¿El AI Act se aplica a las administraciones públicas?

Sí. El Reglamento (UE) 2024/1689 se aplica a las autoridades públicas igual que a las empresas cuando desarrollan o usan sistemas de IA, y les impone obligaciones adicionales como responsables del despliegue: registro en la base de datos de la UE y evaluación de impacto en los derechos fundamentales.

¿Qué sistemas de IA públicos son de alto riesgo?

Entre otros, los que evalúan el derecho a prestaciones y servicios públicos esenciales (anexo III, punto 5.a), los de gestión de la migración, el asilo y las fronteras (punto 7), los de la Administración de justicia y procesos democráticos (punto 8), los de garantía del cumplimiento del Derecho (punto 6) y los de educación y empleo público (puntos 3 y 4).

¿Tiene que registrar una administración los sistemas de IA que usa?

Sí, si son de alto riesgo del anexo III (salvo infraestructuras críticas). Antes de usarlos debe registrarse, seleccionar el sistema y registrar su uso en la base de datos de la UE (artículo 49.3), y no puede usar un sistema que el proveedor no haya registrado (artículo 26.8).

¿Qué es la evaluación de impacto en los derechos fundamentales?

Es un análisis que el artículo 27 exige a los organismos de Derecho público y a las entidades privadas que prestan servicios públicos antes de desplegar un sistema de alto riesgo. Describe el uso, las personas afectadas, los riesgos de perjuicio, la supervisión humana y las medidas si los riesgos se materializan, y se notifica a la autoridad de vigilancia del mercado.

¿Hasta cuándo tienen las administraciones para adaptarse?

Las obligaciones de alto riesgo del anexo III se aplican desde el 2 de diciembre de 2027, tras el Reglamento (UE) 2026/1744. Los sistemas de alto riesgo destinados a autoridades públicas que ya estuvieran en uso tienen como plazo máximo el 2 de agosto de 2030 (artículo 111.2).

¿Qué normas españolas se suman al AI Act?

Entre otras, la Ley 40/2015, que regula la actuación administrativa automatizada (artículo 41); la Ley 15/2022, cuyo artículo 23 pide a las administraciones minimizar sesgos y garantizar transparencia y rendición de cuentas en sus algoritmos; y el Esquema Nacional de Seguridad (Real Decreto 311/2022).

Gobernanza de IA en el sector público: obligaciones del AI Act

Actualizado el 11 de octubre de 2026

Cuando una empresa usa mal un sistema de IA, pierde un cliente. Cuando lo hace una administración pública, puede negar una prestación, señalar a un ciudadano o condicionar una decisión judicial, con el peso del poder público detrás y sin que el afectado pueda irse a la competencia. Por eso el EU AI Act trata el uso público de la IA con una exigencia mayor que el privado, y por eso la gobernanza de la IA es, en el sector público, una cuestión de legalidad y de legitimidad.

Este artículo resume qué obligaciones tienen las administraciones que usan IA, qué sistemas públicos son de alto riesgo, qué plazos aplican y cómo encaja el Reglamento europeo con la normativa española. Forma parte de nuestra guía de gobernanza de IA.

Lo que está prohibido, también para la Administración

El artículo 5 del Reglamento (UE) 2024/1689 prohíbe desde el 2 de febrero de 2025 ciertas prácticas, varias de ellas especialmente relevantes para el poder público:

La puntuación social: evaluar o clasificar a las personas por su comportamiento social o rasgos personales cuando provoca un trato perjudicial injustificado o desproporcionado.
La predicción de delitos basada únicamente en la elaboración de perfiles o en rasgos de personalidad.
La identificación biométrica remota «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho, salvo excepciones tasadas y con autorización previa.
La creación de bases de datos de reconocimiento facial mediante la extracción no selectiva de imágenes de internet o de cámaras de videovigilancia.

Qué sistemas públicos son de alto riesgo

El anexo III clasifica como alto riesgo una larga lista de usos, muchos de ellos propios del sector público:

Ámbito	Ejemplos (anexo III)
Servicios y prestaciones públicas (punto 5.a)	Evaluar si una persona tiene derecho a prestaciones y servicios esenciales de asistencia pública, incluida la sanitaria, o conceder, reducir o retirar dichas prestaciones
Emergencias (punto 5.d)	Evaluar y clasificar llamadas de emergencia, priorizar el envío de servicios de primera intervención o el triaje de pacientes
Garantía del cumplimiento del Derecho (punto 6)	Evaluar el riesgo de que una persona sea víctima de delitos, polígrafos y herramientas similares, evaluar la fiabilidad de las pruebas
Migración, asilo y fronteras (punto 7)	Evaluar riesgos de una persona que entra en el territorio, examinar solicitudes de asilo, visados y permisos de residencia
Justicia y procesos democráticos (punto 8)	Ayudar a una autoridad judicial a investigar e interpretar hechos y Derecho; influir en el resultado de elecciones o en el comportamiento electoral
Educación y empleo (puntos 3 y 4)	Admisión y evaluación en centros públicos; selección y evaluación de empleados públicos

Las obligaciones adicionales de una administración

Una administración que usa un sistema de alto riesgo es responsable del despliegue y tiene las obligaciones generales del artículo 26: usarlo según sus instrucciones, asignar una supervisión humana competente y con autoridad, vigilar su funcionamiento y conservar los registros. Pero el Reglamento le añade tres más, que no tienen las empresas privadas en general.

1. Registro en la base de datos de la UE

Antes de usar un sistema de alto riesgo del anexo III —salvo los de infraestructuras críticas—, las autoridades públicas deben registrarse, seleccionar el sistema y registrar su utilización en la base de datos de la UE (artículo 49.3). Y si el sistema que pretenden usar no ha sido registrado por el proveedor, no pueden utilizarlo y deben informar al proveedor o al distribuidor (artículo 26.8). En la práctica, esto convierte el registro en un requisito de contratación.

2. Evaluación de impacto en los derechos fundamentales

El artículo 27 obliga a los organismos de Derecho público —y a las entidades privadas que prestan servicios públicos— a evaluar, antes del primer uso de un sistema de alto riesgo (salvo los de infraestructuras críticas), el impacto que puede tener en los derechos fundamentales. La evaluación debe describir:

los procesos en que se usará el sistema, durante cuánto tiempo y con qué frecuencia;
las categorías de personas y colectivos que pueden verse afectados;
los riesgos de perjuicio específicos para ellos;
las medidas de supervisión humana;
y las medidas si los riesgos se materializan, incluidos la gobernanza interna y los mecanismos de reclamación.

Una vez realizada, la administración debe notificar los resultados a la autoridad de vigilancia del mercado.

3. Transparencia hacia el ciudadano

Las obligaciones de transparencia del artículo 50 —informar de que se interactúa con una IA, revelar el contenido sintético— se aplican desde el 2 de agosto de 2026 también a las administraciones. Y el artículo 86 reconoce a la persona afectada por una decisión basada en un sistema de alto riesgo del anexo III con efectos jurídicos o significativos el derecho a una explicación clara del papel del sistema en la decisión.

Los plazos

Obligación	Desde
Prácticas prohibidas y alfabetización en IA (arts. 4 y 5)	2 de febrero de 2025
Transparencia (art. 50)	2 de agosto de 2026
Alto riesgo del anexo III, incluidos registro y evaluación de impacto	2 de diciembre de 2027
Sistemas de alto riesgo para autoridades públicas ya en uso	Plazo máximo: 2 de agosto de 2030 (art. 111.2)

Las fechas de alto riesgo son las del Reglamento (UE) 2026/1744 («Ómnibus digital sobre IA»), que retrasó el calendario original. El plazo de 2030 para los sistemas públicos ya existentes no es una moratoria general: los sistemas nuevos o que se modifiquen sustancialmente deben cumplir desde el principio.

El encaje con la normativa española

El AI Act no llega a un terreno vacío. Las administraciones españolas ya están sujetas a normas que regulan el uso de algoritmos y la automatización:

Ley 40/2015, de Régimen Jurídico del Sector Público, artículo 41: regula la actuación administrativa automatizada y exige designar previamente el órgano responsable de definir las especificaciones, la programación, el mantenimiento, la supervisión, el control de calidad y, en su caso, la auditoría del sistema, así como el órgano responsable a efectos de impugnación.
Ley 15/2022, integral para la igualdad de trato y la no discriminación, artículo 23: pide a las administraciones favorecer que los algoritmos que usan en la toma de decisiones tengan en cuenta criterios de minimización de sesgos, transparencia y rendición de cuentas, siempre que sea técnicamente viable.
Esquema Nacional de Seguridad (Real Decreto 311/2022): los sistemas de IA de las administraciones son sistemas de información y quedan dentro de sus medidas de seguridad.
RGPD: cuando hay datos personales, siguen aplicándose los límites a las decisiones automatizadas (artículo 22) y la evaluación de impacto en protección de datos (artículo 35).

En cuanto a la supervisión, la AESIA es la autoridad general de vigilancia de la IA en España. El proyecto de ley orgánica para el buen uso y la gobernanza de la IA, publicado en el Boletín Oficial de las Cortes Generales el 12 de junio de 2026, preveía además autoridades específicas para ámbitos públicos como la justicia y la migración. Tras la disolución de las Cortes el 6 de octubre de 2026, ese proyecto queda pendiente de la próxima legislatura. Explicamos el papel de la AESIA en AESIA: qué es y cómo puede inspeccionar a tu empresa.

Cómo organizar la gobernanza de IA en una administración

Inventario de sistemas, incluidos los que llegan dentro de aplicaciones contratadas y los que usan otros organismos en su nombre.
Clasificación de cada uno según el AI Act, y documentación de por qué un sistema del anexo III se considera, en su caso, no de alto riesgo.
Cláusulas de contratación: exigir al proveedor el registro en la base de datos de la UE, las instrucciones de uso, la documentación necesaria para la evaluación de impacto y la colaboración en caso de incidente.
Designación de responsables: quién supervisa cada sistema, con qué formación y con qué autoridad para detenerlo. Conecta con la designación de órganos que ya exige el artículo 41 de la Ley 40/2015.
Evaluación de impacto del artículo 27 antes del primer uso, coordinada con la de protección de datos.
Canal de reclamación y procedimiento para dar la explicación que exige el artículo 86.
Seguimiento periódico, con indicadores de funcionamiento y de sesgo.

Qué implica según el tamaño del organismo

Ayuntamientos y organismos pequeños: lo más probable es que usen IA dentro de aplicaciones contratadas (atención ciudadana, gestión de ayudas). La prioridad es el inventario y las cláusulas de contratación: el proveedor debe darles lo que necesitan para cumplir.
Comunidades autónomas y organismos medianos: suelen tener ya sistemas propios de gestión de prestaciones o de servicios sanitarios. Necesitan un procedimiento común de evaluación de impacto y un registro centralizado.
Administración General del Estado y grandes organismos: el reto es la coordinación entre la protección de datos, la seguridad del ENS, el AI Act y la transparencia, y poder acreditar ante la autoridad y ante los tribunales que cada sistema funciona como se declaró.

El reto de fondo: demostrar, no estimar

Una decisión administrativa debe poder motivarse y revisarse. Si en ella interviene un sistema de IA, la administración tiene que poder explicar y acreditar cómo ha intervenido, ante el ciudadano, ante el supervisor y, llegado el caso, ante un juez. Las pruebas habituales sobre sistemas de IA —muestreos, métricas agregadas— entregan una estimación de su comportamiento; un tribunal pide prueba.

Deflank existe para cerrar esa brecha: con una metodología de verificación propia, convierte los requisitos aplicables —del AI Act, de la normativa española o de las condiciones del pliego— en una prueba demostrable, reproducible y auditable. La prueba, no la estimación.

Contenido informativo; no constituye asesoramiento jurídico. Fuentes: Reglamento (UE) 2024/1689, artículos 4, 5, 26, 27, 49, 50, 86, 111 y 113, y anexo III; Reglamento (UE) 2026/1744 («Ómnibus digital sobre IA»); Ley 40/2015, artículo 41; Ley 15/2022, artículo 23; Real Decreto 311/2022 (ENS); Reglamento (UE) 2016/679, artículos 22 y 35; Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (BOCG de 12 de junio de 2026); Real Decreto 806/2026. Verificado el 11 de octubre de 2026.