Un ajuntament que posa en marxa un assistent virtual per atendre els veïns ja queda dins del Reglament europeu d’intel·ligència artificial, el Reglament (UE) 2024/1689. La bona notícia és que la majoria d’aquests assistents no són sistemes d’alt risc i que les seves obligacions són assumibles; la dolenta, que el calendari ha canviat tres vegades i que molts plecs i consultors continuen citant dates que ja no existeixen. Aquesta guia explica, amb el text vigent a 16 de setembre de 2026 després de l’Òmnibus digital sobre IA, a què està obligada avui una administració que desplega IA, a què estarà obligada a partir del desembre de 2027, com es pot saber si un sistema és d’alt risc i què ha d’exigir l’organisme al seu proveïdor. CEDESA ha desplegat assistents d’IA conversacional a 33 municipis rurals d’Extremadura, de manera que ho expliquem des de la pràctica.

El calendari vigent, després de l’Òmnibus digital

El Reglament d’IA va entrar en vigor l’1 d’agost de 2024 amb una aplicació esglaonada. El Reglament (UE) 2026/1744, de 8 de juliol de 2026, conegut com a Òmnibus digital sobre IA, es va publicar al Diari Oficial el 24 de juliol de 2026 i va entrar en vigor tres dies després. Va moure les dates de l’alt risc i va deixar les altres tal com estaven. El calendari queda així:

Obligació	Data d’aplicació	Estat a 16-set-2026
Pràctiques prohibides (article 5) i mesures d’alfabetització en IA (article 4)	2 de febrer de 2025	En vigor
Models d’IA d’ús general (capítol V)	2 d’agost de 2025	En vigor
Transparència (article 50): informar que s’interactua amb una IA, marcar els continguts generats	2 d’agost de 2026	En vigor, amb quatre mesos de gràcia per al marcatge en sistemes generatius anteriors a aquesta data
Governança, autoritats nacionals i sancions	2 d’agost de 2026	En vigor
Sistemes d’alt risc de l’annex III (els que afecten serveis públics, ocupació, educació, biometria, migració, justícia)	2 de desembre de 2027 (abans, 2 d’agost de 2026)	Ajornat per l’Òmnibus
Sistemes d’alt risc de l’annex I (components de seguretat de productes regulats)	2 d’agost de 2028 (abans, 2 d’agost de 2027)	Ajornat per l’Òmnibus

A Espanya, l’autoritat de supervisió és l’Agència Espanyola de Supervisió de la Intel·ligència Artificial (AESIA), amb seu a la Corunya, en coordinació amb l’Agència Espanyola de Protecció de Dades pel que fa a les dades personals i la biometria. La llei espanyola que desplega el règim sancionador i la governança, el Projecte de llei orgànica per al bon ús i la governança de la intel·ligència artificial, va ser aprovat pel Consell de Ministres el 26 de maig de 2026 i es va publicar al Butlletí Oficial de les Corts el 12 de juny de 2026; a la data d’aquest article continua en tramitació parlamentària i no és al BOE.

Primera pregunta: l’assistent és un sistema d’alt risc?

L’annex III classifica com a sistemes d’alt risc, entre d’altres, els que fan servir les autoritats públiques per avaluar l’admissibilitat de les persones a prestacions i serveis públics essencials, concedir-los, reduir-los o retirar-los, els que avaluen trucades d’emergència i en prioritzen la resposta, els d’identificació biomètrica remota i els que es fan servir en migració, asil, control fronterer i administració de justícia.

Un assistent virtual que informa (horaris, tràmits, requisits, estat d’un expedient que consulta el ciutadà mateix, derivació al servei competent) no encaixa en aquestes categories: és un sistema de risc limitat, subjecte a les obligacions de transparència de l’article 50. Passa a ser d’alt risc quan decideix o prepara la decisió sobre un dret o una prestació: si puntua sol·licituds d’ajuts, si filtra qui pot accedir a un servei social, si prioritza avisos d’emergència. La frontera la marca l’efecte sobre la persona, no la tecnologia.

A més, amb independència de la categoria, es continuen aplicant les prohibicions de l’article 5, vigents des del febrer de 2025: puntuació social a càrrec d’autoritats públiques, explotació de vulnerabilitats, inferència d’emocions a la feina i a l’educació, categorització biomètrica per dades sensibles i identificació biomètrica remota en temps real en espais públics amb finalitats policials, llevat d’excepcions taxades.

A què està obligat avui un ajuntament amb un assistent de risc limitat

Transparència (article 50). El ciutadà ha de saber que interactua amb un sistema d’IA, llevat que sigui evident. A la pràctica: un avís clar a l’inici de la conversa, a la veu del tòtem o de la centraleta, i a la política del servei. Si el sistema genera text o àudio que es publica, s’ha de poder identificar com a generat.
Alfabetització en IA (article 4). Després de l’Òmnibus, l’obligació és adoptar mesures que afavoreixin l’alfabetització del personal que opera o supervisa el sistema, no garantir-ne un nivell concret. Una formació breu per al personal d’atenció i per a qui revisa les respostes la compleix i en deixa evidència.
Protecció de dades. L’assistent tracta dades personals: base jurídica, informació a l’interessat, minimització, avaluació d’impacte quan escaigui i contracte d’encarregat amb el proveïdor. Les converses no es fan servir per entrenar models de tercers sense base legal.
Actuació administrativa automatitzada. Si el sistema produeix actes amb efectes jurídics sense intervenció humana, l’article 41 de la Llei 40/2015 exigeix identificar el sistema, l’òrgan responsable i el mecanisme d’auditoria, i fer servir el segell electrònic d’òrgan.
Esquema Nacional de Seguretat. L’assistent és un sistema d’informació de l’organisme i s’ha de categoritzar i protegir d’acord amb el Reial decret 311/2022, i el proveïdor ha d’acreditar la seva conformitat. Ho expliquem a què és l’ENS i per què el teu proveïdor l’ha de tenir.
Accessibilitat i no discriminació. El servei ha de ser accessible i ha d’oferir una alternativa humana, i les respostes no poden variar segons característiques protegides de la persona.
Supervisió humana i registre d’incidències, encara que el reglament no ho exigeixi per al risc limitat: és el que permet corregir respostes errònies abans que es converteixin en una reclamació.

A què estarà obligat des del 2 de desembre de 2027 si el sistema és d’alt risc

Si l’ajuntament fa servir o farà servir IA per decidir sobre prestacions o serveis, convé preparar-s’hi ja, perquè les obligacions del responsable del desplegament (article 26) són de fons:

Fer servir el sistema d’acord amb les instruccions del proveïdor, amb supervisió humana a càrrec de persones competents i amb autoritat per intervenir-hi.
Avaluació d’impacte sobre els drets fonamentals (article 27), obligatòria per als organismes públics abans del primer ús. L’Òmnibus la simplifica: es basa en l’avaluació d’impacte de protecció de dades quan n’hi hagi, i l’Oficina d’IA publicarà un qüestionari simplificat.
Registre de l’ús a la base de dades de la Unió (article 49), amb requisits racionalitzats per l’Òmnibus.
Conservar els registres d’activitat que generi el sistema, informar els treballadors afectats, informar les persones sobre les quals es decideix i garantir el dret a una explicació.
Exigir al proveïdor la documentació tècnica, la declaració de conformitat i el marcatge CE del sistema d’alt risc.

Començar abans de la data no és un excés de zel: l’avaluació d’impacte i la documentació del proveïdor es demanen al plec, i el plec es redacta ara.

Què cal exigir al proveïdor en el plec

El que separa un projecte tranquil d’una reclamació és el que s’escriu abans d’adjudicar:

Classificació de risc motivada del sistema proposat, amb referència a l’annex III i als usos concrets previstos.
Avís de transparència integrat en tots els canals (web, tòtem, veu, missatgeria) i textos revisats per l’organisme.
Traçabilitat: registre de les converses i de les fonts utilitzades en cada resposta, amb terminis de conservació definits, i tauler per revisar les respostes errònies.
Supervisió humana: derivació a una persona en qualsevol moment i procediment de correcció.
Dades i models: on s’allotgen les dades, quins models es fan servir, si les converses s’aprofiten per entrenar i qui és l’encarregat del tractament; contracte de l’article 28 de l’RGPD.
ENS: categoria del sistema i certificació o declaració de conformitat vigent del proveïdor, amb el distintiu comprovable.
Propietat i sortida: codi, instruccions (prompts), bases de coneixement i registres en propietat de l’organisme, per poder canviar de proveïdor sense perdre el sistema.
Formació del personal com a mesura d’alfabetització en IA, amb constància.
Compromís d’adaptació a les obligacions d’alt risc si l’ús canvia, i a la llei espanyola quan es publiqui.

L’experiència de CEDESA

CEDESA va desenvolupar per a la Conselleria de Digitalització de la Junta d’Extremadura assistents virtuals amb IA conversacional, de text i de veu, desplegats a 33 municipis rurals i finançats amb fons Next Generation EU i PERTE, amb integració en tòtems físics per a entorns sense connectivitat domèstica. Són sistemes de risc limitat dissenyats amb avís de transparència, derivació a una persona, traçabilitat de les respostes i allotjament d’acord amb l’ENS. Expliquem el projecte a intel·ligència artificial aplicada al sector públic i la resta de projectes d’IA, a la pàgina d’innovació. I com que aquests projectes se solen finançar amb fons europeus, també tenim la guia de Next Generation EU per a la digitalització.

Preguntes freqüents sobre el Reglament d’IA a l’Administració

Un xatbot municipal és un sistema d’alt risc segons el Reglament d’IA?

No, si es limita a informar, orientar i derivar. És un sistema de risc limitat subjecte a l’obligació de transparència de l’article 50, en vigor des del 2 d’agost de 2026. Passa a ser d’alt risc, amb obligacions aplicables des del 2 de desembre de 2027, si avalua o decideix sobre l’accés a prestacions o serveis públics essencials, prioritza emergències o fa identificació biomètrica.

Des de quan s’aplica el Reglament d’IA a les administracions?

Les prohibicions i les mesures d’alfabetització, des del 2 de febrer de 2025; la transparència i el règim d’autoritats i sancions, des del 2 d’agost de 2026; els sistemes d’alt risc de l’annex III, des del 2 de desembre de 2027, i els de l’annex I, des del 2 d’agost de 2028, després de l’ajornament del Reglament (UE) 2026/1744, en vigor des del 27 de juliol de 2026.

Cal fer una avaluació d’impacte per fer servir IA en un ajuntament?

Per als sistemes d’alt risc, sí: l’article 27 exigeix als organismes públics una avaluació d’impacte sobre els drets fonamentals abans del primer ús, que l’Òmnibus permet basar en l’avaluació d’impacte de protecció de dades. Per a un assistent de risc limitat el reglament no l’exigeix, però l’avaluació d’impacte de protecció de dades pot ser obligatòria per l’RGPD segons les dades tractades.

Qui supervisa el compliment a Espanya?

L’Agència Espanyola de Supervisió de la Intel·ligència Artificial (AESIA), en coordinació amb l’Agència Espanyola de Protecció de Dades en matèria de dades personals i biometria. La llei espanyola que desplega la governança i les sancions, el projecte de llei orgànica per al bon ús i la governança de la IA, està en tramitació a les Corts des del juny de 2026.

Què ha de dir el plec d’un assistent virtual sobre el Reglament d’IA?

La classificació de risc motivada, l’avís de transparència en tots els canals, la traçabilitat de les respostes, la supervisió humana, el tractament de dades i el contracte d’encarregat, la conformitat amb l’ENS, la propietat del codi i de la base de coneixement, la formació del personal i el compromís d’adaptació si l’ús canvia o quan es publiqui la llei espanyola.

Conclusió

El Reglament europeu d’IA no impedeix a un ajuntament desplegar un assistent virtual; li demana que digui que és una IA, que formi el seu personal, que protegeixi les dades, que asseguri el sistema d’acord amb l’ENS i que no el faci servir per decidir sobre drets sense les garanties de l’alt risc, que arriben el desembre de 2027. Gairebé tot això es resol al plec i al disseny. Si el teu organisme vol un assistent que compleixi des del primer dia, a CEDESA ja ho hem fet per a 33 municipis; explica’ns el teu cas a la nostra pàgina de contacte.