La restricción entró en vigor el 26 de octubre de 2026 en las oficinas del Gobierno (Regeringskansliet), que incluyen la oficina del primer ministro y los ministerios, con una plantilla de alrededor de 4.900 personas en servicio activo. El director de Digitalización, Mikael Wettercrantz, advirtió en la intranet que el uso de herramientas no protegidas por acuerdos de seguridad puede tener consecuencias para la seguridad de la información.
Autoridades detectaron casos de uso problemático de servicios abiertos de inteligencia artificial, tanto por la sensibilidad de los datos introducidos como por el manejo posterior de las respuestas generadas. Instituciones como la Dirección General de Tráfico habían alertado meses antes sobre estos riesgos. Otras agencias, entre ellas la Agencia Tributaria (Skatteverket) y la Junta Nacional de Cuidado Institucional (SiS), ya aplicaban bloqueos similares.
Parte del personal mantiene acceso a los modelos de ChatGPT y Claude a través de una plataforma interna desarrollada o contratada por las autoridades, con servidores localizados en Suecia. El resto queda restringido a herramientas previamente aprobadas y con controles de seguridad reforzados, como Copilot.
Análisis de datos y cifras clave
El bloqueo afecta a una administración central con más de 5.000 empleados promedio. En el sector público sueco, varias agencias independientes ya habían limitado el uso de modelos generativos no contractualizados. La medida se enmarca en un patrón europeo más amplio de contención del “shadow IT”, el uso no autorizado de herramientas digitales por empleados públicos.
Según datos de la Comisión Europea sobre adopción de inteligencia artificial en el sector público, los países nórdicos presentan tasas de digitalización elevadas, pero también mayor rigor en la evaluación de riesgos de transferencia de datos fuera del Espacio Económico Europeo. El Reglamento General de Protección de Datos (RGPD) exige base legal y garantías adecuadas cuando se procesan datos personales o confidenciales en servidores de terceros.
- Plantilla afectada en oficinas del Gobierno: aproximadamente 4.900 funcionarios en servicio.
- Herramientas bloqueadas en versión web: ChatGPT (OpenAI) y Claude (Anthropic).
- Alternativa principal autorizada: Microsoft Copilot, tras revisión y ajuste de configuraciones de seguridad.
- Agencias con restricciones previas: Agencia Tributaria y Junta Nacional de Cuidado Institucional.
Comparado con 2024-2025, cuando el uso informal de chatbots creció sin contratos marco en múltiples administraciones europeas, la decisión sueca de 2026 marca un giro hacia la exigencia de acuerdos formales de procesamiento de datos. El porcentaje de incidentes de filtración relacionados con IA generativa reportados por autoridades de protección de datos en la UE aumentó en los últimos 18 meses, según informes de la Agencia de la Unión Europea para la Ciberseguridad.
Impacto a nivel institucional o gubernamental
La medida refuerza el control centralizado sobre las herramientas de productividad. Al dirigir el tráfico hacia plataformas con contratos y configuraciones auditadas, el Ejecutivo reduce la superficie de exposición de documentos clasificados o datos personales de ciudadanos. Al mismo tiempo, genera fricción operativa para funcionarios acostumbrados a consultar modelos abiertos de forma rápida.
El mantenimiento de un canal interno controlado evita una prohibición total y permite evaluar el rendimiento de modelos específicos bajo condiciones de residencia de datos en territorio sueco. Otras agencias, como la Autoridad de Ejecución, evalúan adoptar criterios similares en las próximas semanas.
«Utilizar herramientas que no estén protegidas por los acuerdos de seguridad establecidos podría tener consecuencias para la seguridad de nuestra información.»
Perspectiva técnica y reacciones de expertos
Desde el punto de vista técnico, el riesgo principal radica en que las consultas a modelos comerciales pueden quedar almacenadas o utilizadas para entrenamiento, salvo que existan cláusulas contractuales específicas de no retención y residencia de datos. Los acuerdos empresariales con proveedores como Microsoft permiten configurar controles más estrictos de retención y auditoría, algo que no está garantizado en las versiones web gratuitas o de consumo de ChatGPT y Claude.
Expertos en ciberseguridad pública señalan que el fenómeno del shadow IT se agrava cuando las herramientas de IA ofrecen respuestas rápidas a tareas administrativas. Una auditoría interna en la Dirección de Tráfico documentó introducciones de información operativa en servicios no autorizados. La respuesta institucional prioriza la reducción del riesgo residual sobre la máxima disponibilidad de modelos.
Lo que revelan los documentos oficiales
Comunicaciones internas de las oficinas del Gobierno, referidas por la radio pública Sveriges Radio, detallan la revisión previa de Copilot y el ajuste de sus parámetros de seguridad. La Autoridad Sueca de Protección de la Privacidad (IMY) ha emitido orientaciones previas sobre el uso de IA generativa en el sector público, exigiendo evaluaciones de impacto cuando se procesan datos personales. El portal del Gobierno (regeringen.se) mantiene políticas de seguridad de la información que subordinan la adopción tecnológica a la existencia de acuerdos formales.
Informes de la Comisión Europea sobre el Reglamento de Inteligencia Artificial subrayan la obligación de los Estados miembros de gestionar riesgos en sistemas de alto impacto. Aunque los chatbots de uso general no siempre caen en la categoría de alto riesgo, su empleo con datos gubernamentales activa salvaguardas adicionales de confidencialidad y transferencia internacional.
Proyección a corto/mediano plazo
En los próximos meses otras administraciones europeas observarán el efecto práctico de la restricción sueca sobre la productividad y la incidencia de incidentes de seguridad. La plataforma interna controlada puede convertirse en modelo para otros países que buscan equilibrar acceso a modelos avanzados con residencia de datos. La presión por contratos marco con proveedores de IA se intensificará en el sector público.
¿Conseguirá la exigencia de acuerdos formales y residencia de datos reducir de manera medible las filtraciones de información sensible, o generará un desplazamiento del uso informal hacia dispositivos personales no controlados? La evolución de los reportes de incidentes en las autoridades de protección de datos durante el primer semestre de 2027 ofrecerá la primera medición clara.
Nuestras redes Sociales