Guía práctica · RGPD
10 requisitos para contratar una herramienta de anonimización con IA en una Administración Pública | Guía 2026
Guía con 10 requisitos jurídicos y técnicos para contratar una herramienta de anonimización con IA en el sector público: RGPD, ENS, trazabilidad, no training, metadatos y revisión humana.
¿Qué debe revisar una Administración antes de contratar una herramienta de anonimización con IA?
Elegir una herramienta de anonimización con inteligencia artificial no consiste únicamente en comprobar si encuentra nombres o DNI. La solución va a recibir documentos antes de estar anonimizados, por lo que la Administración debe evaluar también protección de datos, seguridad, almacenamiento, terceros y trazabilidad.
Estos son los diez requisitos básicos que deberían revisarse antes de contratar.
1. Encargado del tratamiento claramente regulado
Qué pedir
Si el proveedor procesa documentos por cuenta de la Administración, debe analizarse el artículo 28 RGPD. El contrato de encargado del tratamiento debe regular la finalidad, la duración, las instrucciones, las obligaciones de seguridad y la relación de subencargados.
2. Uso limitado exclusivamente a la anonimización
Qué pedir
El proveedor no debería reutilizar los documentos para finalidades incompatibles con el servicio contratado. Se debe exigir una cláusula clara que limite el tratamiento a la prestación del servicio.
3. Los documentos no se utilizan para entrenar modelos
Qué pedir
La Administración debe saber expresamente si sus documentos pueden utilizarse para entrenamiento o mejora de sistemas. Se debe exigir una garantía contractual de no training y ausencia de reutilización de los documentos.
4. Política clara de almacenamiento y eliminación
Qué pedir
"No training" no significa "no almacenamiento". Hay que conocer cuánto tiempo permanece el documento, qué ocurre con copias temporales, logs y backups y cuándo se elimina definitivamente.
5. Control de APIs externas y subencargados
Qué pedir
Debe conocerse si los documentos abandonan la plataforma para ser procesados por otros modelos o proveedores. Se debe pedir la arquitectura del servicio y la relación completa de subencargados.
6. Procesamiento y ubicación de los datos
Qué pedir
La Administración debe saber dónde se procesan y almacenan los documentos y si existen transferencias internacionales. Se debe pedir la ubicación de servidores, proveedores cloud y equipos de soporte.
7. Cumplimiento acreditable del ENS
Qué pedir
Para soluciones destinadas al sector público español, debe analizarse el Esquema Nacional de Seguridad. No basta con afirmar estar "alineado con ENS". Se debe pedir declaración o certificado de conformidad, categoría, alcance y vigencia.
8. Trazabilidad de cada operación
Qué pedir
La anonimización no debería ser una caja negra. La Administración debería poder conocer quién procesó el documento, cuándo y qué actuación se realizó. Se debe pedir registro de operaciones e informe o certificado de gobierno del dato.
9. Eliminación real del dato, no simple ocultación visual
Qué pedir
Pintar un rectángulo negro sobre un DNI no garantiza que el texto haya desaparecido del fichero. También deben analizarse metadatos, campos ocultos, comentarios, firmas o códigos que puedan revelar información.
10. Especialización en documentación administrativa
Qué pedir
Anonimizar más no significa anonimizar mejor. Una solución de sector público debe distinguir entre información que debe protegerse y datos que legítimamente deben permanecer públicos, como determinados cargos, empresas adjudicatarias, CIF o importes contractuales.
La pregunta que resume toda la contratación
Antes de elegir proveedor, una Administración debería poder responder:
¿Puedo demostrar qué ocurre con mis documentos desde que entran en el sistema hasta que salen anonimizados?
Si la respuesta depende únicamente de confiar en afirmaciones como "IA privada", "segura" o "cumple RGPD", faltan garantías. Una solución profesional debería combinar protección de datos, arquitectura segura, ausencia de reutilización, control del almacenamiento, ENS y trazabilidad.
¿Cómo responde AnonimizIA a estos requisitos?
AnonimizIA está diseñada específicamente para la anonimización de documentación administrativa. Según la información pública del servicio, los modelos se ejecutan en servidores de la Unión Europea sin enviar los documentos a APIs externas. oGov acredita ENS categoría Media y la infraestructura utilizada dispone de ENS Alta. Servicio de anonimización gestionado.
La solución incorpora además trazabilidad de las operaciones, certificado de gobierno del dato, reglas configurables, revisión humana y tratamiento de elementos como metadatos. La diferencia fundamental es sencilla: una IA genérica puede encontrar datos personales; una solución de anonimización para el sector público debe además poder demostrar cómo los protege. Para conocer el software, consulta la página de Más información sobre el software.
Preguntas frecuentes
¿Es obligatorio el ENS para una herramienta de anonimización?
No siempre, pero para el sector público español el Esquema Nacional de Seguridad es un marco de referencia obligatorio para muchas Administraciones. Lo relevante es exigir una declaración o certificado de conformidad con categoría, alcance y vigencia, no conformarse con afirmaciones genéricas de "alineado con ENS".
¿Puede una IA generalista cumplir estos diez requisitos?
No debería asumirse. Una IA generalista puede carecer de contrato de encargado del tratamiento, utilizar subencargados no controlados, almacenar documentos para mejorar modelos o procesar fuera de la UE. Por eso es importante revisar cada requisito de forma explícita.
¿Qué diferencia hay entre ocultar visualmente un dato y anonimizarlo?
Pintar un rectángulo negro sobre un DNI no garantiza que el texto haya desaparecido del fichero. La anonimización real elimina el dato del documento entregado y limpia metadatos, campos ocultos, comentarios y otras capas que pueden seguir revelando información.
¿Dónde puedo probar AnonimizIA?
Puedes solicitar una prueba gratuita desde la página de registro, sin tarjeta de crédito.
Fuentes y referencias
Fuentes y referencias
Todo lo que se explica aquí se apoya en normativa publicada y en las orientaciones de la Agencia Española de Protección de Datos. Estos son los textos originales:
¿Anonimizas documentos a diario?
Deja de tachar a mano. Automatízalo con anonimizia.
Sube tus PDFs y obtén documentos anonimizados conforme al RGPD en segundos.
Probar gratis