Cada vez más municipalidades usan chatbots para orientar al ciudadano, algoritmos para priorizar inspecciones o herramientas de IA generativa para redactar informes. La pregunta ya no es si usar IA, sino cómo hacerlo sin exponer a la entidad, ni al alcalde o a los funcionarios, a responsabilidades legales. Esta nota resume el marco vigente y propone una ruta práctica de implementación.
1. El marco legal base: autonomía municipal, pero sujeta a la ley
La Constitución Política (art. 194) reconoce autonomía política, económica y administrativa a los gobiernos locales. Esa autonomía tiene límites. El Título Preliminar de la Ley Orgánica de Municipalidades (Ley 27972) dispone que los gobiernos locales están sujetos a las leyes y disposiciones que regulan de manera general el funcionamiento del sector público. Por eso, una municipalidad no puede adoptar IA «a su manera»: debe cumplir la normativa nacional de transformación digital, datos personales, transparencia y procedimiento administrativo.
2. La Ley 31814 y su Reglamento: la norma central
La Ley 31814, que promueve el uso de la IA en favor del desarrollo económico y social del país, fue promulgada el 5 de julio de 2023. Su reglamento llegó recién con el Decreto Supremo N° 115-2025-PCM, publicado el 9 de setiembre de 2025, y su finalidad es impulsar el desarrollo y uso de la IA de manera segura, responsable, ética y transparente, con respeto a los derechos humanos. El Reglamento entra en vigencia el 22 de enero de 2026, salvo algunas disposiciones específicas.
Puntos que importan a una municipalidad:
- Ámbito de aplicación. Alcanza a las entidades públicas, empresas públicas, sector privado, academia y sociedad civil. Los gobiernos locales están incluidos como entidades de la administración pública.
- Autoridad. La Secretaría de Gobierno y Transformación Digital de la PCM se consolida como autoridad nacional en IA, con facultad de emitir lineamientos y estándares técnicos.
- Principios rectores. Entre ellos están la no discriminación, la privacidad de los datos personales, el respeto del derecho de autor y la supervisión humana.
- Clasificación por riesgo. El reglamento distingue usos de riesgo inaceptable (prohibidos), riesgo alto y riesgo aceptable. El proyecto de 2024 planteaba cuatro niveles, incluido el medio; la versión final habla de riesgo aceptable para todo sistema no comprendido en las categorías anteriores, que igualmente debe cumplir la Ley y el Reglamento.
¿Qué es «riesgo alto» en el contexto municipal?
Los sectores sensibles incluyen salud, educación, justicia, seguridad y economía/finanzas. Según el análisis de la Cámara de Comercio de Lima sobre el proyecto de reglamento, también entran usos como la evaluación crediticia, la interpretación normativa por una autoridad y la evaluación de riesgo de infracciones de personas. Un reporte de PromPerú incluye además determinar el acceso o evaluación a programas sociales. En municipalidades, esto toca casos como:
- Algoritmos que priorizan beneficiarios de programas sociales locales.
- Sistemas que califican o puntúan a contribuyentes para fiscalización, cobranza o sanción.
- Reconocimiento facial u otros sistemas biométricos en serenazgo o videovigilancia.
- Herramientas de IA para seleccionar, evaluar o cesar personal. El artículo 24 del Reglamento considera de riesgo alto este uso, y para los empleadores del sector público el análisis de impacto es obligatorio.
Un chatbot informativo sobre horarios, trámites o requisitos del TUPA suele ser de riesgo aceptable, pero debe cumplir igualmente los principios y la normativa de datos personales.
Obligaciones para sistemas de riesgo alto
Según los análisis de CMS Grau y Cuatrecasas (dos reconocidas firmas de abogados y bufetes de servicios jurídicos con presencia en el Perú y a nivel internacional), las obligaciones principales son:
- Supervisión humana efectiva, con personal capacitado para detener o corregir decisiones.
- Transparencia algorítmica: mecanismos que garanticen que se informe sobre el funcionamiento del sistema.
- Registro y documentación sobre el funcionamiento del sistema, las fuentes de datos y la lógica algorítmica.
- Evaluación de impacto. Es voluntaria para el sector privado, pero las entidades públicas con sistemas de riesgo alto deben realizar una evaluación previa de sesgos y derechos fundamentales. La documentación debe conservarse por un período mínimo de 3 años.
Sobre los plazos: el reglamento establece un cronograma escalonado. Una fuente profesional indica que el primer tramo vencía el 10 de setiembre de 2026 para el Poder Ejecutivo, Legislativo, Judicial y organismos constitucionales autónomos. Antes de implementar, verifique en el texto oficial las disposiciones aplicables a gobiernos regionales y locales, porque pueden tener fechas distintas.
3. Normas complementarias que toda municipalidad debe cumplir
La Ley 31814 no opera sola. Estas normas también se aplican:
- Ley 29733, de Protección de Datos Personales, y su Reglamento (D.S. 016-2024-JUS). El reglamento de IA exige cumplimiento estricto de esta ley y su reglamento, bajo supervisión de la Autoridad Nacional de Protección de Datos Personales. Esto implica base legal del tratamiento, finalidad, proporcionalidad, información al titular y seguridad. Es especialmente delicado con datos sensibles y biométricos.
- Decreto Legislativo 1412, Ley de Gobierno Digital, y su Reglamento (D.S. 029-2021-PCM). Organiza la gobernanza digital de las entidades: comités de gobierno digital, líderes de gobierno digital, seguridad y confianza digital.
- TUO de la Ley 27444, Ley del Procedimiento Administrativo General (D.S. 004-2019-JUS). Los actos administrativos requieren motivación y debido procedimiento. Una decisión no puede justificarse solo con «lo dijo el sistema»: el funcionario responsable debe poder explicar y sustentar el resultado.
- TUO de la Ley 27806, de Transparencia y Acceso a la Información Pública (D.S. 021-2019-JUS). La ciudadanía puede solicitar información sobre cómo se usan estos sistemas, y la transparencia algorítmica refuerza ese deber. Hiperderecho y Access Now señalaron, al comentar el proyecto de reglamento, la importancia de realizar estudios de impacto en derechos humanos como requisito previo al despliegue.
- Ley 27785, del Sistema Nacional de Control. Los sistemas de IA que gestionan recursos o decisiones públicas están sujetos a control gubernamental, y el reglamento enfatiza auditorías y mecanismos de control, sobre todo en sistemas de alto riesgo.
- Normativa de contrataciones del Estado. Si la IA se adquiere como servicio o software, el contrato debe cubrir propiedad de datos, auditabilidad, confidencialidad y seguridad. Consulte a su área de Logística y Asesoría Jurídica sobre la ley de contrataciones vigente.
4. Hoja de ruta práctica para una municipalidad
Paso 1: Gobernanza y responsables. Formalice mediante resolución de alcaldía o gerencia quién lidera la IA, normalmente con el Comité de Gobierno y Transformación Digital, Asesoría Jurídica, TI y el área de datos personales.
Paso 2: Inventario y clasificación de casos de uso. Liste las herramientas de IA en uso, incluidas las que usan los funcionarios por cuenta propia, como ChatGPT o Copilot. Clasifique cada una como riesgo aceptable, alto o inaceptable.
Paso 3: Política interna de uso de IA. Defina qué se puede hacer, qué datos nunca deben ingresarse a herramientas externas (datos personales, información reservada, expedientes) y quién valida los productos generados.
Paso 4: Evaluación de impacto para casos de riesgo alto. Documente sesgos posibles, derechos afectados, medidas de mitigación y plan de supervisión. Conserve el expediente por al menos tres años.
Paso 5: Protección de datos desde el diseño. Verifique base legal, minimice los datos, actualice el registro de bancos de datos personales cuando corresponda y revise la seguridad del proveedor.
Paso 6: Transparencia hacia el ciudadano. Informe de forma previa y sencilla cuándo interactúa con un sistema de IA y cuál es su finalidad. Publique información clara en el portal institucional.
Paso 7: Supervisión humana real. Designe funcionarios capacitados con autoridad para corregir o anular el resultado del sistema, y asegure que ninguna decisión que afecte derechos se base solo en una salida automatizada.
Paso 8: Contratos con salvaguardas. Exija a los proveedores explicabilidad, registros, auditoría, cláusulas de protección de datos y portabilidad de la información.
Paso 9: Capacitación y monitoreo continuo. Capacite al personal y revise periódicamente el desempeño, los errores y los reclamos ciudadanos.
5. Reflexión final
La regulación peruana busca equilibrar innovación y protección de derechos. Para las municipalidades es una oportunidad: modernizar la atención, reducir tiempos y mejorar la fiscalización, con reglas claras que protegen a la ciudadanía y también a las autoridades. La IA bien gobernada mejora los servicios; mal implementada, genera riesgos legales, reputacionales y de control.
Referencias
Normas
- Constitución Política del Perú, arts. 194 y 195.
- Ley 27972, Ley Orgánica de Municipalidades, Título Preliminar.
- Ley 31814, Ley que promueve el uso de la inteligencia artificial en favor del desarrollo económico y social del país (2023).
- Decreto Supremo 115-2025-PCM, Reglamento de la Ley 31814 (El Peruano, 9 de setiembre de 2025). Texto en: https://www.gob.pe/institucion/pcm/normas-legales/7133522-115-2025-pcm
- Ley 29733, Ley de Protección de Datos Personales, y D.S. 016-2024-JUS (Reglamento).
- Decreto Legislativo 1412, Ley de Gobierno Digital, y D.S. 029-2021-PCM (Reglamento).
- TUO de la Ley 27444, D.S. 004-2019-JUS.
- TUO de la Ley 27806, D.S. 021-2019-JUS.
- Ley 27785, Ley Orgánica del Sistema Nacional de Control.
Iván Bejarano Olivares
Magíster y consultor en Innovación Digital |
