La inteligencia artificial avanza en el Estado entre reglas pendientes y uso en “la sombra”

Mientras gobiernos de todo el mundo discuten estrategias, principios éticos y marcos regulatorios, la fuerza laboral avanza más rápido que cualquier decreto. Avanza por conveniencia. La IA funciona, ahorra tiempo y resuelve problemas inmediatos. El problema es que lo hace, muchas veces, sin supervisión, sin controles y sin que nadie sepa exactamente qué datos se están usando ni dónde terminan.

Agesic.jpg

Cuando la digitalización va más rápido que las reglas

La digitalización del Estado es una política consolidada en Uruguay. En los últimos años, la Agencia de Gobierno Electrónico y Sociedad de la Información y del Conocimiento (Agesic) ha impulsado la modernización de trámites y el acceso de la ciudadanía a servicios digitales.

Pero digitalizar no es simplemente incorporar tecnología. También implica entenderla y gobernarla. Y allí aparece el problema.

Alimentar modelos de lenguaje con datos de ciudadanos implica riesgos. Entre ellos, ceder soberanía tecnológica, exponer información personal, reproducir sesgos raciales o de género en decisiones automatizadas y delegar procesos críticos en sistemas que nadie termina de entender cómo funcionan. Cuando ese uso ocurre sin supervisión, el peligro se multiplica.

El concepto de shadow IT (el uso de software o servicios sin aprobación del área tecnológica) existe desde hace años. Pero la shadow AI agrega una capa inédita. Estas herramientas no solo almacenan información, sino que la procesan, la transforman y, en algunos casos, toman decisiones de forma autónoma.

Especialistas en ciberseguridad advierten que el uso no autorizado de herramientas de IA puede exponer información sensible. Al ingresar datos en plataformas abiertas, las organizaciones pierden control sobre cómo esa información es procesada, almacenada o reutilizada, y existe el riesgo de que termine alojada en servidores externos, fuera del alcance de los mecanismos institucionales de protección.

La popularización de chatbots, asistentes de programación y generadores de texto aceleró el fenómeno. Muchas de estas herramientas están disponibles como extensiones de navegador, funciones activadas por defecto en software corporativo o aplicaciones gratuitas accesibles desde dispositivos personales.

Uruguay bajo la lupa

Para entender cómo enfrenta el Estado uruguayo este fenómeno, Búsqueda realizó durante meses pedidos de acceso a la información pública a ministerios, entes autónomos, empresas públicas, el Poder Judicial, organismos de control y gobiernos departamentales. Las preguntas fueron siempre las mismas: normas, protocolos, formación, controles, incidentes.

Las respuestas permiten entender mejor el estado de situación.

Ministerio-Trabajo

Cuando no hay nada

Varios organismos del Estado respondieron directamente que no cuentan con normas, protocolos ni formación específica para regular el uso de inteligencia artificial generativa por parte de sus funcionarios.

El Ministerio de Ganadería, Agricultura y Pesca (MGAP) fue directo: “No existen normativas, protocolos o disposiciones internas emitidas por MGAP para regular el uso de inteligencia artificial generativa por parte de los funcionarios del organismo”. Tampoco hay, según indicó, directrices para evitar la divulgación de información reservada ni “procedimientos ni herramientas para garantizar la transparencia, trazabilidad y calidad de sistemas de inteligencia artificial empleados”.

El Ministerio de Vivienda y Ordenamiento Territorial reconoció una falta de reglas todavía más evidente. “Cada unidad o funcionario que utilice este tipo de herramientas lo hace sin un marco de referencia formal”, señaló, y agregó que “no existe una limitante o restricción en cuanto al alcance permitido para su uso, qué tipo de información puede o no compartirse, ni procedimientos de validación de los resultados obtenidos”. En consecuencia, reconoció el propio organismo, el uso de IA “carece, en la actualidad, de un marco normativo formal tanto a nivel interno como externo”.

En términos similares se expresaron los ministerios de Trabajo, Transporte, Desarrollo Social y Ambiente, que reconocieron no contar con normas, protocolos ni documentación específica sobre el uso de IA generativa.

ChatGPT

Entre el no uso y las generalidades

En el bloque institucional vinculado a la administración de justicia, salud y la Presidencia, el patrón se repite: ausencia de uso o de reglas específicas. La Corte Electoral fue categórica al señalar que “no aplica la inteligencia artificial” en sus procedimientos administrativos y electorales, aunque dejó abierta la posibilidad de adaptarse a futuras definiciones legislativas o del Poder Ejecutivo.

En el Poder Judicial, desde la División Tecnología se informó que “actualmente en los sistemas en producción no se utiliza IA”, más allá de una herramienta de transcripción en fase de pruebas que “no usa IA generativa”. La Asesoría Jurídica confirmó, además, que no existen “normativas internas o protocolos específicos” sobre su uso.

La Administración de Servicios de Salud del Estado (ASSE), por su parte, indicó que tampoco cuenta con “normativas, protocolos o directrices internas” y que se rige por los marcos generales de protección de datos.

La Presidencia de la República adoptó una postura distinta, pero igualmente general. Afirmó a Búsqueda que su actuación se basa en los “documentos elaborados por Agesic” y en la “Estrategia Nacional de Inteligencia Artificial 2024–2030”, y que el organismo rector es el encargado de “confeccionar guías e impartir cursos”. Sin embargo, ante consultas sobre reglas concretas para el uso diario de IA generativa, volvió a remitirse a ese marco general, sin detallar criterios operativos específicos.

Normas en borrador

Otros organismos admiten que la IA está en agenda, pero aún sin definiciones concretas.

Ancap señaló que trabaja en “un marco homologado, escalable y seguro para soluciones de inteligencia artificial”, alineado con las recomendaciones de Agesic, y destacó instancias de capacitación para equipos directivos, incluyendo cursos como “IA para todos” en la plataforma Coursera. Sin embargo, reconoció que la normativa específica para regular su uso interno “aún se encuentra en proceso de aprobación”.

El Banco Central del Uruguay atraviesa una etapa similar. Informó que trabaja en documentos, como “Principios de inteligencia artificial”, “Proceso de despliegue de modelos de IA”, y en criterios internos para el eventual uso de asistentes basados en grandes modelos de lenguaje (LLM). Mientras esos lineamientos se definen, el organismo aplica la normativa general de protección de datos y seguridad de la información, y aseguró que hasta ahora “no se han presentado incidentes relacionados con estos temas”.

Ministerio-Interior

La información que no se puede ver

Varios organismos del Estado optaron por clasificar como reservada, por el plazo máximo legal de 15 años, la información vinculada al uso de IA generativa. No es una falta de respuestas ni un problema administrativo, sino una decisión basada en “riesgos” para la seguridad pública, y para sectores considerados “supremos” del Estado.

El caso más contundente es el del Ministerio del Interior, que declaró reservada hasta 2040 toda la información vinculada al uso de esta tecnología. Según la resolución, divulgar esos datos “podría vulnerar la seguridad pública” y afectar “el accionar y los archivos policiales”. La medida no distingue herramientas ni proyectos: el uso de IA generativa, en su conjunto, queda bajo confidencialidad prolongada.

Una lógica similar adoptaron el Ministerio de Relaciones Exteriores y UTE.

En Cancillería, la reserva alcanza a normativas, auditorías, mecanismos de seguridad y convenios tecnológicos vinculados a IA, por el “riesgo claro y específico” que su divulgación implicaría para el interés público y la seguridad nacional. Defensa, por su parte, declaró reservada toda la información sobre planes y proyectos de naturaleza militar que involucren IA, al considerar que su difusión podría comprometer “los intereses supremos de la República”.

UTE clasificó como confidencial la información sobre acuerdos con proveedores de IA, servicios en la nube, auditorías y protocolos internos, al advertir que su difusión podría “exponer información sensible” o “facilitar eventuales ataques a la seguridad de la información”. Aunque la empresa reconoce haber creado un “equipo de gobernanza en IA” y trabajar en “políticas de uso responsable”, esos lineamientos no son públicos.

Secreto fiscal y bancario

La Dirección General Impositiva argumentó que “los datos solicitados refieren a aspectos directamente asociados a sus sistemas de información, procedimientos internos y tratamiento de información tributaria, cuyo acceso público podría comprometer ‘la seguridad de los sistemas’ y vulnerar el deber de protección del secreto fiscal”.

El Banco Hipotecario del Uruguay adoptó un enfoque distinto, pero con un resultado similar. Sostuvo que toda la información vinculada a “seguridad, infraestructura tecnológica, gestión de riesgos, auditorías, incidentes y capacitación del personal” es reservada, en función de su “condición de institución financiera regulada” y del secreto bancario. En los hechos, el banco no brinda detalles sobre cómo gestiona el uso de IA, y solo hizo pública su Política de Seguridad de la Información, basada en los principios de “confidencialidad, integridad y disponibilidad”.

Intendencia de la ciudad de Canelones. Foto: Javier Calvelo / adhocFotos

Intendencias: un espejo del problema

A nivel departamental, la situación es similar a la del resto del país. La Intendencia de Montevideo reconoció que “no existen políticas o protocolos específicos que refieran al uso de inteligencia artificial”. Florida y Maldonado indicaron que no utilizan IA generativa y que no cuentan con normas particulares.

Canelones aparece como una excepción relativa. Aunque no tiene normativa formal, elaboró un documento de “Buenas prácticas para el trabajo con IA” que advierte sobre riesgos de filtración de datos, resultados sesgados y pérdida de control sobre la información. “La seguridad de la información es responsabilidad de todos”, subraya el texto.