El Reglament d’IA a les administracions públiques: què cal preparar abans del desembre del 2027

01On som a la tardor del 2026

El Reglament d’intel·ligència artificial (obre un lloc web extern), el Reglament (UE) 2024/1689, va entrar en vigor l’1 d’agost del 2024 i s’aplica per etapes. El juliol del 2026, la UE va adoptar l’Òmnibus digital sobre la IA, el Reglament (UE) 2026/1744 (obre un lloc web extern), que va ajornar les normes d’alt risc i va modificar altres disposicions. Va entrar en vigor el 27 de juliol del 2026, pocs dies abans de la data inicial de les normes d’alt risc.

El resultat és un calendari en què algunes obligacions ja s’apliquen, d’altres arriben a final d’aquest any i les més exigents per als organismes públics arriben el desembre del 2027.

L’Òmnibus també va reescriure l’article 4 sobre l’alfabetització en IA. Els proveïdors i els responsables del desplegament ara han de prendre mesures per afavorir l’alfabetització en IA del seu personal, en lloc de garantir-ne un nivell suficient. El deure continua; el que cal demostrar ha canviat. Una formació adaptada a cada rol, i un registre de qui l’ha rebuda, continua sent la resposta assenyada.

02La situació a Espanya

Espanya té l’Agència Espanyola de Supervisió d’Intel·ligència Artificial (AESIA), amb seu a la Corunya, l’estatut de la qual va aprovar el Reial decret 729/2023, de 22 d’agost, amb funcions de supervisió, assessorament i inspecció. A la llista de punts de contacte del RIA que publica la Comissió Europea (actualitzada el 7 de setembre del 2026), Espanya hi figura amb l’AESIA, la designació de la qual com a autoritat està pendent d’adopció definitiva (situació a 6 de novembre del 2026).

El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (expedient del Congrés dels Diputats 121/000096), que el Consell de Ministres va aprovar el 26 de maig del 2026, és un projecte de llei en tràmit parlamentari i no s’havia adoptat a 6 de novembre del 2026. Fins que s’aprovi i es publiqui, convé no donar per tancat qui supervisarà cada obligació a Espanya. Les guies tècniques de l’entorn controlat de proves d’IA que va impulsar la Secretaria d’Estat de Digitalització i Intel·ligència Artificial, tancat el 12 de juny del 2026, es publiquen al web de l’AESIA.

A Catalunya, el Govern va aprovar l’Estratègia Catalunya IA 2030 per l’Acord GOV/262/2025, d’11 de novembre. Per als departaments de la Generalitat, els ens locals i el seu sector públic, el RIA s’afegeix a normes que ja coneixen: l’Esquema Nacional de Seguretat, la protecció de dades i el procediment administratiu.

03Sou proveïdor o responsable del desplegament?

La majoria d’organismes públics són responsables del desplegament: utilitzen un sistema d’IA sota la seva pròpia autoritat. Sou proveïdor quan desenvolupeu un sistema d’IA, o en feu desenvolupar un, i el poseu en servei amb el vostre nom. Això inclou els sistemes construïts internament o per un contractista segons les vostres especificacions.

Els rols també poden canviar. Segons l’article 25, un responsable del desplegament que modifica substancialment un sistema d’alt risc, o en canvia la finalitat prevista de manera que esdevé d’alt risc, assumeix les obligacions del proveïdor. Escriviu els rols previstos als plecs i als contractes, perquè ningú no els descobreixi en una auditoria.

04Quins dels vostres casos d’ús són d’alt risc?

L’annex III enumera els àmbits en què els sistemes d’IA es consideren d’alt risc. Per als organismes públics, els més rellevants són:

• Accés a serveis públics essencials i prestacions: avaluar el dret a rebre-les i concedir, reduir, retirar o reclamar prestacions i serveis.
• Migració, asil i control de fronteres, garantia del compliment del dret i administració de justícia.
• Educació i formació professional: admissió, avaluació dels resultats d’aprenentatge i vigilància durant les proves.
• Ocupació: selecció, promoció, assignació de tasques i seguiment del personal. Els organismes públics també són ocupadors.
• Infraestructures crítiques: components de seguretat en la gestió d’infraestructures digitals, del trànsit rodat i dels subministraments.

Ser en un àmbit de l’annex III no acaba l’anàlisi. Segons l’article 6.3, un sistema d’aquests àmbits no és d’alt risc quan no planteja un risc important de perjudici, per exemple perquè fa una tasca procedimental limitada, millora el resultat d’una feina que una persona ja ha acabat, detecta patrons sense substituir la valoració humana o fa una tasca preparatòria. Un sistema que elabora perfils de persones sempre és d’alt risc. Si us acolliu a aquesta excepció, documenteu-ne el raonament.

Moltes eines útils no són d’alt risc: ajuda a la redacció, cerca en la normativa interna, traducció, resums, o la classificació de les factures que arriben per FACe o e-FACT. Un assistent a la seu electrònica on la ciutadania s’identifica amb Cl@ve tampoc no ho és, per si mateix. A aquestes eines s’hi continuen aplicant les obligacions de transparència i l’RGPD, però no el règim d’alt risc.

05Què han de fer els responsables del desplegament de sistemes d’alt risc

A partir del 2 de desembre del 2027, un organisme públic que desplega un sistema d’alt risc de l’annex III té les obligacions de l’article 26 (obre un lloc web extern). Les principals:

• Utilitzar el sistema d’acord amb les instruccions d’ús del proveïdor, amb mesures tècniques i organitzatives adequades.
• Encarregar la supervisió humana a persones amb la competència, la formació i l’autoritat necessàries, i donar-los suport.
• Garantir que les dades d’entrada que controleu siguin pertinents i prou representatives per a la finalitat prevista.
• Vigilar el funcionament i informar sense demora indeguda el proveïdor i les autoritats dels riscos i dels incidents greus.
• Conservar els registres generats automàticament com a mínim sis mesos, tret que una altra norma de la UE o nacional disposi una altra cosa.
• Informar la representació del personal i les persones treballadores afectades abans d’utilitzar un sistema d’alt risc a la feina.
• Com a autoritat pública, registrar l’ús del sistema a la base de dades de la UE abans de posar-lo en funcionament (article 26.8 i article 49). Un sistema no registrat no es pot utilitzar.
• Informar les persones quan un sistema d’alt risc s’utilitza per prendre decisions que les afecten, o per ajudar a prendre-les (article 26.11). Les persones també tenen dret a una explicació de les decisions individuals (article 86).

L’avaluació d’impacte sobre els drets fonamentals

Segons l’article 27 (obre un lloc web extern), els organismes de dret públic, i les organitzacions privades que presten serveis públics, fan una avaluació d’impacte sobre els drets fonamentals abans d’utilitzar per primera vegada la majoria dels sistemes de l’annex III. En queden exclosos els sistemes per a infraestructures crítiques. L’avaluació descriu:

1. 01els processos en què s’utilitzarà el sistema, d’acord amb la seva finalitat prevista;
2. 02el període i la freqüència d’ús;
3. 03les categories de persones i grups que probablement es veuran afectats;
4. 04els riscos concrets de perjudici per a aquestes persones;
5. 05com s’aplica la supervisió humana;
6. 06què passa si els riscos es materialitzen, inclosos la governança interna i els mecanismes de reclamació.

Els resultats es notifiquen a l’autoritat de vigilància del mercat, que a Espanya està pendent de designació definitiva. L’avaluació complementa l’avaluació d’impacte relativa a la protecció de dades de l’article 35 de l’RGPD, i s’hi pot basar, de manera que convé fer-les juntes. L’autoritat de protecció de dades és l’Agència Espanyola de Protecció de Dades (AEPD) per al sector públic estatal, i l’Autoritat Catalana de Protecció de Dades (APDCAT), per als tractaments del sector públic català. L’article 27.5 demana a l’Oficina d’IA que proporcioni un model de qüestionari; comproveu-ne l’estat abans de dissenyar-ne un de propi. Alguns estats ja tenen mètodes propis, com l’Impact Assessment Mensenrechten en Algoritmes (IAMA) de l’administració neerlandesa.

06Obligacions de transparència que ja s’apliquen

Des del 2 d’agost del 2026 s’aplica l’article 50. Els proveïdors han de dissenyar els sistemes que interactuen amb persones de manera que aquestes sàpiguen que tracten amb un sistema d’IA, tret que sigui evident, i han de marcar el contingut sintètic en un format llegible per màquina. Els responsables del desplegament han de revelar les ultrafalsificacions, i el text generat o manipulat per IA que es publica per informar el públic sobre qüestions d’interès públic, tret que una persona l’hagi revisat i algú n’assumeixi la responsabilitat editorial.

Per a un organisme públic, el cas més habitual és un assistent conversacional en un web, a la seu electrònica o en un canal d’atenció. Digueu clarament que és un sistema d’IA, expliqueu en què pot ajudar i en què no, i oferiu una via per parlar amb una persona.

07Un pla de preparació per al 2026 i el 2027

1. 01Inventari, ara. Llisteu tots els sistemes d’IA en ús o en contractació, incloses les funcions d’IA de plataformes per a les quals ja teniu llicència. Anoteu-ne la persona responsable, la finalitat, el proveïdor, les dades que utilitza i les persones afectades.
2. 02Classificació, a principis del 2027. Prohibit, d’alt risc (amb el raonament de l’article 6.3 documentat), només transparència o risc mínim. Anoteu per a cadascun si hi actueu com a proveïdor o com a responsable del desplegament.
3. 03Contractes, durant el 2027. Demaneu als proveïdors les instruccions d’ús, la documentació de conformitat i l’accés als registres. Feu que el suport a la vostra avaluació d’impacte i a la notificació d’incidents sigui una clàusula del contracte i dels plecs.
4. 04Disseny de la supervisió. Designeu els rols, formeu-los, doneu-los autoritat per contradir el sistema i una via d’escalada. Dissenyeu contra el biaix d’automatització; el nostre article sobre quan els agents d’IA necessiten aprovació humana explica com fer-ho.
5. 05Registres i seguiment. Conserveu els registres com a mínim sis mesos, definiu què és un incident greu i qui el notifica.
6. 06Abans del primer ús. Feu l’avaluació d’impacte sobre els drets fonamentals juntament amb l’avaluació d’impacte de protecció de dades, registreu el sistema a la base de dades de la UE i informeu el personal i les persones afectades.
7. 07Alfabetització contínua. Formació per rols per a qui utilitza, revisa i decideix, actualitzada quan canvien els sistemes, amb un registre de qui s’ha format.

08Sancions i control

Els estats membres estableixen el règim de sancions. L’article 99.8 permet a cada estat membre decidir si es poden imposar multes administratives a les autoritats i els organismes públics establerts en el seu territori, i fins a quin punt. Això no és cap motiu per esperar. Les autoritats de vigilància del mercat poden exigir igualment mesures correctores, i la legitimitat d’una resolució administrativa depèn que es pugui motivar i recórrer.

09Què cal seguir els propers mesos

• Les directrius de la Comissió sobre la classificació dels sistemes d’alt risc (article 6.5), i les seves directrius sobre pràctiques prohibides (obre un lloc web extern), ja publicades.
• Les normes harmonitzades sobre els requisits d’alt risc, que els proveïdors faran servir per demostrar la conformitat.
• La tramitació del projecte de llei orgànica al Congrés dels Diputats, la designació definitiva de les autoritats a Espanya i les seves primeres orientacions per als organismes públics.
• El model de l’Oficina d’IA per a l’avaluació d’impacte sobre els drets fonamentals.

El Servei d’Assistència del RIA (obre un lloc web extern) de la Comissió Europea manté actualitzats el calendari oficial i les explicacions article per article. Deseu-lo a les adreces d’interès i dateu cada nota interna que escriviu sobre el reglament: és un text que encara es mou.