IA en una administración pública: las preguntas que llegan antes que la herramienta
En una administración, la decisión de usar IA pasa por sitios por los que no pasa en una empresa privada: hay un régimen propio para las actuaciones automatizadas, hay un esquema de seguridad obligatorio y hay unos pliegos que fijan lo que el proveedor tiene que cumplir. La herramienta se elige al final de esa lista, no al principio, y esta página va de la lista.
Actuación administrativa automatizada: un régimen aparte
La Ley 40/2015, de Régimen Jurídico del Sector Público, define en su artículo 41 la actuación administrativa automatizada como cualquier acto o actuación realizada íntegramente a través de medios electrónicos en el marco de un procedimiento administrativo y en la que no haya intervenido de forma directa un empleado público. Y exige establecer previamente qué órgano u órganos son competentes para definir las especificaciones, programar, mantener, supervisar y controlar la calidad y, en su caso, auditar el sistema de información y su código fuente.
Eso separa dos usos que la gente mete en el mismo saco. Un agente que prepara un borrador, extrae datos de expedientes o cruza tablas para que después decida una persona no es una actuación automatizada. Un sistema que emite el acto sin intervención humana sí, y entonces hay que haber hecho antes ese trabajo de atribución de competencias y de supervisión. La frontera es si hay una persona decidiendo, no si hay IA por medio.
Seguridad y contratación: el ENS también alcanza al proveedor
El Esquema Nacional de Seguridad, el Real Decreto 311/2022, de 3 de mayo, se aplica al sector público y alcanza también a los sistemas de información de entidades del sector privado cuando prestan servicios a entidades públicas en el ejercicio de competencias administrativas. Los pliegos deben incluir las especificaciones de seguridad y la exigencia se propaga por la cadena de suministro según el análisis de riesgos.
Aquí toca ser claros: Mycel no está certificado en el ENS, y ninguna página nuestra va a insinuar lo contrario. Lo que sí se puede decir es qué propiedades tiene el despliegue y qué le ahorran a quien sí tiene que responder de ese sistema: el ejecutor corre en infraestructura de la propia entidad, el contenido de las tareas no llega a nuestro servidor porque esas columnas están eliminadas del esquema, y cada tarea deja traza exportable en JSON con su autor. La categorización del sistema y su conformidad las decide y las acredita el organismo, no el producto.
Y la otra norma, la de IA
El Reglamento (UE) 2024/1689 sitúa entre los ámbitos de alto riesgo del anexo III algunos que son terreno habitual de una administración, como el acceso a servicios públicos esenciales o determinados usos en educación y empleo. En 2026 la Unión aprobó un paquete de simplificación que aplaza esas obligaciones de alto riesgo: los sistemas autónomos del anexo III pasan al 2 de diciembre de 2027 y la IA integrada en productos ya regulados del anexo I al 2 de agosto de 2028. Las obligaciones de transparencia del artículo 50 no se aplazaron y siguen aplicándose desde el 2 de agosto de 2026.
Un aplazamiento no es una exención, y las fechas de este texto se han movido, así que confírmalas antes de fijar plazos internos. Mycel no clasifica tu sistema ni te hace cumplir nada: aporta soberanía sobre el dato y registro de lo ocurrido. Esta página es información general, no asesoramiento jurídico.
Cómo funciona, paso a paso
- Separas los usos en los que decide una persona de los que emitirían el acto solos.
- Para los segundos, atribuyes las competencias del artículo 41 antes de tocar la herramienta.
- Determinas la categoría ENS del sistema y trasladas las especificaciones a los pliegos.
- Despliegas el Nodo en infraestructura de la entidad y repartes acceso por unidad y por carpeta.
Qué necesitas
- Infraestructura propia administrada por la entidad, o por su proveedor bajo pliego.
- La categorización ENS del sistema y sus medidas: eso lo hace el organismo, no el producto.
- Criterio jurídico propio sobre qué usos son actuación automatizada y cuáles no.
Qué te llevas
- Un ejecutor corriendo en infraestructura de la propia entidad, no en un servicio ajeno.
- Traza exportable en JSON de cada tarea, con quién la lanzó y qué herramienta usó.
- Ni los expedientes ni los prompts en nuestro servidor: esas columnas están eliminadas del esquema.
Más preguntas
¿Usar un agente convierte un trámite en actuación automatizada?
Solo si el acto se realiza íntegramente por medios electrónicos sin intervención directa de un empleado público, que es la definición del artículo 41 de la Ley 40/2015. Un agente que prepara material para que decida una persona no encaja ahí. La frontera es quién decide.
¿Qué sale de nuestra red si el Nodo está en nuestro centro de datos?
La orquestación: el encargo viaja por nuestro relevo hasta el Nodo y el estado vuelve por ahí. El contenido no, porque el relevo no tiene columnas donde guardarlo: de cada sesión quedan seis campos sin contenido (identificador, cuenta, estado, fecha, workspace y receta), lo justo para poder listarlas.
¿Vale esto para expedientes con datos de ciudadanos?
Es el caso para el que está construido, en el sentido de que los documentos no salen de la máquina que administráis. Pero la responsabilidad del tratamiento, la categorización de seguridad y la decisión sobre qué se automatiza siguen siendo del organismo. Ninguna herramienta hace cumplir a nadie.
Pruébalo con tus propios documentos
Creas la cuenta, abres el Nodo y le encargas la primera tarea. Es gratis e ilimitado: el cómputo lo pone tu equipo, así que no hay nada que racionar.