O Regulamento de IA da UE nas administra­cións públicas: que preparar antes de decembro de 2027

01Situación no outono de 2026

O Regulamento de IA (abre un sitio web externo), o Regulamento (UE) 2024/1689, entrou en vigor o 1 de agosto de 2024 e aplícase por fases. En xullo de 2026 a UE adoptou o Ómnibus dixital sobre IA, o Regulamento (UE) 2026/1744 (abre un sitio web externo), que aprazou as normas de alto risco e modificou outras disposicións. Entrou en vigor o 27 de xullo de 2026, poucos días antes da data orixinal das normas de alto risco.

O resultado é un calendario no que algunhas obrigas xa se aplican, outras chegan a finais deste ano e as máis esixentes para as administracións chegan en decembro de 2027.

O Ómnibus tamén reescribiu o artigo 4 sobre alfabetización en IA. Os provedores e os responsables do despregamento deben agora tomar medidas para apoiar a alfabetización en IA do seu persoal, en lugar de garantir un nivel suficiente dela. A obriga mantense; o que hai que demostrar cambiou. Unha formación adaptada a cada función, e un rexistro dela, segue sendo a resposta sensata.

02A situación en España: a AESIA e o proxecto de lei

A Axencia Española de Supervisión da Intelixencia Artificial (AESIA) é unha entidade de dereito público cuxo estatuto aprobou o Real decreto 729/2023 (abre un sitio web externo), do 22 de agosto. Ten funcións de supervisión, asesoramento, concienciación e formación en materia de IA, ademais das potestades que lle atribúan as normas europeas, e a súa sede está na Coruña.

A súa designación para o Regulamento de IA aínda non é definitiva. Na lista da Comisión Europea (abre un sitio web externo), actualizada o 7 de setembro de 2026, España figura coa AESIA marcada cun asterisco: a decisión nacional de designación está pendente de adopción final. O proxecto de lei orgánica para o bo uso e a gobernanza da intelixencia artificial, que o Consello de Ministros aprobou o 26 de maio de 2026, está en tramitación no Congreso dos Deputados (abre un sitio web externo) (expediente 121/000096) e non foi aprobado. Segundo o Goberno, o proxecto de lei sitúa a AESIA como órgano central, co Banco de España, a Axencia Española de Protección de Datos e o Consello Xeral do Poder Xudicial entre as autoridades de supervisión.

Para unha consellería, unha deputación ou un concello, isto significa que as obrigas europeas xa se aplican segundo o calendario anterior, mentres que o réxime nacional de autoridades, procedementos e sancións aínda está por fixar. Os asistentes integrados na sede electrónica ou nos trámites con identificación Cl@ve entran no inventario igual que calquera outro sistema.

03É vostede provedor ou responsable do despregamento?

A maioría das administracións son responsables do despregamento: usan un sistema de IA baixo a súa propia autoridade. Unha administración é provedor cando desenvolve un sistema de IA, ou encarga o seu desenvolvemento, e o pon en servizo co seu propio nome. Iso inclúe os sistemas construídos internamente ou por un contratista segundo as súas especificacións.

Os papeis tamén poden cambiar. Segundo o artigo 25, un responsable do despregamento que modifica substancialmente un sistema de alto risco, ou que cambia a súa finalidade prevista de modo que pase a ser de alto risco, asume as obrigas do provedor. Deixe por escrito os papeis previstos nos pregos e nos contratos, para que ninguén os descubra durante unha auditoría.

04Que casos de uso son de alto risco?

O anexo III enumera os ámbitos nos que os sistemas de IA se consideran de alto risco. Para as administracións, os máis relevantes son:

• Acceso a servizos públicos esenciais e a prestacións: avaliar a elixibilidade e conceder, reducir, retirar ou reclamar prestacións e servizos.
• Migración, asilo e control de fronteiras, garantía do cumprimento do dereito e administración de xustiza.
• Educación e formación profesional: admisión, avaliación dos resultados da aprendizaxe, vixilancia durante as probas.
• Emprego: selección, promoción, asignación de tarefas e seguimento do persoal. As administracións tamén son empregadoras.
• Infraestruturas críticas: compoñentes de seguridade na xestión da infraestrutura dixital, do tráfico rodado e das subministracións.

Estar nun ámbito do anexo III non pecha a análise. Segundo o artigo 6.3, un sistema dese ámbito non é de alto risco cando non supón un risco significativo de dano, por exemplo porque realiza unha tarefa procedemental limitada, mellora o resultado dunha actividade humana xa realizada, detecta patróns sen substituír a valoración humana ou realiza unha tarefa preparatoria. Un sistema que elabora perfís de persoas é sempre de alto risco. Se se acolle a esta excepción, documente o razoamento.

Moitas ferramentas útiles non son de alto risco: apoio á redacción, busca no coñecemento interno, tradución, resumos. Seguen suxeitas ás obrigas de transparencia e ao RXPD, pero non ao réxime de alto risco.

05O que deben facer os responsables do despregamento de sistemas de alto risco

Desde o 2 de decembro de 2027, unha administración que use un sistema de alto risco do anexo III ten as obrigas do artigo 26 (abre un sitio web externo). As principais:

• Usar o sistema conforme ás instrucións de uso do provedor, con medidas técnicas e organizativas adecuadas.
• Encomendar a supervisión humana a persoas coa competencia, a formación e a autoridade necesarias, e darlles apoio.
• Asegurarse de que os datos de entrada que controla son pertinentes e suficientemente representativos para a finalidade prevista.
• Vixiar o funcionamento e informar sen demora indebida o provedor e as autoridades dos riscos e dos incidentes graves.
• Conservar os rexistros xerados automaticamente polo menos seis meses, salvo que outra norma da Unión ou nacional dispoña outra cousa.
• Informar a representación do persoal e as persoas traballadoras afectadas antes de usar un sistema de alto risco no traballo.
• Como autoridade pública, rexistrar o uso do sistema na base de datos da UE antes de poñelo en funcionamento (artigo 26.8 e artigo 49). Un sistema sen rexistrar non se pode usar.
• Informar as persoas cando se usa un sistema de alto risco para tomar decisións sobre elas ou para axudar a tomalas (artigo 26.11). As persoas teñen tamén dereito a unha explicación das decisións individuais (artigo 86).

A avaliación de impacto sobre os dereitos fundamentais

Segundo o artigo 27 (abre un sitio web externo), os organismos de dereito público, e as entidades privadas que prestan servizos públicos, fan unha avaliación de impacto sobre os dereitos fundamentais antes de usar por primeira vez a maioría dos sistemas do anexo III. Quedan excluídos os sistemas para infraestruturas críticas. A avaliación describe:

1. 01os procesos nos que se usará o sistema, conforme á súa finalidade prevista;
2. 02o período e a frecuencia de uso;
3. 03as categorías de persoas e colectivos que poden verse afectados;
4. 04os riscos concretos de dano para esas persoas;
5. 05como se aplica a supervisión humana;
6. 06que ocorre se os riscos se materializan, incluídos a gobernanza interna e os mecanismos de reclamación.

Os resultados comunícanse á autoridade de vixilancia do mercado. A avaliación complementa a avaliación de impacto relativa á protección de datos do artigo 35 do RXPD, e pode apoiarse nela, así que convén facer as dúas xuntas. O artigo 27.5 encárgalle á Oficina de IA un modelo de cuestionario; comprobe en que punto está antes de deseñar o seu propio. Algúns países xa teñen métodos propios, como o Impact Assessment Mensenrechten en Algoritmes (IAMA) do Goberno dos Países Baixos.

06Obrigas de transparencia que xa se aplican

Desde o 2 de agosto de 2026 aplícase o artigo 50. Os provedores deben deseñar os sistemas que interactúan con persoas de modo que estas saiban que tratan cun sistema de IA, salvo que sexa evidente, e deben marcar o contido sintético nun formato lexible por máquina. Os responsables do despregamento deben revelar as ultrasuplantacións («deepfakes»), e tamén o texto xerado ou manipulado por IA que se publique para informar a cidadanía sobre asuntos de interese público, salvo que unha persoa o revisase e alguén asuma a responsabilidade editorial.

Para unha administración, o caso máis habitual é un asistente conversacional nunha web ou nunha canle de atención. Indique claramente que se trata dun sistema de IA, explique en que pode axudar e en que non, e ofreza unha vía para falar cunha persoa.

07Un plan de preparación para 2026 e 2027

1. 01Inventario, agora. Liste cada sistema de IA en uso ou en proceso de contratación, incluídas as funcións de IA dentro de plataformas que xa ten contratadas. Rexistre a persoa responsable, a finalidade, o provedor, os datos que usa e as persoas afectadas.
2. 02Clasificación, a comezos de 2027. Prohibido, de alto risco (co razoamento do artigo 6.3 documentado), só con obrigas de transparencia ou de risco mínimo. Rexistre para cada un se actúa como provedor ou como responsable do despregamento.
3. 03Contratos, ao longo de 2027. Pídalles aos provedores as instrucións de uso, a documentación de conformidade e o acceso aos rexistros. Faga do apoio á avaliación de impacto e á notificación de incidentes unha cláusula do contrato.
4. 04Deseñar a supervisión. Designe as funcións, fórmeas, déalles autoridade para corrixir o sistema e unha vía de escalado. Deseñe contra o nesgo de automatización; a nosa análise sobre onde precisan aprobación humana os axentes de IA mostra como.
5. 05Rexistros e seguimento. Conserve os rexistros polo menos seis meses, defina que conta como incidente grave e quen o notifica.
6. 06Antes do primeiro uso. Faga a avaliación de impacto sobre os dereitos fundamentais xunto coa de protección de datos, rexistre o sistema na base de datos da UE e informe o persoal e as persoas afectadas.
7. 07Manter a alfabetización. Formación por funcións para as persoas usuarias, revisoras e responsables de decidir, actualizada cando cambian os sistemas, cun rexistro de quen recibiu a formación.

08Sancións e cumprimento

Os Estados membros establecen o réxime de sancións. O artigo 99.8 permite que cada Estado membro decida se se poden impoñer multas administrativas ás autoridades e organismos públicos establecidos nel, e en que medida. En España, esa decisión depende do réxime nacional, que segue en tramitación. Iso non é motivo para agardar. As autoridades de vixilancia do mercado poden esixir medidas correctoras, e a lexitimidade dunha decisión pública depende de que se poida explicar e impugnar.

09Que seguir nos próximos meses

• As directrices da Comisión sobre a clasificación dos sistemas de alto risco (artigo 6.5), e as xa publicadas directrices sobre as prácticas prohibidas (abre un sitio web externo).
• As normas harmonizadas para os requisitos de alto risco, que os provedores usarán para demostrar a conformidade.
• En España, a tramitación do proxecto de lei orgánica no Congreso, a adopción final da designación da AESIA e as primeiras indicacións para as administracións que usan IA.
• O modelo da Oficina de IA para a avaliación de impacto sobre os dereitos fundamentais.

O AI Act Service Desk (abre un sitio web externo) da Comisión Europea mantén actualizados o calendario oficial e as explicacións artigo por artigo. Gárdeo nos seus favoritos e poña data a cada nota interna que redacte sobre o Regulamento: é un texto que aínda se move.