Suecia bloquea ChatGPT y Claude en sus oficinas de gobierno

Qué ha decidido la oficina de gobierno sueca

El 71% de los empleados reconoce que usa herramientas de IA sin la aprobación de su empleador, según una investigación del National Cyber Security Centre del Reino Unido que recoge La Vanguardia. La Regeringskansliet, la oficina que da soporte al Gobierno de Suecia, respondió a ese escenario con una decisión concreta: a partir del lunes, sus empleados no podrán abrir ChatGPT ni Claude desde los ordenadores de servicio.

La medida la adelantó la radio pública sueca Sveriges Radio, a través de su unidad de investigación Ekot, que accedió a información interna. El motivo no es técnico: la institución quiere que su personal use las herramientas de IA que ya tiene aprobadas, entre ellas Copilot, el asistente de Microsoft.

Según esa información interna, tras una revisión la oficina también elevó los controles de seguridad de Copilot. El servicio de prensa no quiso detallar esa mejora, argumentando que se trata de cuestiones de seguridad.

Mikael Wettercrantz, director de digitalización de la Regeringskansliet, declinó una entrevista con Ekot. En un comentario publicado en la intranet de la institución sostuvo que usar servicios de IA sin un contrato puede tener consecuencias para la seguridad de la información de la institución.

La clave: se bloquea el canal, no la capacidad

El detalle que más debería interesar a un founder es que el bloqueo no elimina la herramienta. Parte del personal mantiene acceso a una plataforma interna de asistentes de IA que la propia Regeringskansliet desarrolló, y a través de ella sigue usando ChatGPT y Claude.

Es decir: el uso de IA no se prohíbe, se reubica. Pasa de la web abierta, sin contrato ni trazabilidad, a un entorno controlado por la organización. La Regeringskansliet también había restringido antes el uso de Deepseek, la misma lógica de ir cerrando puertas a medida que se identifican riesgos.

Ese enfoque es exactamente el que recomiendan los especialistas en gobernanza de IA. Fernando de Águeda, CEO de Scalian Spain, lo resume así en declaraciones recogidas por RRHHDigital: el shadow AI no se resuelve prohibiendo, sino gobernando, y cuanto más entra la IA en el día a día, menos sentido tiene bloquear herramientas y más importa dar a las personas reglas claras, formación y criterio.

No es un caso aislado en Suecia

La investigación de Ekot muestra que la Regeringskansliet no está sola. Ya se han introducido bloqueos similares en la Skatteverket (la agencia tributaria sueca) y en la Statens institutionsstyrelse (SiS), mientras que en el Kronofogden, la autoridad de cobros, la cuestión se prepara para una decisión próxima.

El caso más documentado es el de Trafikverket, la administración de transporte sueca. Su auditoría interna detectó este año un uso extendido y riesgoso de una decena de servicios de IA distintos y lo describió así: se identificaron varios ejemplos de uso problemático de servicios de IA abiertos, relacionados tanto con la sensibilidad de la información introducida como con la forma en que se gestionaron las respuestas generadas.

Esa frase contiene las dos fallas que cualquier equipo debería vigilar: qué datos entran al modelo y qué se hace con lo que el modelo devuelve. La segunda se subestima casi siempre. Un informe interno mal verificado, generado por IA y reenviado sin revisión, es un riesgo operativo tan real como una filtración.

Qué dicen los datos sobre el shadow AI en las empresas

El fenómeno dejó de ser anecdótico y ya tiene métricas. Según Sophos, citado por IT Sitio, el 82% de las organizaciones detectó agentes o herramientas de IA en la sombra en sus entornos durante el último año, el 69% sospecha o tiene pruebas de que sus empleados usan herramientas de IA no autorizadas y el 90% de los líderes de TI está preocupado por los riesgos asociados. La misma compañía proyecta, citando a IDC, que para 2028 habrá 1.300 millones de agentes de IA en circulación.

El informe The AI Oversight Gap, de Optro, que recoge RRHHDigital, apunta al núcleo del problema: el 80% de las empresas reconoce un uso moderado o elevado de shadow AI, pero solo una de cada cuatro afirma tener visibilidad completa sobre cómo usan la IA sus empleados, y admite que todavía no dispone de una política formal para regularla.

IBM ya había marcado la brecha entre lo aprobado y lo real: solo el 22% de los empleados utiliza exclusivamente las herramientas de IA que le da su empresa, y el 35% de los trabajadores de la generación Z prefiere usar aplicaciones personales de IA en el puesto de trabajo.

El costo de cerrar esa brecha existe, pero es acotado. La Vanguardia recoge el caso de Tendios, una empresa catalana de más de 60 empleados que paga 30.000 euros mensuales por distintos modelos de IA precisamente para garantizar que sus datos no se usen para entrenar modelos.

Qué significa esto para tu startup

Si tu equipo tiene menos de 50 personas, probablemente ya estás viviendo el problema sueco en versión reducida: alguien pega información de clientes en un chat de IA abierto, sin contrato, sin política y sin que nadie lo sepa. La decisión de la Regeringskansliet no es un caso de burocracia estatal: es el guion que se está escribiendo también para el sector privado.

Estas son las acciones que puedes implementar esta semana, en orden de impacto:

• Haz el inventario antes de escribir la política. Pregunta a tu equipo qué herramientas de IA usa y para qué, sin tono punitivo. El dato de IBM lo explica: si no ofreces una alternativa, el 78% de la gente usará la suya. La empresa de marketing Primer Impacto, que RRHHDigital menciona con 500 empleados, pide a su plantilla que le cuente los casos de uso que descubre para incorporarlos a la operativa oficial.
• Clasifica la información en tres niveles. Qué datos pueden entrar a una IA pública, cuáles exigen un proveedor con contrato y cuáles no salen nunca del sistema. Esta clasificación es la que después sostiene cualquier política escrita.
• Firma el contrato antes que la prohibición. El punto de la Regeringskansliet no es prohibir ChatGPT: es que la versión que se usa esté cubierta por un acuerdo. En la práctica, eso suele significar pagar por la versión empresarial del proveedor, la que compromete contractualmente no entrenar modelos con tus datos.
• Abre un canal formal para proponer herramientas. El informe de Optro señala que la ausencia de política formal es la norma, no la excepción. Un formulario simple donde cualquiera pueda pedir la evaluación de una herramienta y reciba respuesta en días evita que la gente resuelva por su cuenta.

Un apunte regulatorio que afecta directamente a quien opera en Europa: en el marco del AI Act, las organizaciones deben asegurar que quienes usan sistemas de IA cuentan con criterio, formación y recursos para hacerlo de forma segura, según recuerda RRHHDigital. En LATAM todavía no hay un equivalente con esa fuerza, pero los estándares que aplican las multinacionales a sus filiales suelen llegar antes que la ley local.

Conclusión

Suecia acaba de mostrar cómo se ve una política de IA madura dentro del sector público: no bloquea la tecnología, bloquea la versión sin contrato. La Regeringskansliet mantiene ChatGPT y Claude disponibles, pero solo a través de la plataforma que ella misma controla, y sube la seguridad del único asistente que tiene aprobado.

Para un founder, la lección es de secuencia. La pregunta no es si tu equipo usa IA —ya lo hace—, sino si puedes responder tres cosas: qué herramientas están en uso, qué datos entran en ellas y si esa actividad cumple con tus reglas. Si no puedes contestarlas hoy, el primer paso no es prohibir: es medir.

Fuentes

• Sveriges Radio — ChatGPT och Claude förbjuds på Regeringskansliet (fuente original)
• La Vanguardia — El shadow AI se propaga y aumenta riesgos en la empresa
• IT Sitio — Sophos lanza AI Defense para detectar la IA en la sombra
• RRHHDigital — Shadow AI: el reto de gobernar la IA que usan los empleados