SURF y el programa Npuls construyeron EduGenAI, una puerta de acceso soberana y seudonimizada a modelos de lenguaje abiertos y comerciales (OpenAI, Llama, Mistral, Claude) para instituciones neerlandesas de formación profesional y educación superior. Una EIPD independiente publicada en agosto de 2025 identificó solo 12 riesgos residuales, todos bajos, antes del inicio del piloto 2025-2026.
12 risks
Riesgos residuales identificados por la EIPD, todos calificados como bajos (Aug 2025)
Detalles
Madurez
Piloto
Promotor
SURF / Npuls
Período
DPIA published 8 Aug 2025; pilot runs through the 2025-2026 academic year
Palabras clave
generative AI, data protection impact assessment, national AI infrastructure, higher and vocational education, privacy by design
Contexto
SURF (la cooperativa de TIC de la educación superior neerlandesa) y el programa Npuls crearon EduGenAI, una pasarela nacional que encauza el acceso seudonimizado a LLM de código abierto y comerciales (OpenAI, Llama, Mistral, Claude) para instituciones neerlandesas de mbo/hbo/wo, alojada a través del centro de datos de SURF en Ámsterdam (Watergraafsmeer) para los modelos de código abierto.
Resultados
Una Evaluación de Impacto sobre la Protección de Datos independiente, realizada por Privacy Company (publicada el 8 de agosto de 2025), identificó 12 riesgos residuales, todos calificados como bajos tras las mitigaciones ya incorporadas en la arquitectura (seudonimización, infraestructura alojada en la UE y exclusión de usos de alto riesgo como la evaluación automatizada o la detección de fraude). El piloto se desarrolla a lo largo del curso académico 2025-2026 con instituciones que incluyen la Universidad de Twente; aún no se han medido resultados de aprendizaje ni de equidad.
Conclusiones
SURF y Npuls planean convertir EduGenAI en un servicio nacional permanente a partir de finales de 2026 si el piloto tiene éxito, lo que convierte este caso en un raro ejemplo de gobernanza de la privacidad construida antes del despliegue en lugar de impuesta tras una infracción.
Implementación
Coste indicativo
Alto (500 000 €–5 M€) — National platform build (SURF datacentre routing plus pseudonymisation layer for commercial APIs) funded via Npuls pooled institutional funding; no specific budget figure published.
Tiempo hasta resultados
Medio (1–3 años) — DPIA published Aug 2025; pilot runs through the 2025-2026 academic year; planned transition to a standing national service from late 2026.
Personal y competencias
SURF (Dutch higher-education ICT cooperative) infrastructure and engineering team, Npuls programme, pooling funding and coordination across Dutch mbo/hbo/wo institutions, Privacy Company, commissioned as independent DPIA assessor
Condiciones para el éxito
Pseudonymisation of requests sent to commercial model providers so prompts cannot be linked to individual users
EU-hosted infrastructure for open-source models via SURF's own datacentre
Contractual exclusion of high-risk uses (automated assessment, fraud detection) from the platform's scope
Independent DPIA commissioned and published before rollout rather than after
Modos de fallo comunes
Pilot learning and equity outcomes not yet measured, so the effectiveness case remains unproven
Current scope excludes higher-risk use cases, limiting near-term utility
Dónde encaja
Tipo de gobernanza
national sector-cooperative (SURF/Npuls pooling public HE institutions)
Vías de financiación indicativas para prácticas de este tipo: compruebe siempre las convocatorias vigentes y las reglas de elegibilidad de cada programa.
¿Usted implementa esta práctica?
Reivindíquela —
los implementadores verificados obtienen un contacto público en la página y pueden proponer correcciones.
Fuentes de datos
De dónde se obtuvo la información de esta práctica, y cuándo.