Saltar al contenido
AI Policy Generator

ENQué me toca

Acceso a servicios o prestaciones públicas en España: normas relacionadas

IA usada por entidades públicas o sus proveedores para decidir o priorizar el acceso a subsidios, ayudas, servicios sociales, sanitarios o trámites. Afecta a personas vulnerables y derechos fundamentales, por eso exige evaluación de impacto, transparencia y revisión humana.

Clasificación de riesgo

JurisdicciónNivelFechaNota
Unión EuropeaAlto riesgo2 de diciembre de 2027Anexo III(5)(a): evaluar la elegibilidad a prestaciones y servicios públicos; FRIA obligatoria para organismos públicos.
EspañaNormas sectoriales—Ley 40/2015 (actuación administrativa automatizada con órgano responsable) y Ley 15/2022 art. 23 (sesgos en algoritmos públicos).

Obligaciones relacionadas con este caso de uso

Uso de sistemas de alto riesgo: supervisión humana, registros y monitoreo

AI ActReglamento (UE) 2024/1689, art. 26(1)-(6) y (8)-(12); Anexo III; art. 6(1) y Anexo I; art. 113Aprobada, aplica más adelante

Aplicable desde 2 de diciembre de 2027

Plazos por perfil

  • : Sistemas de alto riesgo del Anexo III
  • : IA clínica que es producto sanitario de alto riesgo (Anexo I)
Cuándo se relaciona
Si usa IA para selección o gestión de personal, monitorizar trabajadores, scoring de crédito, tarificar seguros de vida o salud, evaluar estudiantes, biometría o acceso a prestaciones públicas (Anexo III). También, desde el 2-ago-2028, si usa IA clínica que sea un producto sanitario sujeto a evaluación por organismo notificado (Anexo I).
Qué prevé la norma
  • Usar el sistema según las instrucciones del proveedor.
  • Asignar la supervisión humana a personas con competencia, formación, autoridad y apoyo suficientes.
  • Asegurar que los datos de entrada bajo su control sean pertinentes y representativos.
  • Monitorizar el funcionamiento, suspender el uso ante riesgos e informar al proveedor y a la autoridad de incidentes graves.
  • Conservar los registros automáticos (logs) bajo su control al menos seis meses.
  • Entidades públicas: registrar el uso en la base de datos de la UE. Sistemas de autoridades públicas ya en uso: plazo hasta el 2-ago-2030.
Evidencias habituales
  • Designación de supervisores humanos y su formación.
  • Política de conservación de logs y muestras de registros.
  • Plan de monitoreo y registro de incidentes.
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Fecha comprobada en el art. 113(c)(i) consolidado (2-dic-2027 para el Anexo III). El Reglamento (UE) 2026/1744 movió la fecha pero no el contenido del art. 26.

Informar y explicar a las personas afectadas por decisiones de alto riesgo

AI ActReglamento (UE) 2024/1689, arts. 26(11) y 86Aprobada, aplica más adelante

Aplicable desde 2 de diciembre de 2027

Cuándo se relaciona
Si toma o apoya decisiones sobre personas con un sistema de alto riesgo del Anexo III.
Qué prevé la norma
  • Informar a las personas de que están sujetas al uso de un sistema de alto riesgo.
  • Dar, a quien lo pida, una explicación clara y significativa del papel del sistema en la decisión y de sus elementos principales cuando la decisión tenga efectos jurídicos o le afecte de forma importante.
Evidencias habituales
  • Avisos a personas afectadas.
  • Modelo de explicación y registro de solicitudes atendidas.
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Fechas comprobadas en el texto consolidado del Reglamento de IA que publica el AI Act Service Desk de la Comisión Europea (versión a 27-jul-2026, con los cambios del Reglamento (UE) 2026/1744): art. 113 y art. 111.

Evaluación de impacto en derechos fundamentales (FRIA)

AI ActReglamento (UE) 2024/1689, art. 27Aprobada, aplica más adelante

Aplicable desde 2 de diciembre de 2027

Cuándo se relaciona
Entidades públicas y empresas privadas que prestan servicios públicos y usan IA de alto riesgo; y cualquier empresa que use IA para evaluar solvencia o tarificar seguros de vida y salud.
Qué prevé la norma
  • Antes del primer uso, evaluar procesos, duración y frecuencia, personas o grupos afectados, riesgos concretos de daño, medidas de supervisión humana y medidas ante riesgos, incluidas quejas.
  • Notificar el resultado a la autoridad de vigilancia del mercado con el formulario de la Oficina de IA.
  • Puede apoyarse en una evaluación de impacto de protección de datos ya hecha y actualizarla cuando cambien los factores.
Evidencias habituales
  • FRIA firmada y fechada.
  • Justificante de notificación a la autoridad.
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Fecha comprobada (art. 113(c)(i)). Ámbito según el art. 27: no incluye a todas las empresas que usan IA para empleo; algunas webs comerciales lo amplían de forma incorrecta.

Proveedores de sistemas de alto riesgo del Anexo III

AI ActReglamento (UE) 2024/1689, arts. 6(3)-(4), 8-17, 43, 47-49, 72-73Aprobada, aplica más adelante

Aplicable desde 2 de diciembre de 2027

Cuándo se relaciona
Si desarrolla o vende bajo su nombre un sistema de IA para un uso del Anexo III (empleo, crédito, seguros de vida y salud, educación, biometría, servicios públicos).
Qué prevé la norma
  • Sistema de gestión de riesgos durante todo el ciclo de vida y gobernanza de los datos de entrenamiento, validación y prueba.
  • Documentación técnica, registro automático de eventos, instrucciones de uso, diseño para la supervisión humana, y exactitud, solidez y ciberseguridad.
  • Sistema de gestión de calidad, evaluación de la conformidad, declaración UE de conformidad, marcado CE y registro en la base de datos de la UE.
  • Monitoreo poscomercialización y notificación de incidentes graves.
  • Si concluye que su sistema del Anexo III no es de alto riesgo (art. 6(3)), documentar el análisis y registrarlo antes de comercializarlo.
  • Las empresas medianas pequeñas (menos de 750 empleados) tienen plantillas de documentación simplificadas.
Evidencias habituales
  • Expediente técnico y sistema de gestión de calidad.
  • Declaración UE de conformidad y número de registro.
  • Plan de monitoreo poscomercialización.
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Fecha comprobada en el art. 113(c)(i) consolidado. La categoría de empresas medianas pequeñas (small mid-caps) procede de fuentes secundarias sobre el Reglamento (UE) 2026/1744.

Garantías frente a decisiones solo automatizadas

RGPDRGPD, arts. 13.2.f), 14.2.g), 15.1.h) y 22; STJUE C-634/21, SCHUFA, 7-dic-2023; STJUE C-203/22, Dun & Bradstreet Austria, 27-feb-2025Vigente

Ya aplicable

Cuándo se relaciona
Si la IA decide, o determina en la práctica, decisiones con efectos jurídicos o igualmente importantes sobre personas sin intervención humana real: contratación, crédito, seguros, educación, prestaciones, precios o acceso a servicios. El apoyo al diagnóstico revisado por un profesional no suele ser una decisión solo automatizada.
Qué prevé la norma
  • Evitar decisiones basadas solo en tratamiento automatizado salvo contrato, ley o consentimiento explícito.
  • Cuando se permitan, ofrecer intervención humana real, la posibilidad de expresar su punto de vista y de impugnar la decisión.
  • Una puntuación de un tercero que determina la decisión también cuenta como decisión automatizada.
  • Informar de la existencia de la decisión automatizada y, a quien lo pida, dar información significativa sobre la lógica aplicada y sus consecuencias. La norma no exige un formato concreto de carta.
Evidencias habituales
  • Procedimiento de revisión humana con plazos y responsables.
  • Registro de decisiones y revisiones.
Verificación
Verificado en fuente oficial el 31 de octubre de 2026Texto oficial en EUR-Lex. Norma vigente desde 2018; sin fechas nuevas que confirmar.

Evaluación de impacto de protección de datos (EIPD)

RGPDRGPD, art. 35Vigente

Ya aplicable

Cuándo se relaciona
Si usa IA para evaluar o decidir sobre personas, monitorizar, usar biometría, entrenar modelos con datos personales o tratar datos sensibles o de menores.
Qué prevé la norma
  • Hacer la EIPD antes de empezar: descripción, necesidad y proporcionalidad, riesgos y medidas.
  • Consultar a la autoridad si el riesgo residual sigue siendo alto.
  • Revisarla cuando cambie el sistema o el modelo.
Evidencias habituales
  • EIPD firmada, con opinión del delegado de protección de datos si existe.
Verificación
Verificado en fuente oficial el 31 de octubre de 2026Texto oficial en EUR-Lex. Norma vigente desde 2018; sin fechas nuevas que confirmar.

Documentos base relacionados

Kits relacionados

Incluye 7 documentos

Kit de IA para el sector público

Documentos base para entidades públicas y sus proveedores: responsable de IA, modelo de gobierno, inventario, evaluación de impacto algorítmico y en derechos fundamentales, supervisión humana y explicación a la ciudadanía.

USD 189USD 313

Kit completo · disponible para comprar

Descubre qué te toca (gratis)España