Los docentes llevan tiempo usando IA. Para un consejo escolar (en los Países Bajos, el schoolbestuur, el órgano que gobierna la escuela), la pregunta casi nunca es si se usa, sino qué herramienta, en qué condiciones y para quién. Y suele llegar en el peor momento: un docente ha encontrado algo, un proveedor ha hecho una oferta, y el consejo tiene que decir sí o no en una sola reunión.
Entonces la conversación gira en torno a la herramienta. ¿Es buena, es práctica, qué opinan los docentes? Pero el consejo no firma por la herramienta. Firma por lo que ocurre con los datos de alumnos y compañeros, por lo que llega a un aula con el nombre de la escuela y por poder explicarlo cuando una familia pregunta. Nada de eso aparece en una demo. Está en un documento, o no está en ninguna parte.
Por qué tan a menudo falta la respuesta
Rara vez es falta de voluntad. Un docente puede valorar si una herramienta sirve para la clase. Un coordinador de TIC puede valorar si funciona bien técnicamente. Lo que queda entre ambos es la pregunta de quién asume el riesgo y dónde está escrito. Sin preguntas fijas, cada uno responde la que corresponde a su papel, y el resto se queda sin responder.
Kennisnet, el centro público neerlandés de conocimiento sobre TIC en la educación, lo plantea así para la IA en las escuelas: antes de poder usar aplicaciones de IA, la seguridad de la información y la privacidad tienen que estar en orden. Es una condición previa, no una tarea para después de la compra.
Seis preguntas, una por capa
VergeLabs evalúa cualquier sistema de IA con TRACES.
TRACES son las seis capas con las que evalúas un sistema de IA: Trail, Retrieval, Approval, Constraints, Expertise, Storage. Donde falta una capa, hay un riesgo.
A continuación, cada capa lleva la pregunta que el consejo puede plantear por escrito al proveedor y el documento que le corresponde a la propia escuela. La primera parte es para el proveedor. La segunda es trabajo del propio consejo, y es la que más se olvida.
T · Trail. ¿Qué registra la herramienta de lo que hacen con ella los docentes, y puede la escuela consultarlo? Por parte de la escuela, hay que preguntarse quién puede leer esos registros y cuándo. Un rastro que nadie abre no ayuda a nadie.
R · Retrieval. ¿De qué fuentes responde la herramienta, y qué hace cuando la respuesta no está en ellas? Un docente que genera material didáctico quiere poder comprobar una referencia. Por parte de la escuela, hace falta un acuerdo sobre qué hace un docente con una respuesta sin fuente: no usarla hasta que se haya comprobado.
A · Approval. ¿Dónde confirma una persona el contenido antes de que llegue a un alumno? En una escuela suele ser el propio docente, y está bien, siempre que haya un acuerdo. Sin acuerdo, todos dan por hecho que otro lo revisó.
C · Constraints. ¿Qué no puede hacer técnicamente la herramienta, aunque un docente se lo pida? Por ejemplo, tratar datos fuera del entorno acordado. Por parte de la escuela, esto significa gestión centralizada de cuentas: Kennisnet aconseja gestionar las cuentas de forma centralizada, para que ni el personal ni los alumnos creen cuentas propias fuera del control de la escuela.
E · Expertise. ¿Qué decisión se queda en manos del docente? La nota, la evaluación, el consejo sobre un alumno. Déjalo por escrito, porque la herramienta aligera el trabajo y no asume el criterio.
S · Storage. ¿Dónde están los datos, pueden usarse para entrenar modelos y consta así en el contrato de encargo de tratamiento? Para una escuela, aquí es donde más cosas están fijadas, porque el RGPD tiene normas al respecto.
Qué piden ya la ley y el sector educativo
Hay tres cosas que un consejo no tiene que idear por su cuenta.
El contrato de encargo de tratamiento (verwerkersovereenkomst). Según el artículo 28 del RGPD, quien encarga a un proveedor el tratamiento de datos personales solo puede elegir un encargado que ofrezca garantías suficientes, y debe fijar el tratamiento en un contrato vinculante. Kennisnet aconseja usar únicamente servicios de IA cuyos acuerdos sobre datos personales consten en un contrato de encargo de tratamiento. Para la educación existen contratos modelo del Privacyconvenant Onderwijs (el convenio de privacidad del sector educativo), que Kennisnet señala en su marco normativo de seguridad de la información y privacidad.
La EIPD. El artículo 35 del RGPD obliga a realizar una evaluación de impacto relativa a la protección de datos (EIPD) antes de un tratamiento que probablemente entrañe un alto riesgo para los afectados, sobre todo con tecnologías nuevas. La versión práctica de Kennisnet: haz una EIPD cuando una aplicación de IA trate datos personales.
Los propios docentes. El artículo 4 del Reglamento de IA (AI Act) obliga a las organizaciones que ponen en uso sistemas de IA a adoptar medidas para la alfabetización en IA de su personal. Desplegar una herramienta sin explicársela a quienes la van a usar es, por tanto, dejarla a medias.
Si una aplicación concreta entra en una categoría de riesgo más alto depende de la aplicación. Una herramienta que prepara clases no es lo mismo que una que evalúa los resultados de los alumnos. Búscalo herramienta por herramienta y no cuentes con un pase general.
Cómo leer las respuestas
Dale a cada respuesta una de tres valoraciones: presente, parcial o ausente. Presente es concreta y se puede encontrar en un documento. Parcial se prometió de palabra, o la función existe pero falta la explicación. Ausente es una respuesta evasiva, como «nos tomamos la privacidad muy en serio», o ninguna respuesta.
Un «ausente» en Storage o en Constraints basta para que una escuela pare. Son las capas en las que los datos de los alumnos salen del edificio, y una buena conversación no lo cambia. Un «ausente» en Retrieval o en Trail es más bien una condición para un piloto: en un grupo pequeño, con acuerdos y con una fecha en la que el consejo vuelve a mirarlo.
Si quieres ver dónde es más débil la cadena de un material didáctico propio, puedes usar el Ketencheck de esta web, que recorre las cuatro fases de SEAL: Source, Edit, Approve y Launch. Así sabrás cuál de las seis capas pesa más en vuestro caso.
Qué puedes hacer esta semana
- Haz una lista de las herramientas de IA que usan ahora los docentes, oficiales o no. Pregúntaselo sin más.
- Elige una y envía al proveedor las seis preguntas en un solo correo. Pide las respuestas por escrito, con referencia a la documentación o al contrato.
- Averigua si hay un contrato de encargo de tratamiento y si se ha hecho una EIPD. Si falta alguno de los dos, ese es el primer punto del orden del día.
- Pon las respuestas en una tabla con tres columnas: capa, respuesta, valoración.
- Deja la decisión por escrito en una sola hoja: quién puede usar la herramienta, para qué, con qué acuerdos y cuándo vuelve a mirarlo el consejo.
Fuentes
- Kennisnet, Privacy en AI: hier moeten scholen op letten (actualizado el 22 de septiembre de 2025). kennisnet.nl
- Kennisnet, Kansen en risico's van generatieve AI in het onderwijs. kennisnet.nl
- Normenkader informatiebeveiliging en privacy voor het onderwijs, subproyecto 2.8, con referencia a los contratos modelo de encargo de tratamiento del Privacyconvenant Onderwijs. normenkaderibp.kennisnet.nl
- Reglamento (UE) 2016/679 (RGPD), artículos 28 y 35. eur-lex.europa.eu
- Reglamento (UE) 2024/1689 (Reglamento de IA), artículo 4. eur-lex.europa.eu