Conformidad del sector público: RGPD, AI Act y NIS2

Por qué el sector «Sector público» está afectado

El sector público trata datos personales de carácter masivo y a menudo sensibles: registro civil, datos sociales, fiscales y de salud pública. La escala y la naturaleza de estos tratamientos imponen un alto nivel de rigor en materia de RGPD y una ejemplaridad esperada de los poderes públicos.

La IA se implanta en la tramitación automatizada de solicitudes y el acceso a prestaciones. El AI Act clasifica como de alto riesgo los sistemas de IA destinados a evaluar la elegibilidad para prestaciones y servicios públicos esenciales, así como varios usos soberanos: estos despliegues soportan las obligaciones más exigentes.

Por último, la administración pública figura entre las entidades contempladas por NIS2 (según la transposición nacional, que en Francia incluye numerosos organismos públicos). Las administraciones son objetivos preferentes del ransomware, con un fuerte impacto en la continuidad del servicio público.

NIS2 — la administración pública

NIS2 se dirige a la administración pública, con un margen de transposición dejado a los Estados en cuanto al perímetro exacto (en particular el nivel local). En Francia, numerosos organismos públicos entran en el ámbito de aplicación y deben desplegar medidas de gestión de riesgos, notificar incidentes e implicar a su dirección.

La continuidad del servicio público y la seguridad de los datos de los ciudadanos son el núcleo de los retos.

Obligaciones clave

• Medidas de gestión de riesgos (art. 21).
• Notificación de incidentes significativos.
• Continuidad del servicio público.
• Seguridad de la cadena de suministro (proveedores públicos, prestadores de servicios).

AI Act — los servicios públicos de alto riesgo

El AI Act clasifica como de alto riesgo los sistemas de IA destinados a evaluar la elegibilidad para prestaciones y servicios públicos esenciales y a concederlos, reducirlos o retirarlos, así como varios usos soberanos. Las administraciones que despliegan estos sistemas asumen las obligaciones del alto riesgo.

Los usos internos o informativos se rigen por regímenes más ligeros.

Obligaciones clave

• Calificar las IA de acceso a los servicios (a menudo alto riesgo).
• Gestión de riesgos y calidad de los datos.
• Supervisión humana y transparencia reforzada.
• Análisis de impacto sobre los derechos fundamentales (FRIA).

RGPD — datos de ciudadanos a gran escala

El sector público es responsable de tratamientos masivos y frecuentemente sensibles. Debe disponer de bases jurídicas sólidas (misión de interés público), información clara, EIPD para los tratamientos de riesgo y una seguridad a la altura de los desafíos.

Obligaciones clave

• Base jurídica (misión de interés público) e información.
• EIPD para los tratamientos de alto riesgo.
• Seguridad y plazos de conservación.
• Encuadre de las decisiones automatizadas.

Vista comparada de las regulaciones

Cómo se articulan estas normativas

El servicio público digitalizado acumula los tres textos: un trámite telemático de acceso a una prestación combina RGPD (datos de ciudadanos), AI Act (si la elegibilidad es evaluada por IA, frecuentemente alto riesgo) y NIS2 (seguridad y continuidad del servicio). El análisis de impacto sobre los derechos fundamentales (FRIA) previsto por el AI Act se articula con la EIPD del RGPD.

La especificidad pública es la exigencia de transparencia y no discriminación: una IA de concesión de prestaciones mal controlada puede generar una discriminación sistémica a gran escala.

Calendario de aplicación

• 1RGPD. En vigor.
• 2AI Act. alto riesgo: A partir del 2 de agosto de 2026 para los servicios públicos esenciales.
• 3NIS2. Transposición francesa en curso; ámbito público pendiente de confirmación.

Sanciones aplicables

El RGPD prevé hasta 20 M€ o el 4 %, pero se aplican límites específicos a las autoridades y organismos públicos según el derecho nacional. El AI Act prevé hasta 35 M€ o el 7 %. NIS2: régimen según la transposición.

Más allá de las sanciones, el reto es la confianza de los ciudadanos y la continuidad del servicio público.

Hoja de ruta de puesta en conformidad

• 1Cartografiar. Inventariar tratamientos de ciudadanos, IA de instrucción y sistemas críticos.
• 2Securizar (NIS2). Desplegar las medidas y un plan de continuidad del servicio público.
• 3Dominar la IA de alto riesgo. Calificar las IA de acceso a servicios y realizar FRIA y EIPD.
• 4Proteger los tratamientos RGPD. Bases legales, información, seguridad, plazos.
• 5Pilotar. Involucrar a la dirección y designar un DPO.

Cómo Data Comply One acompaña al sector

Data Comply One cubre RGPD, AI Act y NIS2 en una plataforma única, con DPO y CISO externalizados, y acompaña a los actores públicos en la articulación FRIA / EIPD y la continuidad del servicio público.

DCO propone modelos adaptados al sector público (EIPD misión de interés público, FRIA, procedimientos de incidente).

Preguntas frecuentes