IA en los ayuntamientos: qué datos puedes usar
· Actualizado el
Joaquín Trapero in Experto en inteligencia artificial y privacidad, y fundador de Nonimo.
Si trabajas en un ayuntamiento, seguro que alguien de tu oficina ya le pide a una IA que le ordene un informe. La duda llega cuando el papel lleva el nombre de un vecino, su domicilio o un dato de servicios sociales.
Aquí te cuento qué haría yo con cada tipo de expediente y qué normas mandan hoy, que son más españolas que europeas. Si tu documento es un escaneado, ten a mano cómo anonimizar un PDF para la IA.
Puedes usar la IA para redactar, resumir o traducir, pero los datos de los vecinos no deberían llegar tal cual a un chat comercial. Reescribe el caso sin identificarlos, o usa una herramienta autorizada por tu entidad y con contrato.
Hoy pesan más el artículo 41 de la Ley 40/2015, el 77 de la LOPDGDD y el ENS que el Reglamento europeo de IA, aplazado en casi todo lo que toca a una entidad local.
Cómo se usa la inteligencia artificial en la administración local
Casi todo se usa en la oficina y no se ve: una pestaña abierta para reescribir un borrador, resumir alegaciones o traducir una notificación. No hay contrato ni expediente detrás, así que no sale en ningún inventario. Los asistentes de la sede o los clasificadores de incidencias sí se contratan y dejan rastro.
Por eso miro antes la pestaña que el catálogo. Elige el tipo de uso y verás qué entra en la IA en cada caso. Un pliego que ha pasado por varias manos puede llevar además cambios marcados que no se ven.
¿Dónde está tu uso?
| Uso | Qué entra en la IA | Qué vigilaría |
|---|---|---|
| Redactar un pliego o una ordenanza partiendo de un modelo | Texto genérico | Que la herramienta esté aprobada |
| Resumir alegaciones o un lote del registro | Nombres, domicilios y lo que traiga cada escrito | RGPD y lista de datos que no salen |
| Traducir una notificación | Destinatario, expediente e importe | Quitar lo que identifica antes de pegarla |
| Asistente de la sede que responde a vecinos | Lo que cada vecino quiera escribir | Contrato, ENS y quién firma lo que sale |
| Puntuar solicitudes de ayuda | Salud, renta, menores | Alto riesgo del anexo III y artículo 41 |
Criterio propio, con ejemplos habituales en una entidad local.
¿Puede un ayuntamiento usar ChatGPT con datos de ciudadanos?
Ninguna norma prohíbe la herramienta por su nombre. La cuestión es qué entra y con qué cuenta. La AEPD pide en su decálogo de enero de 2026 no compartir nombre, dirección, teléfono, DNI o NIE ni imágenes de personas, y seguir las políticas de cada organización.
Con una cuenta personal, yo no pegaría nunca un expediente: nadie ha firmado nada por el ayuntamiento. Qué hace cada proveedor con el texto lo tienes en qué hace ChatGPT con tus datos. Antes de pegar, haz este recorrido con tu papel delante.
¿Puedes usar esta herramienta con este expediente?
¿El texto permite identificar a una persona, aunque no salga su nombre?
¿Puedes plantearlo como un caso ficticio o quitar lo que identifica?
¿La herramienta está autorizada por tu entidad, con cuenta de la entidad y contrato de encargo?
¿El resultado saldría sin que una persona lo lea y lo firme?
¿Lleva salud, servicios sociales, menores o infracciones?
Criterio propio a partir de la AEPD, el RGPD y la Ley 40/2015. No sustituye al análisis de tu delegado de protección de datos.
Datos de vecinos: padrón, servicios sociales, sanciones y urbanismo
Buena parte de lo que entrega un vecino lo entrega por obligación: quien se empadrona no negocia nada, y eso estrecha lo que puedes hacer después. Elige tu tipo de papel para ver qué lleva y qué haría yo con él.
¿Qué documento municipal tienes delante?
Qué lleva: nombre, sexo, domicilio con referencia catastral, nacionalidad, lugar y fecha de nacimiento, y DNI o NIE. Teléfono y correo son de aportación voluntaria.
Qué haría yo: no sacarlo de su sistema. Para una duda sobre empadronamiento, un caso inventado sirve igual.
Qué lleva: salud, discapacidad, situación de menores y, a menudo, número de la Seguridad Social.
Qué haría yo: no llevarla a un chat. Necesitarías las dos llaves de la categoría especial: base jurídica y una excepción del artículo 9.
Qué lleva: infracciones, matrícula, domicilio de notificación y, en un recurso, la copia del carnet de conducir.
Qué haría yo: preguntar por el procedimiento, nunca por la persona. El artículo 10 del RGPD limita el tratamiento de condenas e infracciones penales; ante la duda con una sanción administrativa, pregunta a tu delegado.
Qué lleva: titular, referencia catastral y planos con dirección.
Qué haría yo: quitar la referencia y la dirección además del nombre. Si los planos van en PDF, tapar la dirección con un recuadro negro no la borra.
Qué lleva: todo lo anterior mezclado y sin clasificar.
Qué haría yo: es el último que resumiría con IA. Si lo hace una aplicación por API, además deja copias en registros, como cuento en fuga de datos con IA.
Datos del padrón: artículo 16.2 de la Ley 7/1985. El resto, categorías habituales y criterio propio.
El padrón tiene regla propia. El artículo 16.3 de la Ley 7/1985 solo prevé ceder los datos obligatorios a otras Administraciones que los pidan y los necesiten para sus competencias, en asuntos donde importe el domicilio, además de la estadística oficial. Los de aportación voluntaria no se ceden en ningún caso.
Un proveedor de IA no es otra Administración. Para que su acceso no cuente como comunicación de datos debe ser tu encargado, según el artículo 33 de la LOPDGDD, y el 28.3 del RGPD pide contrato. Con una cuenta personal no lo hay. Y si usa los datos para sus fines, es responsable.
Tampoco basta con quitar el nombre, porque hay datos que señalan a alguien igual:
| Identifica sin nombre | Por qué |
|---|---|
| Referencia catastral | Lleva a un inmueble concreto y, de ahí, a su titular |
| Número de expediente | Es único dentro de la entidad |
| Número de la Seguridad Social | Identifica a una sola persona |
| Calle y número en un pueblo pequeño | Con 300 vecinos, el domicilio ya es el nombre |
Ayuntamientos pequeños: el apoyo de la diputación para usar IA
El mapa municipal es sobre todo de entidades diminutas, y el ENS no tiene umbral de tamaño. La ayuda está prevista: el artículo 36.1 de la Ley 7/1985 encarga a la diputación o entidad equivalente la asistencia técnica y jurídica a los municipios, y la administración electrónica en los de menos de 20.000 habitantes.
Cuántos municipios hay por debajo de cada tamaño
Cálculo propio sobre la tabla 29005 del INE, población a 1 de enero de 2025, recontado el 7 de noviembre de 2026.
Si llevara la secretaría de un pueblo de 400 vecinos, yo llamaría primero a la diputación. Y no empezaría por un comité, sino por una página firmada y una herramienta que funcione sin administrarla nadie. Cómo se despliega algo así está en la página de organizaciones.
Un modelo en servidores propios lo veo más para una diputación que para un ayuntamiento pequeño, y lo comparo en IA privada o proxy de privacidad.
Actuación administrativa automatizada: el artículo 41 de la Ley 40/2015
España reguló esto en 2015, sin hablar de algoritmos. El artículo 41 llama actuación administrativa automatizada a cualquier acto hecho íntegramente por medios electrónicos dentro de un procedimiento, sin intervención directa de un empleado público.
Esa frontera la dejaría escrita en la política interna, con un ejemplo de cada lado, porque es la duda que más va a salir. Te dejo un modelo en la guía de política de uso de IA en empresas.
No lo es
- La IA propone el borrador de una notificación
- Una persona lo lee, lo corrige y lo firma
- El acto es de quien firma
Sí lo es
- El sistema genera y notifica el acto solo
- Nadie interviene de forma directa en ese acto
- Hay que designar órganos antes de ponerlo en marcha
Si estás en el segundo lado, el apartado 2 pide fijar órganos antes de empezar. En un ayuntamiento pequeño puede ser media página, y yo no dictaría un solo acto sin ella.
Qué dejar escrito antes de automatizar un acto
Marca lo que tenga ya un órgano designado.
0 de 6
Lo que quede sin marcar, resuélvelo antes de que salga el primer acto.
Ya lo tienes. Si un vecino pregunta quién responde, la respuesta está en ese acuerdo.
Artículo 41.2 de la Ley 40/2015.
¿Puede la AEPD multar a un ayuntamiento? El artículo 77 de la LOPDGDD
No puede. El artículo 77.1 c) incluye a las entidades de la Administración local en un régimen propio, y el apartado 2 excluye la multa del RGPD por las infracciones de los artículos 72 a 74. A mí esto no me tranquilizaría nada, porque lo que viene en su lugar va con nombre.
| En vez de multa | Apartado del artículo 77 |
|---|---|
| Resolución que declara la infracción y fija medidas | 2 |
| Notificación al órgano del que dependa, además de al responsable y a los interesados | 2 |
| Propuesta de actuaciones disciplinarias, si hay indicios suficientes | 3 |
| Amonestación con denominación del cargo, publicada en el boletín oficial, si se ignoraron informes técnicos | 3 |
| Comunicación al Defensor del Pueblo o a la institución autonómica análoga | 5 |
| Publicación en la web de la AEPD, con la identidad del responsable | 6 |
Fíjate en la fila resaltada. Si un técnico o el delegado avisó y nadie hizo caso, ese papel prueba que hubo aviso. Yo no archivaría nunca un informe así sin contestarlo.
La AEPD recibió 2.765 notificaciones de brechas en 2025, y el 20 % venía del sector público. No hay desglose municipal publicado, y la Agencia aclara que notificar no implica que se abra un procedimiento. Qué hacer si te toca está en la guía de brechas con IA.
El Esquema Nacional de Seguridad en la nube: qué pedir al proveedor de IA
El Real Decreto 311/2022 se aplica a todo el sector público, sin umbral de tamaño. Pide una auditoría ordinaria al menos cada dos años, y en categoría básica su artículo 38.1 permite declarar la conformidad con una autoevaluación. Para mí, lo primero es op.nub.1, sobre la nube, que rige desde esa categoría.
Si usas nube de terceros, esos sistemas deben ser conformes con el ENS o cumplir una guía CCN-STIC, y en categoría media el servicio tiene que estar certificado. El artículo 2.3 alcanza también a quien te presta servicios por contrato y obliga a recogerlo en los pliegos. Llévate esta tabla tal cual:
| Qué pedir | De dónde sale |
|---|---|
| Declaración o Certificación de Conformidad con el ENS | Artículo 2.3 del Real Decreto 311/2022 |
| Si no la hay: pruebas de penetración, transparencia, cifrado y gestión de claves | op.nub.1.2 a), b) y c) del anexo II |
| Jurisdicción de los datos, por escrito | op.nub.1.2 d) del anexo II |
| Dónde estarán los servidores y desde dónde se presta el servicio | Artículo 122.2 de la Ley 9/2017 |
| Contrato de encargo y compromiso sobre subencargados | Artículo 28 del RGPD |
| Clasificación de riesgo del sistema ofertado | Artículos 6 y 49 del Reglamento (UE) 2024/1689 |
La fila resaltada es la que más dice de un proveedor: si no sabe explicar si su sistema entra en el anexo III, ya tienes una respuesta. Guarda lo que te conteste.
La medida mp.info.5 manda además retirar campos ocultos, comentarios y revisiones antes de enviar un documento: lo tienes en cómo borrar los metadatos.
Y si tus aplicaciones llaman a un modelo, la pregunta alcanza a lo que registra el AI gateway por el que pasan.
Política de uso de IA para el personal municipal: herramientas y cuentas
En estructura se parece a la de una empresa, y el modelo de una página de la guía sobre política de uso de IA te sirve de base. Lo que una plantilla descargada no trae es lo municipal, y es justo por donde empezaría.
Lista para tu política de uso
Marca lo que tu documento ya recoge.
0 de 6
Cada casilla vacía cabe en una frase. Más vale una página que se lea que quince folios.
Pásasela a tu delegado de protección de datos y fírmala.
Criterio propio. Quien revisa es tu delegado: esto solo prepara esa conversación.
El último punto tiene su propio plazo y su propio formulario, y en el sector público se suma lo disciplinario del artículo 77.3.
Mi regla: lista cerrada y corta, con una vía para pedir herramientas nuevas, porque si no, se usan igual y sin avisar. El decálogo de la AEPD de octubre de 2026 pide usar solo los asistentes y las conexiones autorizados. Para elegir, valen los criterios de una IA conforme al RGPD.
La segunda pregunta es con qué cuenta. Casi nunca se escribe, y es la que decide qué pasa con el texto. Para rellenar la lista con datos, empieza por qué hace Microsoft Copilot.
| Qué cambia | Cuenta personal | Cuenta de la entidad |
|---|---|---|
| Quién acepta las condiciones | La persona | La entidad |
| Conservación y entrenamiento | Según el plan de consumo | Según el contrato |
| Jurisdicción de los datos | Rara vez consta | Se puede exigir por escrito |
Respuesta al op.nub.1.2 | No la hay | La da el contrato |
Si tu oficina tira de Google, mira también qué hace Gemini con tus datos antes de apuntarlo en la lista.
Lo que no dejaría nunca es que un agente leyera instancias de cualquiera, viera el padrón y contestara solo. La AEPD, en sus orientaciones de febrero de 2026, dice que no se debería permitir esa suma: información que no controlas, acceso a lo sensible y acciones automáticas.
Reglamento de IA en las administraciones públicas: qué pide y cuándo
El Reglamento (UE) 2024/1689 trata al ayuntamiento como responsable del despliegue y le suma tres capas, que aún no se le pueden exigir. Yo no me dormiría con la fecha de 2030: da margen a lo que ya funcionaba, y no exime de nada. El resto lo explico en la guía del Reglamento.
| Capa | Qué exige | Desde cuándo |
|---|---|---|
| Artículo 26.8 | Registrar el sistema de alto riesgo y no usarlo si no está en la base de datos de la UE | 2 de diciembre de 2027 |
| Artículo 27 | Evaluación de impacto en derechos fundamentales antes de desplegarlo | 2 de diciembre de 2027 |
| Artículo 111.2 | Poner al día los sistemas para autoridades públicas que ya funcionaban | 2 de agosto de 2030 |
Lo que más afecta a un ayuntamiento es el anexo III, punto 5 a): sistemas que usan las autoridades públicas para admitir a alguien a prestaciones esenciales de asistencia pública, o para concederlas, reducirlas o retirarlas. Un baremo que puntúe ayudas sociales entra ahí, aunque el proveedor no lo llame así.
El artículo 27 se apoya en la evaluación del artículo 35 del RGPD, que puedes citar con referencias cruzadas. El proyecto de ley español de IA decayó cuando el Real Decreto 806/2026 disolvió las Cortes, con elecciones el 29 de noviembre de 2026, así que hoy no añade nada que cumplir.
Si un vecino pregunta qué ha intervenido en su expediente, la respuesta tiene que estar preparada. Improvisarla es mala idea:
Qué contestar a un vecino que pregunta
El acto lo dictó una persona, con ayuda para redactar. Dilo así, tal cual.
Da el órgano responsable a efectos de impugnación, que debió quedar designado antes, según el artículo 41.2.
El artículo 86 del Reglamento da derecho a explicaciones claras sobre el papel del sistema y los elementos principales de la decisión, cuando le afecta de forma considerable.
Ley 40/2015 y Reglamento (UE) 2024/1689. Las solicitudes de acceso del RGPD siguen sus propias reglas.
Guía de la FEMP y otras guías oficiales para entidades locales
Hay material español gratuito, y ninguno es una norma: te ayuda a justificar una decisión razonable, sin sustituir a lo que el RGPD pide a cualquier herramienta de IA.
| Documento | Para qué lo usaría |
|---|---|
| Guía práctica de la FEMP, presentada el 11 de diciembre de 2025 | Situarte en un nivel de madurez y ordenar el despliegue |
| Decálogo de la AEPD, 27 de enero de 2026 | Decirle a la plantilla qué no pegar |
| Decálogo de asistentes y agentes de la AEPD, 27 de octubre de 2026 | Hablar de conexiones y cuentas |
| Protocolo del Ayuntamiento de Barcelona, enero de 2023 | Meter las garantías en el pliego |
El laboratorio de la AEPD reseñó la guía de la FEMP en marzo: cada entidad debe saber qué sistemas usa, para qué y en qué condiciones. Lo de Barcelona no se traslada tal cual a un pueblo, pero sí su idea de fondo: la garantía va en el pliego.
La guía de la FEMP tiene huecos, y lo dicen miembros de su propio grupo de trabajo en la revista de la AEPD. Yo no haría su autoevaluación sin añadirle cuatro preguntas: riesgos de los algoritmos, ciberseguridad, revisión humana de la decisión y evaluación de impacto en derechos fundamentales.
Ejemplo: anonimizar la queja de un vecino antes de la IA
Una técnica de atención ciudadana tiene que contestar una queja por una recogida de basura que no se hizo, y quiere que la IA le ordene el escrito. El caso es inventado. Yo iría en este orden, con la lista de datos que anonimizar en un documento a mano.
De la queja al escrito firmado, en cinco pasos
Los pasos 2 y 3 son los que se saltan, porque hacerlos a mano es aburrido. Este comprobador te da una primera pasada:
Comprueba tu borrador antes de pegarlo
Funciona en tu navegador y solo reconoce DNI, NIE, IBAN, correo, teléfono español y matrícula. Nombres, direcciones y referencias catastrales quedan para ti.
Nonimo es una aplicación de escritorio para Mac y Windows que cambia los identificadores por etiquetas en tu equipo, antes de pegar nada en el chat. Tapa DNI, NIE, IBAN o referencia catastral, y te los enseña marcados para revisarlos. La veo para los pasos 2 y 3, sobre todo con cola en el mostrador.
Lo que recibe la IA, con datos de ficción
Reclamación de Encarna Bellver, con DNI 12345678Z y domicilio en calle de los Tilos 9. Referencia catastral 1234567AB1234C0001XY.
Reclamación de [PERSONA_1], con DNI [DNI_1] y domicilio en calle [DIRECCION_1]. Referencia catastral [REF_CATASTRAL_1].
Etiquetas tal como las pone Nonimo. La equivalencia se queda en tu equipo y la respuesta vuelve con los valores reales puestos.
La app también lee PDF escaneados en tu ordenador. Para un ayuntamiento entero, informática despliega por política la extensión de navegador, que tapa sin que nadie pulse la tecla.
Si tenéis aplicaciones sobre la API de OpenAI, el enmascaramiento puede hacerse en vuestro servidor.
Dos límites. Como la correspondencia es reversible, el resultado sigue siendo dato personal a efectos del artículo 4.5 del RGPD, y el ayuntamiento sigue siendo responsable. Y Nonimo no cubre a los agentes: si uno lee el registro por su propia conexión, ese texto no pasa por la herramienta.
Por dónde empezaría un ayuntamiento pequeño con la IA
Empezaría por lo que no cuesta dinero, y en este orden. La herramienta viene después, para que la política se cumpla en cada documento.
El orden que seguiría
Si en tu oficina no hay nadie más y la secretaría da el visto bueno, basta con una app de escritorio que tapa el DNI del vecino y su referencia catastral.
Si lo montas para varias entidades desde una diputación o una consultora, en la página del canal contamos cómo trabajamos.
Quien decide en tu ayuntamiento es el delegado de protección de datos, con la secretaría o la asesoría jurídica: esto te sirve para llegar a esa conversación con las normas leídas.
Fuentes
- Ley 40/2015, texto consolidado en el BOE. Artículo 41: la definición y los órganos que hay que designar antes.
- LOPDGDD, texto consolidado en el BOE. Artículo 33, el encargado. Artículo 77, la exclusión de la multa y lo que viene en su lugar.
- Esquema Nacional de Seguridad, Real Decreto 311/2022, referencia BOE-A-2022-7191. Artículos 2, 31 y 38, y medidas
op.nub.1ymp.info.5. - Otras normas, por su referencia BOE: Ley 7/1985, BOE-A-1985-5392, artículos 16 y 36.1. Ley 9/2017, BOE-A-2017-12902, artículo 122.2. Real Decreto 806/2026, BOE-A-2026-20742.
- Reglamento (UE) 2024/1689, consolidado a 27 de julio de 2026 en EUR-Lex. Artículos 26.8, 27, 86, 111.2 y 113, y anexo III, con las fechas del Reglamento (UE) 2026/1744.
- RGPD, texto en EUR-Lex. Artículos 4.5, 9, 10, 28 y 35.
- AEPD, decálogos de 27 de enero de 2026 y de octubre de 2026. Qué no compartir, el caso ficticio y el uso en el trabajo.
- AEPD, otros textos: orientaciones sobre IA agéntica, v1.2, páginas 41 a 43; nota de brechas, 23 de enero de 2026; reseña de la guía de la FEMP, 11 de marzo de 2026.
- Solla Barcena y otros, «Metodología Femp.IA», Revista de Privacidad, Innovación y Tecnología (AEPD), n.º 2, 2026. Artículo de sus autores: lo que no tiene indicadores propios en la guía.
- FEMP, presentación de la guía, 11 de diciembre de 2025.
- Ayuntamiento de Barcelona, nota de 2 de enero de 2023. El protocolo interno y sus garantías en la contratación.
- INE, tabla 29005, a 1 de enero de 2025. Los 8.132 municipios; los recuentos por tamaño son cálculo propio.
Consultadas el 7 de noviembre de 2026.
Preguntas frecuentes
¿Puede el personal de un ayuntamiento usar ChatGPT?
Sí, pero sin meter datos de vecinos tal cual. Ninguna norma lo prohíbe por sí misma. La AEPD pide no compartir nombres, direcciones ni documentos de identidad, y la política de cada entidad concreta el resto.
¿Los datos del padrón se pueden meter en una IA?
En un chat con cuenta personal, no. El artículo 16.3 de la Ley 7/1985 solo prevé cederlos a otras Administraciones que los necesiten, y los de aportación voluntaria no se ceden en ningún caso.
¿Se aplica el Esquema Nacional de Seguridad a los ayuntamientos?
Sí, se aplica a todo el sector público. Lo dice el artículo 2.1 del Real Decreto 311/2022, y las entidades locales están dentro. También alcanza a las empresas que les prestan servicios por contrato.
¿Puede la AEPD multar a un ayuntamiento?
No, el artículo 77 de la LOPDGDD excluye la multa. La Agencia declara la infracción, fija medidas, avisa al órgano superior y puede proponer actuaciones disciplinarias. Además, publica la resolución con el nombre de la entidad.
¿Qué información no debería compartir un usuario con ChatGPT?
Nada que identifique a alguien: nombre, dirección, teléfono, DNI o NIE e imágenes de personas. La AEPD añade los detalles médicos, financieros, contractuales y de ubicación. En el trabajo, tampoco datos de clientes ni de personal.
¿Qué es una actuación administrativa automatizada?
Es un acto hecho íntegramente por medios electrónicos, sin intervención directa de un empleado público. La define el artículo 41 de la Ley 40/2015, que obliga a fijar antes el órgano responsable a efectos de impugnación.