiento individualizado.

Transparencia sobre uso de IA, fuentes empleadas, limitaciones y mecanismos alternativos de atención.

Tratamiento de consultas que contienen datos personales y derivación hacia canales seguros cuando corresponda.

Handoff a personal humano ante casos complejos, urgentes, sensibles o con impacto en derechos.

Lenguaje claro para reducir barreras de comprensión en comunicaciones y trámites.

Lectura fácil, traducción, multilingüismo y adaptación a distintos niveles de alfabetización digital.

Compatibilidad con necesidades de accesibilidad y tecnologías de apoyo.

Conservación de alternativas no digitales para personas afectadas por brecha digital.

Pruebas con personas mayores, usuarios con discapacidad, extranjeros y otros perfiles diversos.

Identificación de respuestas incorrectas, consultas sin resolver, escalados, reclamaciones y riesgos reputacionales.

Prevención de respuestas discriminatorias o diferenciadas por sesgos de datos o contexto.

Métricas de calidad, resolución, derivación, accesibilidad, satisfacción y reducción de consultas repetitivas.

Aplicaciones de analítica predictiva en planificación de recursos, mantenimiento, demanda, fraude, incidencias y riesgos operativos.

Distinción entre predicción estadística, alerta, recomendación administrativa y decisión con efectos jurídicos.

Evaluación de precisión, sensibilidad, especificidad, falsos positivos, falsos negativos y coste del error.

Identificación de variables sensibles y proxies relacionados con territorio, renta, idioma, edad u otras características.

Uso de IA en servicios sociales, empleo, educación, sanidad y otros ámbitos con colectivos vulnerables.

Diferencias entre IA para gestión interna y sistemas que pueden influir en prestaciones, admisiones, cupos o intervenciones.

Supervisión humana cualificada en recomendaciones que afectan a personas, familias, estudiantes, pacientes o demandantes de empleo.

Protección reforzada de categorías especiales de datos y análisis previo de las bases jurídicas aplicables.

Pruebas de sesgo y equidad por colectivos, territorio, discapacidad, género, edad, idioma u otros factores pertinentes.

Indicadores de equidad, precisión, error, falsos positivos, falsos negativos y efectos no deseados.

Paneles que comuniquen incertidumbre, fuentes, límites y factores relevantes de una predicción.

Control de deriva cuando cambian patrones sociales, económicos, territoriales, normativos o de demanda.

Explicaciones comprensibles y mecanismos de revisión o corrección para personas afectadas.

Participación ciudadana o revisión especializada cuando el impacto social justifique controles adicionales.

Criterios de no despliegue, suspensión o retirada cuando el perjuicio potencial sea desproporcionado.

IA para localizar requisitos, revisar pliegos, comparar documentación y detectar inconsistencias en contratación pública.

Límites de la IA frente a la valoración técnica, jurídica o económica atribuida a órganos competentes.

Clasificación de solicitudes, comprobación de documentación y apoyo a subsanaciones en subvenciones y ayudas.

Prevención de sesgo, opacidad y trato desigual en procedimientos competitivos.

Protección de datos personales, información económica, secretos empresariales y documentación de licitadores.

RAG y asistentes internos para localizar cláusulas, modelos, normativa, informes y documentación contractual.

Validación especializada antes de incorporar salidas generadas a informes, actas o propuestas administrativas.

Matriz de usos permitidos, restringidos y prohibidos en contratación, ayudas y subvenciones.

Pliegos para soluciones de IA con requisitos de finalidad, datos, integración, seguridad, rendimiento y explicabilidad.

Requisitos contractuales de RGPD, ENS, auditoría, trazabilidad, reversibilidad, ubicación de datos y subencargados.

Evaluación de proveedores mediante pruebas, evidencias, documentación, seguridad, soporte y capacidad de mantenimiento.

Propiedad intelectual, licencias, derechos sobre datos, prompts, modelos ajustados y outputs.

Condiciones sobre entrenamiento con datos, retención, transferencias internacionales y eliminación al terminar el servicio.

Criterios de aceptación y pruebas con datos sintéticos o anonimizados antes de acceder a información real.

Plan de salida, estándares abiertos, exportación, APIs documentadas y medidas para reducir dependencia tecnológica.

Comité o estructura de gobierno con representación funcional, TIC, seguridad, DPO, jurídico, contratación, archivo y dirección.

Política institucional con herramientas autorizadas, usos permitidos, restricciones, datos prohibidos y revisión humana.

Registro interno de sistemas, modelos, asistentes, agentes, pilotos, proveedores, datos, propietarios y riesgos.

Ciclo de vida desde idea y evaluación hasta piloto, validación, despliegue, monitorización, auditoría y retirada.

Umbrales para determinar cuándo una iniciativa requiere revisión reforzada o evaluación de impacto.

Fichas de transparencia con finalidad, responsables, modelo, datos, proveedor, riesgos, mitigaciones y supervisión.

Registros de versiones, prompts, fuentes, parámetros, salidas, acciones automáticas y validaciones humanas.

Diseño de pilotos con hipótesis, alcance acotado, datos controlados, usuarios, métricas y criterios de éxito.

Gates de paso a producción con validación funcional, técnica, jurídica, privacidad, seguridad y dirección.

Documentación de arquitectura, permisos, fuentes, logs, soporte, límites iniciales y plan de reversión.

Métricas de precisión, cobertura, errores, satisfacción, tiempos, coste, escalados humanos e incidencias.

Pruebas recurrentes con casos patrón, casos límite, consultas adversariales y escenarios sensibles.

Monitorización de deriva en modelos, fuentes documentales, procedimientos, normativa y comportamiento de usuarios.

Mecanismos para limitar, suspender o revertir sistemas ante daños, incumplimientos o errores repetidos.

Reporting periódico para dirección, auditoría, DPO, CISO, jurídico y responsables de servicio.

Planes de capacitación para dirección, tramitación, atención ciudadana, TIC, jurídico, DPO, comunicación y unidades gestoras.

Itinerarios diferenciados de alfabetización, uso seguro, prompting, RAG, agentes, gobierno y cumplimiento.

Gestión de resistencias relacionadas con sustitución laboral, inseguridad jurídica, desconfianza o experiencias tecnológicas fallidas.

Comunicación de la IA como apoyo al servicio público y no como sustituto indiscriminado del criterio profesional.

Guías internas, FAQs, ejemplos, recursos formativos y canales para resolver dudas sobre usos permitidos.

Comunidades internas de práctica para compartir aprendizajes, prompts, riesgos, incidentes y patrones útiles.

Participación de órganos de representación cuando la implantación afecte a organización o condiciones de trabajo.

Métricas de adopción: usuarios formados, uso efectivo, ahorro, errores reportados y satisfacción del personal.

Costes de licencias, consumo de modelos, infraestructura, integración, soporte, seguridad, formación y auditoría.

Comparación económica entre SaaS, API, cloud, modelos abiertos, infraestructura propia y servicios gestionados.

Costes ocultos de revisión humana, curación documental, mantenimiento, incidentes y actualización de conocimiento.

Valor público medido mediante calidad, accesibilidad, reducción de errores, tiempos, transparencia y satisfacción.

Impacto ambiental y selección de modelos proporcionales a la complejidad real de cada tarea.

Casos de referencia: asistente normativo, RAG ciudadano, clasificador documental, lenguaje claro, resúmenes, análisis de quejas, copiloto de contratación y RR. HH.

Evaluación de cada caso según valor, datos, normativa, esfuerzo, coste, riesgo, métricas, mantenimiento y capacidad de escalado.

Definición de una Administración u organismo de referencia con servicios, procesos, usuarios, sistemas y prioridades de mejora.

Inventario completo de oportunidades de IA clasificadas por valor, impacto, riesgo, viabilidad, datos y población afectada.

Selección de tres iniciativas: productividad interna, atención o gestión documental y un caso de mayor complejidad.

Justificación de usos descartados, restringidos o que requieren controles reforzados.

Arquitectura de cada iniciativa con modelos, datos, RAG cuando proceda, integraciones, permisos, logs y entornos.

Clasificación de información y definición de medidas de privacidad, ENS, seguridad y protección de datos.

Análisis aplicable del Reglamento de IA, RGPD, LOPDGDD, Leyes 39/2015 y 40/2015, ENS, ENI y transparencia.

Identificación de supervisión humana, órganos responsables, criterios de escalado y mecanismos de reversión.

Política interna con herramientas autorizadas, datos permitidos, información prohibida, roles y procedimiento de aprobación.

Modelo de gobierno con comité, propietarios, registro de sistemas, gestión de cambios, incidentes y auditoría.

Plan de adquisición o contratación con requisitos técnicos, jurídicos, seguridad, reversibilidad, soporte y evaluación de proveedor.

Métricas de tiempo, calidad, accesibilidad, satisfacción, errores, coste, seguridad, equidad e impacto ciudadano.

Plan de formación, comunicación y gestión del cambio adaptado a los perfiles implicados.

Presupuesto, calendario, sostenibilidad operativa y criterios para continuar, escalar, modificar o retirar cada solución.

Presentación de la hoja de ruta final con riesgos, mitigaciones, responsables, evidencias y esquema de monitorización continua.