RESUMEN

El «Caso Bosco» constituye uno de los pronunciamientos más relevantes en España sobre transparencia algorítmica. El litigio analiza el conflicto entre el derecho de acceso a la información pública y los límites de propiedad intelectual y seguridad pública, que exigen justificación proporcional, sin operar como exclusión automática. La STS 1119/2025, que anula la sentencia de la Audiencia Nacional y reconoce, en el contexto analizado, el derecho de acceso al código fuente conforme al régimen de acceso a la información pública, exige reforzar el control sobre sistemas automatizados que afecten a los ciudadanos, permitiendo conocer las operaciones diseñadas para adoptar la decisión y comprobar su adecuación al marco normativo aplicable, sin imponer publicación indiscriminada de todo algoritmo público. El Tribunal Supremo advierte que ni la propiedad intelectual ni la seguridad pública blindan automáticamente a la Administración. Toda restricción exige justificación proporcional. Con la IA avanzando más rápido que su regulación, el caso anticipa un debate urgente sobre la transparencia y el control de los sistemas automatizados.

El caso Bosco: la transparencia algorítmica como límite al poder de la administración.

I. ANTECEDENTES DE HECHO

El análisis de la evolución jurisprudencial reciente revela la existencia de una serie de casos jurídicos relevantes en los que el Tribunal Supremo ha vinculado la protección de datos con la consideración de las direcciones IP como dato personal y ha comenzado a examinar el papel de los algoritmos en la adopción de decisiones públicas. Por su parte, el Tribunal Constitucional ha desarrollado la doctrina constitucional del derecho a la protección de datos, diferenciándolo del derecho a la intimidad y fijando límites para evitar que se imponga de manera absoluta sobre otros derechos fundamentales.

En este sentido, el denominado “Caso Bosco” resulta de especial interés. En este, se aborda, con especial profundidad, la ponderación jurídica que enfrenta el derecho de acceso a la información pública y las garantías constitucionales con los límites de la propiedad intelectual y la seguridad del sistema. El debate consiste en esclarecer si procede la denegación absoluta de acceso al código fuente o, por el contrario, es posible un acceso parcial bajo determinadas condiciones que salvaguarden la transparencia, atendiendo a las circunstancias del caso concreto. En definitiva, este caso adquiere especial relevancia desde la perspectiva de la transparencia y del control jurídico de los sistemas automatizados empleados por la Administración Pública, sin perjuicio de su interés en materia de protección de datos personales, configurándose como un referente en la reflexión jurídica sobre la aplicación de la IA en la Administración Pública y la salvaguarda de los derechos fundamentales.

En cuanto a los antecedentes de hecho, la controversia se remonta a 2018, cuando la Fundación Civio solicitó al Ministerio para la Transición Ecológica, al amparo de la Ley 19/2013, de Transparencia, Acceso a la Información Pública y Buen Gobierno^[1], el acceso al código fuente del algoritmo que la Administración Pública empleaba para gestionar la concesión del bono social eléctrico, una ayuda consistente en aplicar un descuento en la factura de electricidad a los consumidores vulnerables. El programa informático empleado por la Administración para gestionar el otorgamiento de esta ayuda, conocido como “Bosco”,

servía para que las empresas comercializadoras de referencia pudieran comprobar si los solicitantes del bono social cumplían los requisitos legales y reglamentarios para ser considerados consumidores vulnerables y, en consecuencia, beneficiarios de esta prestación. Sin embargo, este programa informático presentaba deficiencias en su funcionamiento que provocaban la exclusión de solicitantes que reunían todos los requisitos legales para beneficiarse de dicha medida.

Dado que no se estaba requiriendo el código de un programa utilizado para una finalidad meramente interna o accesoria, sino de una aplicación informática empleada en un procedimiento automatizado con efectos sobre el reconocimiento de un beneficio social, la controversia adquirió una dimensión especialmente relevante. Además, la solicitud de Civio, más allá del código fuente, comprendía también información técnica relacionada con el funcionamiento del programa. El Consejo de Transparencia y Buen Gobierno estimó parcialmente la reclamación y permitió el acceso a las especificaciones técnicas, a los resultados de las pruebas realizadas y a otros documentos técnicos que permitieran conocer el modo de operar de “Bosco”, pero mantuvo la denegación del código fuente.

El litigio judicial comenzó y, en un primer momento, parecía abocado al fracaso, pues la Fundación Civio fue condenada al pago de las costas procesales en dos ocasiones, en 2022 y nuevamente en 2024. En primera instancia, el Juzgado confirmó la denegación total de acceso, considerando que, en este caso, los límites legales prevalecían sobre el principio de transparencia. No obstante, se interpuso recurso de apelación y la resolución de la Audiencia Nacional supuso un cambio sustancial en la orientación del caso, ya que además de reafirmar que el código fuente constituye información pública, descartó, a diferencia de otras instancias, la negativa absoluta al acceso solicitado. Aunque esta resolución abrió la posibilidad de un acceso parcial, se concluyó finalmente que la petición concreta de obtener el código íntegro superaba los límites del derecho de acceso. Para desestimar las pretensiones de la parte demandante se invocaron argumentos relativos a la protección de la propiedad intelectual y a la necesidad de preservar la seguridad pública e incluso la defensa nacional.

Posteriormente, se interpuso recurso de casación, elevando el asunto al Tribunal Supremo, correspondiéndole a este Tribunal, en última instancia, determinar si resulta procedente la denegación absoluta del acceso o, por el contrario, debe reconocerse un derecho de acceso limitado al tratarse de algoritmos públicos que inciden directamente en el reconocimiento de derechos sociales. La decisión que se adoptase sería decisiva, pues sentaría doctrina en un ámbito de creciente trascendencia como es la transparencia en el uso de algoritmos e IA.

II. EL FALLO DEL TRIBUNAL SUPREMO

El Tribunal Supremo apreció la existencia de interés casacional objetivo para determinar la procedencia de facilitar el acceso al código fuente del programa informático empleado para determinar el cumplimiento de los requisitos exigidos para ser beneficiario del bono social.

Finalmente, la Sentencia del Tribunal Supremo 1119/2025, de 11 de septiembre, dictada por la Sala de lo Contencioso-Administrativo, Sección Tercera, en el recurso de casación 7878/2024 (ECLI:ES:TS:2025:3826)^[2], resolvió definitivamente la controversia, estimando el recurso de la Fundación Civio, anulando la sentencia de la Audiencia Nacional y reconociendo, en el caso concreto analizado, su derecho a acceder al código fuente de la aplicación informática “Bosco”, que deberá proporcionarle la Administración demandada.

El debate ya no consiste, por lo tanto, en determinar si el código fuente de “Bosco” debe permanecer inaccesible o si cabe un acceso parcial, sino en analizar la doctrina establecida por el Tribunal Supremo sobre la transparencia algorítmica, el alcance del derecho de acceso a la información pública y la ponderación de los límites derivados de la seguridad pública y de la propiedad intelectual.

Resulta necesario matizar que la sentencia no fundamenta el derecho de acceso exclusivamente en el derecho fundamental a la protección de datos personales, sino que el núcleo jurídico del litigio se sitúa en el derecho de acceso a la información pública y en la interpretación de los límites previstos en los artículos 14 y 16 de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno. La protección de datos y la seguridad aparecen conectadas con la ponderación de los intereses afectados, pero el reconocimiento del acceso al código fuente se articula fundamentalmente a partir del principio de transparencia de la actuación administrativa y del artículo 105.b) de la Constitución^[3].

III. LA DOCTRINA DE LA TRANSPARENCIA ALGORÍTMICA

De esta manera, el Tribunal Supremo establece criterios relevantes en materia de “transparencia algorítmica”. En los casos en los que la Administración haga uso de sistemas automatizados para la toma de decisiones que afecten a derechos sociales, resulta necesario garantizar, en los términos previstos en el ordenamiento jurídico, que los ciudadanos puedan comprender y fiscalizar el funcionamiento de estos sistemas. Y esto, en determinados supuestos y atendiendo a las circunstancias del caso concreto, puede exigir el acceso al código fuente. La utilización de sistemas automatizados no permite, por sí sola, excluir las garantías jurídicas aplicables a la actuación administrativa.

En lo que respecta a los límites del derecho de acceso, el Alto Tribunal señala que ni la propiedad intelectual ni la seguridad pública operan como causa de exclusión automática. No es suficiente con invocarlas, sino que la Administración debe justificar, en cada caso, la necesidad y proporcionalidad de la restricción, ponderándola frente al interés público concurrente en el acceso a la información. En el caso que nos ocupa, dicho interés público, referido a que la decisión sobre el reconocimiento de derechos sociales se adopte correctamente y pueda fiscalizarse, resulta prevalente.

Sin embargo, la sentencia tampoco consagra una obligación general de publicar indiscriminadamente todos los algoritmos empleados por las Administraciones Públicas. En el caso analizado, el acceso al código fuente procede, únicamente, cuando resulte necesario para fiscalizar una actuación administrativa concreta.

La ausencia de transparencia en los sistemas automatizados puede derivar en situaciones de indefensión. El “Caso Bosco” constituye un referente especialmente relevante para el estudio de la transparencia algorítmica en España, evidenciando los desafíos que plantea la utilización de algoritmos en el ámbito público. Dado que los sistemas de IA se apoyan, precisamente, en algoritmos, esta controversia puede resultar de interés para futuros conflictos en los que intervengan sistemas de mayor complejidad. Desde una perspectiva más amplia, el caso suscita la cuestión de la medida en que el ejercicio de potestades públicas mediante sistemas automatizados ha de quedar sujeto a mecanismos efectivos de control y fiscalización.

La sentencia 1119/2025, de 11 de septiembre, ha convertido la transparencia algorítmica en una cuestión jurídicamente operativa dentro del derecho de acceso a la información pública.

El alcance de esta doctrina resultará especialmente relevante en los próximos años, a medida que las Administraciones Públicas incorporen sistemas algorítmicos más sofisticados. La cuestión ya no se limita a programas basados en reglas relativamente sencillas como “Bosco”, sino que puede proyectarse sobre sistemas más complejos capaces de asistir en la adopción de decisiones administrativas. En estos casos, el reto jurídico consistirá en determinar qué información debe facilitarse para que el ciudadano pueda comprender la decisión y ejercer efectivamente sus derechos, sin que la complejidad técnica del sistema pueda convertirse por sí misma en una barrera para el control jurídico.

IV.   MARCO NORMATIVO APLICABLE

El debate jurídico en torno al “Caso Bosco” conecta con un marco normativo más amplio, relativo a la protección de derechos fundamentales y la regulación de la IA. Los artículos 18.4 y 24 de la Constitución Española^[4] garantizan, respectivamente, la protección de los ciudadanos frente al uso de la informática y la tutela judicial efectiva, ambos esenciales como garantías frente a los riesgos que puede plantear la utilización opaca de sistemas automatizados. La relación entre ambos preceptos y la automatización administrativa debe entenderse como una cuestión de garantías frente a decisiones tecnológicas potencialmente opacas, pero no puede afirmarse sin más que toda utilización de un algoritmo vulnere dichos derechos.

Por su parte, el artículo 22 del Reglamento General de Protección de Datos^[5] reconoce el derecho del interesado a no ser objeto de una decisión basada únicamente en un tratamiento automatizado cuando ésta produzca efectos jurídicos o le afecte significativamente. No obstante, este derecho admite determinadas excepciones, siempre que se respeten las garantías previstas por el propio Reglamento. Su aplicación dependerá de las circunstancias concretas de cada caso y, en particular, de la naturaleza de la decisión y del grado de

intervención humana existente. Esta previsión constituye un marco relevante para contextualizar las decisiones automatizadas, pero no es la base jurídica del pronunciamiento del Tribunal Supremo en el “Caso Bosco”, cuyo fundamento se encuentra en el derecho de acceso a la información pública y en la aplicación de la Ley 19/2013.

Por lo que respecta al Reglamento (UE) 2024/1689^[6], conocido como AI Act, determinados sistemas de IA utilizados por las autoridades públicas para gestionar prestaciones y servicios públicos esenciales pueden quedar comprendidos entre los sistemas de alto riesgo. Debe precisarse, sin embargo, que el Reglamento se rige por un régimen de aplicación progresiva. Sus distintas obligaciones resultan exigibles en momentos diferentes, según la categoría del sistema de que se trate, sin que pueda hablarse de una fecha única de aplicación para todas ellas. En consecuencia, la clasificación de un sistema como de alto riesgo no implica, por sí sola, la exigibilidad inmediata de todas las obligaciones asociadas, cuya aplicación dependerá del calendario que corresponda en cada caso, el cual ha sido, además, objeto de modificaciones posteriores a la adopción inicial del Reglamento.

V. CONCLUSIONES

En definitiva, la utilización de sistemas algorítmicos por las Administraciones Públicas no puede convertirse en un espacio de opacidad. La sentencia del Tribunal Supremo 1119/2025, de 11 de septiembre, constituye un precedente de especial relevancia al reconocer, en el caso concreto analizado, que el derecho de acceso a la información pública puede alcanzar al código fuente de una aplicación administrativa cuando su conocimiento resulte necesario para controlar su funcionamiento y su adecuación al ordenamiento jurídico.

El “Caso Bosco” pone de manifiesto que la incorporación de algoritmos y, progresivamente, de sistemas de IA al ejercicio de potestades públicas exige mantener y, cuando sea necesario, reforzar las garantías de transparencia, trazabilidad, motivación y control. La complejidad técnica de estas herramientas no puede convertirse en un obstáculo para el ejercicio efectivo de los derechos de los ciudadanos. La transparencia algorítmica no es una concesión discrecional de la Administración, sino una garantía jurídica exigible cuando resulte procedente.

La relevancia de las cuestiones analizadas en este caso trasciende, además, el ámbito de la Administración Pública. En los últimos meses, el debate sobre la gobernanza de la IA ha alcanzado también a las propias empresas privadas que desarrollan los modelos más avanzados, algunos de cuyos máximos responsables han reclamado públicamente mecanismos de evaluación, supervisión y seguridad⁷. Aunque desde perspectivas jurídicas distintas, tanto el uso de sistemas automatizados por las Administraciones Públicas como el desarrollo de modelos avanzados por empresas privadas plantean una cuestión común: cómo garantizar mecanismos efectivos de transparencia y control sobre sistemas tecnológicos capaces de producir efectos significativos sobre las personas.

En este contexto, y más allá de la doctrina que se desprende de la sentencia, el “Caso Bosco” constituye un referente de especial interés, pues ilustra, en el ámbito de la Administración Pública, una cuestión que se proyecta también sobre quienes desarrollan modelos avanzados de IA: la innovación tecnológica puede transformar la forma en que se ejercen las potestades públicas, pero no debe comportar una merma de las garantías jurídicas que han de acompañar a su ejercicio.

BIOGRAFÍA

^[1] Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno. Boletín Oficial del Estado, 295, de 10 de diciembre de 2013.

^[2] Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección 3.ª). (2025, 11 de septiembre). Sentencia 1119/2025 (Recurso de casación 7878/2024; ECLI:ES:TS:2025:3826).

^[3] Art. 105.b) de la Constitución Española (BOE núm. 311, de 29 de diciembre de 1978).

^[4] Arts. 18.4 y 24 de la Constitución Española (BOE núm. 311, de 29 de diciembre de 1978).

^[5] Art. 22 del Reglamento (UE) 2016/679, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (RGPD), DOUE L 119.

^[6] Reglamento (UE) 2024/1689, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial, DOUE L 1689.