IA en el sector público sueco: municipios, IMY y secreto oficial

En Suecia, los municipios suelen ir por delante en lo digital. Muchos prueban ya la IA generativa para redactar cartas, resumir expedientes o responder antes a los vecinos. El ahorro de tiempo es real, sobre todo en servicios sociales, educación y urbanismo, donde el personal pasa gran parte del día escribiendo.

Pero un municipio sueco no funciona como una empresa. Está sujeto al principio de acceso público a los documentos oficiales y a una ley de secreto muy estricta. Pegar el expediente de un vecino en un asistente de IA plantea preguntas que una empresa privada nunca tiene que hacerse.

Un sector público que quiere usar la IA

Suecia tiene 290 municipios y 21 regiones, que prestan la mayoría de los servicios cotidianos: servicios sociales, escuelas, atención a mayores y, en el caso de las regiones, sanidad. El Gobierno impulsa la adopción de la IA. En julio de 2024 encargó a la Agencia de Administración Digital (Digg) y a la Autoridad de Protección de la Privacidad (IMY) unas directrices nacionales sobre IA generativa en la administración.

Las directrices se presentaron en enero de 2025. Cubren seis ámbitos: gobierno y responsabilidad, ciberseguridad, RGPD, ética, derecho laboral y contratación pública. Se irán actualizando a medida que evolucionen las herramientas.

IMY, el regulador que hay que conocer

La Integritetsskyddsmyndigheten (IMY), llamada Datainspektionen hasta 2021, supervisa el RGPD y la ley sueca complementaria de protección de datos (lag 2018:218). Su mensaje sobre la IA es claro: IA y privacidad pueden convivir si las cuestiones de datos se abordan desde el inicio del proyecto.

La autoridad también ha demostrado que sanciona a organismos públicos. En 2019, todavía como Datainspektionen, multó con 200 000 coronas a la junta escolar de Skellefteå por una prueba de reconocimiento facial para controlar la asistencia de los alumnos. Fue la primera multa del RGPD en Suecia. En 2021, IMY sancionó a la policía nacional por usar Clearview AI. Ninguno de los casos trataba de IA generativa, pero ambos muestran que una simple prueba no queda fuera de las normas.

Offentlighetsprincipen: lo que escribe puede hacerse público

El principio de acceso a los documentos oficiales, la offentlighetsprincipen, está recogido en la ley fundamental sobre libertad de prensa. Cualquier ciudadano puede pedir ver los documentos que tiene una autoridad, salvo que se aplique una norma de secreto.

Con la IA generativa surgen preguntas prácticas. ¿Puede un prompt enviado por un funcionario, o una respuesta guardada en un expediente, convertirse en documento oficial? ¿Hay que registrarlo y archivarlo? Depende de cómo se use la herramienta y de lo que se conserve. Cada autoridad debe analizarlo, mejor antes del despliegue.

OSL: el secreto no se detiene a la puerta del chatbot

El otro pilar es la ley de publicidad y secreto, la offentlighets- och sekretesslagen (OSL, 2009:400). Protege, entre otras, la información de servicios sociales, sanidad y escuelas. Entregar información secreta a un tercero sin base legal puede suponer una revelación ilícita.

Desde el 1 de julio de 2023, una nueva norma (capítulo 10, artículo 2 a) permite entregar información protegida a un proveedor que solo la trata o almacena técnicamente por cuenta de la autoridad, salvo que resulte inapropiado según las circunstancias. Está pensada para la externalización informática con contrato. Cuesta ver cómo podría cubrir a un funcionario que pega un expediente en un asistente de IA de consumo abierto con su cuenta personal.

Los riesgos concretos en un municipio

Las situaciones que hay que vigilar suelen ser corrientes:

• un trabajador social que pide a un chatbot reformular un informe sobre una familia;

• un técnico de urbanismo que resume un recurso con nombres y direcciones;

• una enfermera escolar que redacta una carta a partir de un historial de salud;

• un equipo de RR. HH. que analiza candidaturas con números de identidad personal.

En todos los casos, el problema no es la IA, sino el dato que sale. Explicamos este mecanismo en nuestra anatomía de una fuga de datos por IA.

Usar la IA sin exponer a los vecinos

Prohibir la IA sin más no resuelve nada: quien ahorra tiempo con ella encontrará otro camino, a menudo menos seguro. Además, un municipio pequeño rara vez tiene un equipo capaz de revisar cada uso. Es mejor ofrecer una herramienta aprobada, escribir una norma breve sobre los datos que nunca deben salir y añadir una salvaguarda técnica que actúe en el momento del envío, que es cuando se produce el error.

Una DLP para IA como ZeusLock actúa en el momento en que el funcionario envía su texto. Instalada en el equipo o en el navegador, detecta datos sensibles como identificadores, nombres o información de salud y los sustituye por valores ficticios mediante la anonimización que preserva el formato, avisa al funcionario o bloquea el envío. Cada incidente queda registrado, lo que ayuda al municipio a documentar sus medidas de seguridad.

Este control completa las decisiones de fondo: preferir soluciones alojadas en la UE, como explicamos en nuestro artículo sobre la IA soberana para el CISO europeo, e integrar la IA en la gestión de riesgos cibernéticos que exige NIS2.

En resumen

Los municipios suecos tienen buenas razones para usar la IA generativa y directrices nacionales que los ayudan. Pero la offentlighetsprincipen, la OSL y el RGPD supervisado por IMY exigen un cuidado especial con los datos de los vecinos. Filtrar lo que entra en los prompts permite aprovechar la IA sin romper la confianza ciudadana.

¿Trabaja en un municipio o una región de Suecia? Solicite una demo de ZeusLock para encuadrar el uso de la IA por parte de su personal.