El problema puede empezar de una forma bastante simple. Un empleado municipal tiene delante un largo expediente. Menudo ladrillo. Pereza. Abre ChatGPT o Claude, sube el documento y pide un resumen. Tan solo quiere ser más eficiente y está intentando ahorrar tiempo. Ni siquiera tiene la sensación de estar compartiendo información fuera del Ayuntamiento.
Si metiese el expediente en un sobre y lo enviase por mensajero a California sería pasarse. Pero solo ha pegado un archivo en una ventanita.
Hace un año y medio hice un símil parecido con un camarero y unos chupitos:
Vuelvo tras este cameo y os cuento el caso de Eindhoven, que muestra hasta qué punto un gesto así puede acabar convirtiéndose en un problema serio.
A finales de 2025, el Ayuntamiento de esta ciudad neerlandesa descubrió que empleados municipales habían enviado archivos de trabajo a servicios públicos de inteligencia artificial. Algunos contenían información personal de vecinos, trabajadores y candidatos a puestos de trabajo.
La revisión municipal detectó que, en apenas treinta días, 2.368 archivos habían terminado en dominios públicos relacionados con inteligencia artificial. En una muestra analizada con más detalle aparecieron expedientes de atención a menores, información sobre salud física y mental, números de identificación, fotografías, diagnósticos, adicciones, deudas, problemas laborales y de vivienda, evaluaciones internas y currículos.
No parece precisamente el típico caso de pedir ayuda para mejorar el orden del día de una reunión.
Otro dato preocupante: ni siquiera sabemos cuánto se compartió realmente. El sistema solo conservaba treinta días de actividad y no permitía reconstruir la información que alguien hubiera podido copiar y pegar directamente en el chatbot.
El Ayuntamiento consideró el incidente una vulneración de la confidencialidad, lo comunicó a la autoridad de protección de datos y tomó una decisión bastante sencilla: bloqueó determinados servicios de IA y restringió el trabajo a herramientas autorizadas.
Carta del Ayuntamiento al consejo municipal sobre la brecha.
Conviene aclarar algo. No hubo un ataque informático ni hay constancia de que otros usuarios de ChatGPT accedieran a esos expedientes. Tampoco puede afirmarse que cualquier documento enviado a una IA se utilice automáticamente para entrenar modelos.
El problema era mucho más cotidiano: información que debía permanecer bajo control municipal había terminado en plataformas externas sin garantías suficientes sobre su tratamiento.
Este tipo de prácticas tiene ya un nombre: Shadow AI, o IA en la sombra. Es el uso de herramientas de inteligencia artificial para trabajar al margen de las herramientas, reglas y controles establecidos por la organización.
¿Y en un servicio municipal de deportes?
Un servicio de deportes quizá no maneje expedientes sociales como los de Eindhoven, pero acumula una cantidad considerable de información sobre personas: inscripciones, edades, teléfonos, cuentas bancarias, partes de accidentes, certificados, solicitudes de bonificación, datos de menores, información facilitada por clubes, encuestas o registros de acceso a instalaciones. Y buena parte acaba viviendo en un Excel.
Imaginemos ahora algo perfectamente normal. Queremos saber por qué ha bajado la participación en los cursos de natación y pedimos a una IA que analice el fichero de inscripciones. La herramienta puede hacerlo muy bien. El problema empieza si le enviamos el Excel entero cuando para responder a la pregunta solo necesitaba edad por tramos, instalación, actividad y asistencia.
Ese es uno de los aprendizajes más útiles de Eindhoven: la IA no necesita saber todo lo que nosotros sabemos.
Nos encontramos con esta cuestión cuando trabajamos, por ejemplo, en Planes Estratégicos o Planes de Equipamientos. Para entender cómo se utilizan las instalaciones analizamos datos de usos y abonos. Pero no necesitamos saber que una persona concreta ha entrado tres veces esa semana en un polideportivo. Nos interesan los patrones: qué instalaciones concentran más uso, en qué franjas horarias, qué perfiles utilizan cada servicio, cómo se distribuye la demanda o dónde aparecen desequilibrios.
Ese cambio de perspectiva es importante. Si la pregunta es colectiva, muchas veces los datos también pueden tratarse de forma colectiva. Para planificar políticas o equipamientos necesitamos conocer comportamientos y tendencias, no reconstruir la agenda deportiva de cada vecino. Y además suele ser mejor análisis: menos columnas irrelevantes, menos ruido y menos información personal circulando por donde no hace ninguna falta.
Por eso la gestión de la IA en un servicio deportivo municipal debería empezar por preguntas mucho más terrenales que qué modelo utilizar. ¿Qué información tenemos? ¿Cuál necesitamos realmente para cada tarea? ¿Qué herramientas están autorizadas? ¿Qué datos pueden salir de nuestros sistemas y cuáles no?
No hace falta que cada técnico se convierta en especialista en protección de datos. Hace falta que pueda distinguir situaciones habituales. Analizar una encuesta anónima, resumir un reglamento público o preparar ideas para una campaña no es lo mismo que subir el listado de abonados, el parte de un accidente o la documentación de un menor.
La lección de Eindhoven, llevada a un servicio municipal de deportes, es bastante sencilla: antes de preguntarnos qué puede hacer la IA con nuestros datos, conviene decidir qué datos necesita realmente conocer.
Nos ahorraremos problemas. Y muchas veces obtendremos el mismo resultado, o incluso uno mejor, con un modesto Excel.
PUBLICIDAD: Si te interesan estos temas para tu organización, puedes ver cómo los abordamos AQUÍ.
