Cumplimiento de las entidades locales: RGPD, AI Act y NIS2

Por qué el sector «Entidades locales» está implicado

La administración local trata datos muy variados y en ocasiones sensibles: datos de menores (actividades extraescolares, comedor escolar), datos sociales (servicios sociales municipales), registro civil, videovigilancia del espacio público. Cada servicio tiene sus finalidades y sus bases legales, lo que hace que el mapeo sea muy exigente.

Los servicios locales recurren cada vez más a la IA: atención al ciudadano, gestión de solicitudes, en ocasiones preinstrucción de ayudas. Algunos de estos usos, cuando afectan al acceso a prestaciones, pueden estar sujetos al alto riesgo en el sentido del AI Act.

Por último, las administraciones locales son objetivo recurrente de ransomware, con un impacto directo sobre los ciudadanos (registro civil bloqueado, servicios interrumpidos). NIS2, según la transposición y el tamaño, refuerza sus obligaciones de ciberseguridad, aun cuando muchas disponen de recursos limitados.

RGPD — la diversidad de los tratamientos locales

La entidad local es responsable de un mosaico de tratamientos: registro civil, censos electorales, actividades extraescolares (datos de menores), acción social, videovigilancia. Cada uno exige una base legal, una información y unos plazos propios, y la videovigilancia, al igual que los datos de menores, requiere una vigilancia especial.

La designación de un DPO es obligatoria; con frecuencia se comparte entre entidades locales.

Obligaciones clave

• Registro que cubre el conjunto de los servicios.
• Bases legales e información por servicio.
• Vigilancia sobre datos de menores y videoprotección.
• DPD obligatorio (frecuentemente compartido).

AI Act — los servicios públicos locales

La IA de los servicios locales (atención al ciudadano, preinstrucción) se encuadra con frecuencia en el riesgo limitado, pero puede pasar a alto riesgo cuando evalúa el acceso a prestaciones. La entidad que la despliega debe entonces garantizar supervisión, transparencia y, en su caso, una FRIA.

Obligaciones clave

• Cualificar los usos de IA locales.
• Supervisión humana y transparencia.
• FRIA para los usos de alto riesgo.
• Control de sesgos.

NIS2 — la ciberseguridad de las entidades locales

Según la transposición nacional y el tamaño, las entidades locales quedan dentro del ámbito de NIS2. Ante la frecuencia de los ataques de ransomware, deben reforzar su seguridad, preparar la continuidad de los servicios y, con frecuencia, mancomunar recursos.

Obligaciones clave

• Medidas de gestión de riesgos (art. 21).
• Continuidad de los servicios públicos locales.
• Seguridad de la cadena de suministro (editores, proveedores).
• Notificación de incidentes.

Vista comparada de las regulaciones

Cómo se articulan estas normativas

La entidad local debe conjugar una gran diversidad de tratamientos RGPD, usos de IA heterogéneos y una ciberseguridad frecuentemente infrafinanciada. La mutualización (DPD, CISO, herramientas) entre entidades locales es la respuesta más realista, tanto más cuanto que los tres textos comparten una base común de gobernanza y seguridad.

Un servicio local en línea de acceso a una ayuda ilustra la acumulación: RGPD (datos de usuarios, a veces de menores), AI Act (si existe preinstrucción por IA) y NIS2 (seguridad y continuidad).

Calendario de aplicación

• 1RGPD. En vigor; DPO obligatorio.
• 2AI Act. alto riesgo: A partir del 2 de agosto de 2026 para el acceso a las prestaciones.
• 3NIS2. Transposición española en curso; ámbito de las entidades locales pendiente de confirmar.

Sanciones aplicables

Pueden aplicarse límites específicos a los organismos públicos según el derecho nacional; el AI Act prevé hasta 35 M€ o el 7 %. El impacto de un ransomware sobre los usuarios es inmediato y muy visible.

La restricción de medios hace que la mutualización y el acompañamiento externalizado sean especialmente pertinentes.

Hoja de ruta de puesta en conformidad

• 1Cartografiar los servicios. Registrar estado civil, actividades extraescolares, servicios sociales, videovigilancia e IA locales.
• 2Mutualizar. Compartir DPO, CISO y herramientas entre entidades locales.
• 3Securizar (NIS2). Medidas y continuidad de los servicios locales.
• 4Gestionar la IA. Calificar los usos y realizar EIPD si es necesario.
• 5Pilotar. Designar un DPO e implicar a los representantes.

Cómo Data Comply One acompaña al sector

Data Comply One cubre el RGPD, el AI Act y NIS2 en una plataforma única, con DPO y CISO externalizados — adaptados a las entidades locales con pocos recursos internos, mediante la mutualización y el acompañamiento.

DCO ofrece modelos adaptados al ámbito local (registro multi-servicios, EIPD videoprotección, procedimientos de incidente).

Preguntas frecuentes