Un ayuntamiento que pone en marcha un asistente virtual para atender a los vecinos ya está dentro del Reglamento europeo de Inteligencia Artificial, el Reglamento (UE) 2024/1689. La buena noticia es que la mayoría de esos asistentes no son sistemas de alto riesgo y sus obligaciones son asumibles; la mala, que el calendario ha cambiado tres veces y muchos pliegos y consultores siguen citando fechas que ya no existen. Esta guía explica, con el texto vigente a 16 de septiembre de 2026 tras el Ómnibus digital sobre IA, qué obliga hoy a una administración que despliega IA, qué obligará a partir de diciembre de 2027, cómo saber si un sistema es de alto riesgo y qué debe exigir el organismo a su proveedor. CEDESA ha desplegado asistentes de IA conversacional en 33 municipios rurales de Extremadura, así que lo contamos desde la práctica.

El calendario vigente, después del Ómnibus digital

El Reglamento de IA entró en vigor el 1 de agosto de 2024 con aplicación escalonada. El Reglamento (UE) 2026/1744, de 8 de julio de 2026, conocido como Ómnibus digital sobre IA, se publicó en el Diario Oficial el 24 de julio de 2026 y entró en vigor tres días después. Movió las fechas del alto riesgo y dejó las demás. Así queda el calendario:

Obligación	Fecha de aplicación	Estado a 16-sep-2026
Prácticas prohibidas (artículo 5) y medidas de alfabetización en IA (artículo 4)	2 de febrero de 2025	En vigor
Modelos de IA de uso general (capítulo V)	2 de agosto de 2025	En vigor
Transparencia (artículo 50): informar de que se interactúa con una IA, marcar contenidos generados	2 de agosto de 2026	En vigor, con cuatro meses de gracia para el marcado en sistemas generativos anteriores a esa fecha
Gobernanza, autoridades nacionales y sanciones	2 de agosto de 2026	En vigor
Sistemas de alto riesgo del Anexo III (los que afectan a servicios públicos, empleo, educación, biometría, migración, justicia)	2 de diciembre de 2027 (antes, 2 de agosto de 2026)	Aplazado por el Ómnibus
Sistemas de alto riesgo del Anexo I (componentes de seguridad de productos regulados)	2 de agosto de 2028 (antes, 2 de agosto de 2027)	Aplazado por el Ómnibus

En España, la autoridad de supervisión es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, en coordinación con la Agencia Española de Protección de Datos para lo relativo a datos personales y biometría. La ley española que desarrolla el régimen sancionador y la gobernanza, el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, fue aprobado por el Consejo de Ministros el 26 de mayo de 2026 y se publicó en el Boletín Oficial de las Cortes el 12 de junio de 2026; a fecha de este artículo sigue en tramitación parlamentaria y no está en el BOE.

Primera pregunta: ¿es el asistente un sistema de alto riesgo?

El Anexo III clasifica como alto riesgo, entre otros, los sistemas usados por autoridades públicas para evaluar la admisibilidad de las personas a prestaciones y servicios públicos esenciales, concederlos, reducirlos o retirarlos, los que evalúan llamadas de emergencia y priorizan la respuesta, los de identificación biométrica remota, y los usados en migración, asilo, control fronterizo y administración de justicia.

Un asistente virtual que informa (horarios, trámites, requisitos, estado de un expediente que el propio ciudadano consulta, derivación al servicio competente) no encaja en esas categorías: es un sistema de riesgo limitado, sujeto a las obligaciones de transparencia del artículo 50. Pasa a ser de alto riesgo cuando decide o prepara la decisión sobre un derecho o una prestación: si puntúa solicitudes de ayudas, si filtra quién puede acceder a un servicio social, si prioriza avisos de emergencia. La frontera está en el efecto sobre la persona, no en la tecnología.

Además, con independencia de la categoría, siguen aplicando las prohibiciones del artículo 5 desde febrero de 2025: puntuación social por autoridades públicas, explotación de vulnerabilidades, inferencia de emociones en el trabajo y la educación, categorización biométrica por datos sensibles e identificación biométrica remota en tiempo real en espacios públicos con fines policiales salvo excepciones tasadas.

Lo que obliga hoy a un ayuntamiento con un asistente de riesgo limitado

Transparencia (artículo 50). El ciudadano debe saber que interactúa con un sistema de IA, salvo que resulte evidente. En la práctica: un aviso claro al inicio de la conversación, en la voz del tótem o de la centralita, y en la política del servicio. Si el sistema genera texto o audio que se publica, debe poder identificarse como generado.
Alfabetización en IA (artículo 4). Tras el Ómnibus, la obligación es adoptar medidas que apoyen la alfabetización del personal que opera o supervisa el sistema, no garantizar un nivel concreto. Una formación breve al personal de atención y a quien revisa las respuestas la cumple y deja evidencia.
Protección de datos. El asistente trata datos personales: base jurídica, información al interesado, minimización, evaluación de impacto cuando proceda y contrato de encargado con el proveedor. Las conversaciones no se usan para entrenar modelos de terceros sin base legal.
Actuación administrativa automatizada. Si el sistema produce actos con efectos jurídicos sin intervención humana, el artículo 41 de la Ley 40/2015 exige identificar el sistema, el órgano responsable y el mecanismo de auditoría, y usar sello electrónico de órgano.
Esquema Nacional de Seguridad. El asistente es un sistema de información del organismo y debe categorizarse y protegerse conforme al Real Decreto 311/2022, con el proveedor acreditando su conformidad. Lo explicamos en qué es el ENS y por qué debe tenerlo tu proveedor.
Accesibilidad y no discriminación. El servicio debe ser accesible y ofrecer una alternativa humana; y las respuestas no pueden variar por características protegidas de la persona.
Supervisión humana y registro de incidencias, aunque el reglamento no lo exija para riesgo limitado: es lo que permite corregir respuestas erróneas antes de que se conviertan en una reclamación.

Lo que obligará desde el 2 de diciembre de 2027 si el sistema es de alto riesgo

Si el ayuntamiento usa o va a usar IA para decidir sobre prestaciones o servicios, conviene prepararse ya, porque las obligaciones del responsable del despliegue (artículo 26) son de fondo:

Usar el sistema conforme a las instrucciones del proveedor, con supervisión humana por personas competentes y con autoridad para intervenir.
Evaluación de impacto sobre los derechos fundamentales (artículo 27), obligatoria para los organismos públicos antes del primer uso. El Ómnibus la simplifica: se apoya en la evaluación de impacto de protección de datos cuando exista, y la Oficina de IA publicará un cuestionario simplificado.
Registro del uso en la base de datos de la Unión (artículo 49), con requisitos racionalizados por el Ómnibus.
Conservar los registros de actividad que genere el sistema, informar a los trabajadores afectados, informar a las personas sobre las que se decide y garantizar el derecho a explicación.
Exigir al proveedor la documentación técnica, la declaración de conformidad y el marcado CE del sistema de alto riesgo.

Empezar antes de la fecha no es exceso de celo: la evaluación de impacto y la documentación del proveedor se piden en el pliego, y el pliego se redacta ahora.

Qué exigir al proveedor en el pliego

Lo que diferencia un proyecto tranquilo de una reclamación es lo que se escribe antes de adjudicar:

Clasificación de riesgo motivada del sistema propuesto, con referencia al Anexo III y a los usos concretos previstos.
Aviso de transparencia integrado en todos los canales (web, tótem, voz, mensajería) y textos revisados por el organismo.
Trazabilidad: registro de conversaciones y de las fuentes usadas en cada respuesta, con plazos de conservación definidos, y panel para revisar respuestas erróneas.
Supervisión humana: derivación a una persona en cualquier momento y procedimiento de corrección.
Datos y modelos: dónde se alojan los datos, qué modelos se usan, si las conversaciones se usan para entrenar y quién es el encargado del tratamiento; contrato del artículo 28 del RGPD.
ENS: categoría del sistema y certificación o declaración de conformidad vigente del proveedor, con su distintivo comprobable.
Propiedad y salida: código, prompts, bases de conocimiento y registros en propiedad del organismo, para cambiar de proveedor sin perder el sistema.
Formación al personal como medida de alfabetización en IA, con constancia.
Compromiso de adaptación a las obligaciones de alto riesgo si el uso cambia, y a la ley española cuando se publique.

La experiencia de CEDESA

CEDESA desarrolló para la Consejería de Digitalización de la Junta de Extremadura asistentes virtuales con IA conversacional, en texto y voz, desplegados en 33 municipios rurales, financiados con fondos Next Generation EU y PERTE, con integración en tótems físicos para entornos sin conectividad doméstica. Son sistemas de riesgo limitado diseñados con aviso de transparencia, derivación a persona, trazabilidad de respuestas y alojamiento conforme al ENS. Contamos el proyecto en inteligencia artificial aplicada al sector público y el resto de proyectos de IA en la página de innovación. Y como estos proyectos suelen financiarse con fondos europeos, tenemos también la guía de Next Generation EU para digitalización.

Preguntas frecuentes sobre el reglamento de IA en la Administración

¿Un chatbot municipal es un sistema de alto riesgo según el Reglamento de IA?

No, si se limita a informar, orientar y derivar. Es un sistema de riesgo limitado sujeto a la obligación de transparencia del artículo 50, en vigor desde el 2 de agosto de 2026. Pasa a ser de alto riesgo, con obligaciones aplicables desde el 2 de diciembre de 2027, si evalúa o decide sobre el acceso a prestaciones o servicios públicos esenciales, prioriza emergencias o realiza identificación biométrica.

¿Desde cuándo se aplica el Reglamento de IA a las administraciones?

Las prohibiciones y las medidas de alfabetización desde el 2 de febrero de 2025; la transparencia y el régimen de autoridades y sanciones desde el 2 de agosto de 2026; los sistemas de alto riesgo del Anexo III desde el 2 de diciembre de 2027 y los del Anexo I desde el 2 de agosto de 2028, tras el aplazamiento del Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026.

¿Hay que hacer una evaluación de impacto para usar IA en un ayuntamiento?

Para sistemas de alto riesgo, sí: el artículo 27 exige a los organismos públicos una evaluación de impacto sobre los derechos fundamentales antes del primer uso, que el Ómnibus permite apoyar en la evaluación de impacto de protección de datos. Para un asistente de riesgo limitado no la exige el reglamento, pero la evaluación de impacto de protección de datos puede ser obligatoria por el RGPD según los datos tratados.

¿Quién supervisa el cumplimiento en España?

La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), en coordinación con la Agencia Española de Protección de Datos en materia de datos personales y biometría. La ley española que desarrolla la gobernanza y las sanciones, el proyecto de ley orgánica para el buen uso y la gobernanza de la IA, está en tramitación en las Cortes desde junio de 2026.

¿Qué debe decir el pliego de un asistente virtual sobre el Reglamento de IA?

La clasificación de riesgo motivada, el aviso de transparencia en todos los canales, la trazabilidad de respuestas, la supervisión humana, el tratamiento de datos y el contrato de encargado, la conformidad con el ENS, la propiedad del código y la base de conocimiento, la formación al personal y el compromiso de adaptación si el uso cambia o cuando se publique la ley española.

Conclusión

El Reglamento europeo de IA no impide a un ayuntamiento desplegar un asistente virtual; le pide que diga que es una IA, que forme a su personal, que proteja los datos, que asegure el sistema conforme al ENS y que no lo use para decidir sobre derechos sin las garantías del alto riesgo, que llegan en diciembre de 2027. Casi todo eso se resuelve en el pliego y en el diseño. Si tu organismo quiere un asistente que cumpla desde el primer día, en CEDESA ya lo hemos hecho para 33 municipios; cuéntanos tu caso en nuestra página de contacto.