Tema 18: Marco normativo básico de la IA en el sector público para el personal usuario

El Reglamento (UE) 2024/1689, conocido como AI Act, es la norma europea que fija las reglas de uso de la inteligencia artificial para empresas y administraciones públicas de la Unión Europea, incluida la Universidad de Alicante (UA).

Su objetivo es que la IA se utilice de forma segura, respetando los derechos de las personas y evitando prácticas que puedan causar daños o discriminaciones.

El AI Act no sustituye al Reglamento General de Protección de Datos (RGPD), a la LOPDGDD ni al resto de normas sobre servicios digitales y seguridad, sino que se aplica además de todas ellas.

En la UA, la Universidad actúa como organización responsable de desplegar y usar sistemas de IA, mientras que el personal trabaja como usuario interno siguiendo las instrucciones y políticas corporativas.

1.1. Qué es un sistema de IA en la práctica De forma sencilla, se considera sistema de IA cualquier herramienta informática que, a partir de datos que se le introducen, genera resultados (textos, recomendaciones, clasificaciones, resúmenes, etc.) con cierto grado de autonomía y aprendizaje, y no solo aplicando reglas fijas.

Ejemplos habituales en el trabajo administrativo son:

• Asistentes de redacción que proponen borradores de correos, informes o respuestas.

• Herramientas que generan resúmenes de documentos largos o estructuran información.

• Chatbots o asistentes virtuales para responder preguntas frecuentes.

• Sistemas que proponen clasificaciones o prioridades de expedientes, avisos o tareas.

Por el contrario, operaciones puramente mecánicas, como un sumatorio sencillo en una hoja de cálculo sin parte “inteligente”, suelen quedar fuera del concepto de sistema de IA.

1.2. Quién es responsable y qué papel tiene el personal El AI Act distingue entre quienes desarrollan y comercializan sistemas de IA (proveedores) y quienes los usan en su actividad (desplegadores o usuarios profesionales).

En el contexto de la UA:

• La Universidad es responsable de decidir qué sistemas de IA se usan, con qué fines y bajo qué condiciones.

• El personal usuario utiliza las herramientas autorizadas, sigue las instrucciones internas y mantiene un uso responsable y crítico de la IA.

Las obligaciones legales principales recaen en la UA, pero el cumplimiento efectivo depende de cómo trabaja cada persona usuaria en su día a día.

El AI Act organiza la regulación en función del riesgo que la IA puede suponer para los derechos de las personas: riesgo inaceptable (prohibido), alto riesgo, riesgo limitado y riesgo mínimo.

El personal usuario no tiene que memorizar toda la clasificación, pero sí reconocer algunas señales de alarma y saber cuándo debe consultar con personas responsables técnicas o jurídicas.

2.1. Prácticas de IA directamente prohibidas El Reglamento prohíbe ciertos usos de la IA considerados incompatibles con los valores de la Unión Europea, como:

• Sistemas que manipulan de forma encubierta o engañosa el comportamiento de las personas y pueden causarles perjuicios.

• Herramientas que explotan vulnerabilidades ligadas a la edad, la discapacidad o situaciones de especial vulnerabilidad.

• Sistemas de puntuación social que clasifican a las personas y provocan un trato gravemente perjudicial en el trabajo, la educación o servicios básicos.

• Sistemas que crean grandes bases de datos de reconocimiento facial con imágenes recopiladas de forma indiscriminada (por ejemplo, de toda la comunidad universitaria).

• Sistemas que intentan leer emociones o clasificar a las personas según rasgos especialmente sensibles (creencias, orientación sexual, opiniones políticas) en el trabajo o en el aula, salvo casos médicos o de seguridad muy tasados.

En la práctica, para la UA serían señales claras de alarma, por ejemplo:

• Propuestas de herramientas que “midan” emociones de estudiantes en exámenes o de personal en reuniones.

• Sistemas que pretendan etiquetar a personas por su ideología, religión u otros rasgos sensibles a partir de imágenes o comportamientos.

• Soluciones basadas en reconocimiento facial masivo de la comunidad universitaria sin base jurídica clara.

Ante una propuesta de este tipo, la instrucción básica es no impulsarla ni usarla y remitirla a los servicios técnicos y jurídicos correspondientes.

2.2. Riesgo limitado y obligaciones de transparencia Otros sistemas se consideran de riesgo limitado y exigen transparencia: las personas deben saber que están interactuando con IA o con contenidos generados por IA.

En la práctica, esto implica que:

• Si un canal de atención incorpora un chatbot o asistente de IA, debe informarse claramente a las personas usuarias.

• Si se utilizan textos, imágenes, audios o vídeos generados o modificados de forma significativa por IA, debe indicarse cuando se puedan confundir con contenidos reales.

El personal debe respetar estas indicaciones de transparencia cuando gestione contenidos públicos o comunicaciones que incluyan material asistido por IA.

2.3. Usos de alto riesgo (recursos humanos, educación, prestaciones) Determinados sistemas de IA pueden afectar de forma intensa a derechos fundamentales y se consideran de alto riesgo, como:

• Herramientas que influyen en la admisión, evaluación o calificación de estudiantes.

• Sistemas que ayudan a seleccionar personal, evaluar su rendimiento o proponer ascensos y ceses.

• Soluciones que condicionan el acceso a ayudas, becas u otras prestaciones esenciales.

En estos casos:

• La configuración y supervisión principal corresponde a responsables técnicos, jurídicos y de protección de datos.

• El resto de personal debe cumplir las instrucciones de uso, no tomar decisiones automatizadas por su cuenta y avisar si detecta errores, sesgos o resultados anómalos.

El AI Act exige que quienes usan sistemas de IA en su trabajo dispongan de un nivel suficiente de conocimientos para utilizarlos de forma segura y responsable, adaptado a su función y contexto.

En la UA, esta obligación se alinea con la Política de Seguridad de la Información y con las actuaciones derivadas del Esquema Nacional de Seguridad (ENS).

3.1. Alfabetización mínima en IA El personal que use herramientas de IA debe:

• Saber reconocer, al menos, qué es un sistema de IA y distinguirlo de una herramienta puramente mecánica.

• Entender que la IA forma parte de los sistemas de información sometidos al ENS y a la Política de Seguridad de la Información de la UA.

• Identificar tareas adecuadas para apoyo de IA (borradores, resúmenes, propuestas de texto, estructuración de información) y otras que requieren un juicio humano directo.

• Conocer riesgos frecuentes de la IA generativa: errores factuales, datos inventados, desactualización, sesgos y falta de contexto.

• Tener nociones básicas de protección de datos y confidencialidad cuando se manejan datos personales o información interna o restringida.

• Participar en las acciones de formación y concienciación en seguridad, protección de datos y uso responsable de IA que organice la UA.

La regla práctica es utilizar siempre la IA como ayuda y no como sustituto del criterio profesional ni de la revisión humana.

3.2. Uso de herramientas autorizadas y supervisión humana Para el personal usuario, las obligaciones esenciales de uso responsable son:

• Utilizar únicamente herramientas de IA autorizadas por la Universidad, respetando su finalidad y las normas internas de uso de recursos informáticos.

• Leer y respetar las advertencias de cada sistema (limitaciones, posibles sesgos, tratamiento de datos, etc.).

• Revisar siempre las salidas de la IA con criterio profesional antes de incorporar borradores o recomendaciones a expedientes, bases de datos o comunicaciones oficiales.

• Corregir, completar o descartar las respuestas de la IA cuando sean incorrectas, incompletas o puedan generar discriminaciones.

• Seguir las normas de registro y archivo, conservando la versión definitiva revisada y las evidencias que el procedimiento interno pueda exigir.

• Usar solo las cuentas y canales previstos, sin compartir credenciales ni utilizar servicios externos para tratar datos personales o información sensible.

• Colaborar con el Responsable de Seguridad de la Información, con el Servicio de Informática y, en su caso, con el Delegado de Protección de Datos, proporcionando información sobre el uso de IA cuando sea necesaria para evaluaciones de riesgo o auditorías

3.3. Comunicación de errores e incidentes de seguridad El uso de IA puede originar errores de contenido y también incidentes de seguridad de la información.

El personal debe:

• Distinguir un simple error de contenido (que se corrige en la revisión normal) de un incidente de seguridad (fuga de datos, acceso no autorizado, alteración o indisponibilidad grave de información).

• Notificar los incidentes usando el canal oficial definido por la División de Seguridad de la Información aportando información básica sobre recursos afectados, descripción del hecho y tipo de información comprometida: https://si.ua.es/es/uacibersegura/notificacion-de- incidentes.html

• Informar al superior jerárquico cuando el incidente afecte a expedientes o servicios relevantes de la unidad.

• Colaborar con el Equipo de Respuesta a Incidentes y con el personal técnico facilitando toda la información necesaria sobre el uso de la IA para resolver la incidencia.

• No ocultar ni borrar rastros del incidente fuera de los procedimientos establecidos.

La IA no se rige por un régimen independiente, sino que se integra en las obligaciones ya existentes de seguridad, protección de datos, accesibilidad y uso de recursos informáticos.

4.1. Seguridad de la información (ENS y Política de Seguridad UA) El Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022, y la Política de Seguridad de la Información de la UA constituyen el marco general de seguridad aplicable a todos los sistemas de información de la Universidad.

Esto incluye a los sistemas que incorporan componentes de IA, de modo que:

• Cualquier herramienta de IA debe cumplir las mismas medidas de seguridad que el resto de sistemas corporativos.

• El personal debe conocer y respetar las directrices de seguridad de la UA también cuando use IA para apoyar su trabajo.

• Antes de incorporar IA a un trámite o procedimiento, deben respetarse las decisiones que la UA adopte sobre dónde se almacenan los datos, quién puede acceder a ellos y qué garantías ofrece el proveedor.

4.2. Protección de datos y minimización El RGPD y la LOPDGDD siguen aplicándose plenamente cuando se usan herramientas de IA con datos personales.

Para el personal usuario, esto significa:

• No introducir más datos personales de los necesarios en la herramienta de IA.

• Evitar, en particular, datos sensibles o información clasificada como interna o restringida en servicios generales de IA en la nube que no hayan sido autorizados.

• Respetar las instrucciones del Delegado de Protección de Datos (DPD) y de la UA sobre qué tratamientos pueden incorporar IA y en qué condiciones.

• Consultar a los canales previstos cuando surjan dudas sobre base jurídica, decisiones automatizadas o uso de proveedores externos.

4.3. Uso de recursos y servicios informáticos La normativa interna sobre uso de recursos informáticos se aplica igualmente a las herramientas de IA.

En la práctica, el personal debe:

• Utilizar los equipos, redes, cuentas y servicios de la UA solo para fines profesionales autorizados.

• Respetar las normas sobre instalación de software, uso de servicios en la nube y conexión de dispositivos, también cuando se trate de aplicaciones de IA.

• No emplear servicios de IA gratuitos o no autorizados para tratar información de expedientes o de la comunidad universitaria.

• Guardar los borradores y documentos generados con IA en ubicaciones corporativas adecuadas al nivel de confidencialidad de los datos.

• Atender las indicaciones del Servicio de Informática sobre qué soluciones de IA están autorizadas y con qué limitaciones.