Algoritmeregister en Países Bajos: transparencia e IA en los municipios

En Países Bajos, un ayuntamiento que usa un algoritmo para clasificar solicitudes, detectar anomalías o planificar inspecciones puede describirlo públicamente en un registro nacional. Este nivel de transparencia es lo bastante raro en Europa como para merecer una mirada atenta, sobre todo ahora que la IA generativa llega a las oficinas de las administraciones.

Este artículo analiza cómo funciona el Algoritmeregister, qué nos dice sobre el uso responsable de la IA en los municipios y por qué la transparencia sobre los algoritmos no basta para proteger los datos que el personal escribe cada día en asistentes de IA.

Un registro público creado en diciembre de 2022

La primera versión del registro de algoritmos de la administración neerlandesa se puso en marcha en diciembre de 2022 en algoritmes.overheid.nl. Su objetivo es que los algoritmos públicos sean más fáciles de encontrar, explicar cómo funcionan y para qué sirven, y permitir que la ciudadanía los debata. El registro empezó con 109 algoritmos y contaba con 291 a mediados de febrero de 2024, según las cifras recogidas por la prensa especializada en administración local.

Al principio, la inscripción era voluntaria. En una carta al Parlamento de diciembre de 2022, el Gobierno anunció su intención de convertirla en una obligación legal. La Autoriteit Persoonsgegevens (AP), la autoridad neerlandesa de protección de datos, coordina la supervisión de los algoritmos.

Lo que muestran las inscripciones municipales

Los municipios están entre los que más contribuyen. A principios de 2024, Ámsterdam declaraba 40 algoritmos, Utrecht 38, La Haya 29 y Róterdam 11, mientras que una cuarentena de municipios declaraban entre uno y cinco. Estas cifras muestran sobre todo que la transparencia avanza con el ejemplo, municipio a municipio, y que muchas administraciones locales aún no habían publicado sus algoritmos de mayor impacto.

Para un investigador o un responsable de seguridad, el registro es una fuente valiosa. Muestra qué tipos de tratamientos automatizados afectan a los vecinos, qué datos utilizan y quién responde de ellos. También ofrece un modelo de documentación que otras organizaciones, públicas o privadas, pueden adoptar.

Las herramientas del marco neerlandés

En torno al registro, la administración ha creado varias herramientas para un uso responsable de los algoritmos:

• el Algoritmekader (marco de algoritmos), que reúne las normas y medidas que deben cumplirse, desarrollado por el Ministerio del Interior;

• el IAMA (Impact Assessment Mensenrechten en Algoritmes), una evaluación de impacto sobre los derechos fundamentales, actualizada para reflejar la práctica y la normativa;

• la evaluación de impacto relativa a la protección de datos (EIPD) que exige el RGPD para tratamientos de alto riesgo.

Estas herramientas tienen algo en común: obligan a dejar por escrito por qué se usa un sistema, con qué datos y bajo qué responsabilidad. Esa disciplina de documentación es justo lo que falta, en muchas organizaciones, en el uso diario de la IA generativa.

El Reglamento europeo de IA añade otra capa: las autoridades públicas que desplieguen sistemas de IA de alto riesgo deberán registrarlos en una base de datos de la UE. Nuestra checklist sobre el Reglamento de IA y el artículo 32 del RGPD detalla estos requisitos.

La IA generativa, el punto ciego del registro

El registro describe algoritmos desplegados por la organización. No ve el uso individual de un asistente de IA por parte de un empleado que reformula una carta, resume un expediente o traduce una solicitud. Y es ahí donde los datos personales de los vecinos circulan con más facilidad: nombres, direcciones, números de servicio al ciudadano (BSN), situaciones familiares o sociales.

El Gobierno neerlandés ha fijado una postura al respecto. En una posición provisional presentada al Parlamento el 11 de diciembre de 2023, indicó que las herramientas de IA generativa no contratadas en general no cumplen de forma demostrable la normativa de privacidad y de derechos de autor, y que los organismos de la administración central no deberían usarlas en principio si existe riesgo de infringir la ley. Cada caso de uso requiere una EIPD y una evaluación de impacto algorítmico, como el IAMA. El texto se dirige a la administración central; la asociación de municipios (VNG) señaló que los municipios probablemente afrontan riesgos jurídicos comparables.

Qué pueden hacer los municipios en la práctica

1. Inventariar los asistentes de IA que el personal usa de verdad, incluidas las cuentas personales.

2. Documentar los usos autorizados igual que se documenta un algoritmo: finalidad, datos, responsable.

3. Realizar una EIPD para cada caso de uso con datos de vecinos.

4. Proteger en origen: detectar un BSN, una dirección o un nombre antes de enviarlo a la IA y sustituirlo por un valor ficticio.

5. Conservar pruebas de los incidentes evitados, útiles ante una inspección de la AP.

Nuestro primer artículo sobre el país repasaba las fugas de datos por chatbots notificadas a la AP. Esos incidentes muestran justo lo que el registro no capta. Para entender cómo se producen, vea también la anatomía de una fuga de datos por IA y el coste real de la IA en la sombra.

En resumen

El Algoritmeregister convierte a Países Bajos en un caso de estudio útil para cualquier organización que quiera que sus algoritmos sean comprensibles. Pero la transparencia sobre los sistemas desplegados debe ir unida al control del uso diario de la IA generativa, donde los datos de los vecinos pueden salir sin hacer ruido.

Para un ayuntamiento, la pregunta correcta no es solo «¿qué algoritmos publicamos?», sino también «¿qué datos entrega cada día nuestro personal a herramientas externas?».

ZeusLock detecta y anonimiza los datos personales en prompts y archivos antes de enviarlos a los asistentes de IA, y ofrece un registro de incidentes para sus evaluaciones de impacto. Solicite una demo para su organización.