Cómo crear una política interna de uso de IA en tu empresa
Lo normal es que una política de uso de IA en empresas llegue tarde: el equipo ya utiliza ChatGPT, Copilot, Gemini u otras herramientas. Alguien prepara correos, otra persona resume documentos y otra prueba una automatización. No hay mala intención. El problema es que cada cual decide qué puede compartir, qué debe revisar y hasta dónde puede confiar en el resultado.
La política sirve para acabar con esa improvisación. Pone por escrito qué herramientas pueden utilizarse, para qué tareas, con qué información y bajo qué controles. También aclara quién decide cuando aparece un caso nuevo o algo sale mal.
Puede llamarse política interna, protocolo de uso de IA o guía de uso aceptable. El nombre importa menos que una cosa: que el documento refleje cómo trabaja realmente la empresa. Una versión clara de tres o cuatro páginas suele ser más útil que veinte páginas copiadas de una plantilla genérica.
Qué es una política de uso de IA en empresas
En la práctica, es una regla de juego común. Si alguien quiere emplear una herramienta nueva, cargar un documento de un cliente o utilizar una respuesta de IA en una decisión relevante, debería poder consultar la política y saber qué hacer.
El documento tiene que resolver dudas cotidianas. ¿Puedo pegar este contrato en la herramienta? ¿Quién ha aprobado la cuenta gratuita que estoy usando? ¿Tengo que revisar una traducción antes de enviarla? ¿A quién aviso si he compartido información por error?
No hace falta convertir cada duda en un procedimiento. Sí hace falta que queden claros los límites y la persona que puede resolver las excepciones.
Obligación legal, buena práctica y recomendación
Aquí es fácil mezclar conceptos.
El AI Act no obliga, con carácter general, a que todas las empresas tengan un documento llamado “política de IA”. Lo que sí exige su artículo 4 es que proveedores y responsables del despliegue adopten medidas para apoyar el desarrollo de la alfabetización en IA de las personas que utilizan estos sistemas en su nombre.
El Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026, ha modificado este artículo. La obligación se mantiene, pero no se fija un nivel uniforme de conocimientos para todo el mundo. La formación y las medidas adoptadas deben tener en cuenta la experiencia de las personas y el contexto en el que utilizan la IA.
Si se tratan datos personales también entra en juego el RGPD. Licitud, transparencia, minimización, exactitud y confidencialidad no dejan de aplicarse porque el tratamiento se realice con una herramienta de IA.
Hasta aquí, la parte legal. La buena práctica empieza al traducirla a decisiones operativas: conocer los usos reales, aprobar herramientas, definir responsables y documentar incidencias. Lo sensato es preparar una política proporcionada y revisarla cuando cambien los usos. Tener un documento no demuestra por sí solo el cumplimiento, del mismo modo que una política de seguridad no evita una brecha si nadie la aplica.
Empieza por lo que ya está ocurriendo
Antes de redactar normas, pregunta al equipo para qué está utilizando IA. Las respuestas suelen ser más amplias de lo previsto: correos, propuestas, actas, traducciones, selección de currículos, análisis de datos, generación de imágenes o apoyo para programar.
Ese inventario inicial no necesita una aplicación compleja. Basta con registrar:
- la tarea;
- la herramienta y el tipo de cuenta;
- los datos que se introducen;
- el resultado que se obtiene;
- quién lo revisa;
- quién responde por ese uso.
Con esa lista delante es más difícil redactar una política para una empresa imaginaria. También saldrá a la luz la llamada IA en la sombra: herramientas utilizadas con fines profesionales sin conocimiento ni aprobación de la organización.
Puedes utilizar nuestro inventario de usos de IA como punto de partida.
Define normas de uso de IA que se entiendan
Las normas de uso de IA para empleados y colaboradores funcionan mejor cuando se organizan en tres grupos.
Prohibirlo todo puede parecer la opción más segura, pero a menudo solo consigue que el uso continúe a escondidas. Es preferible autorizar unas pocas herramientas, explicar los límites y reservar la aprobación previa para los casos que realmente la necesitan.
Usos habituales
Son tareas de bajo impacto que pueden realizarse con herramientas autorizadas y una revisión normal: preparar un primer borrador, ordenar ideas, resumir documentación no confidencial o reformular un texto.
“Bajo impacto” no significa “sin revisar”. Una fecha, una cifra o una afirmación inventada puede convertir un correo rutinario en un problema.
Usos que necesitan autorización
Aquí deberían entrar los casos que implican datos personales, documentación contractual, comunicaciones externas relevantes, integración con sistemas internos o decisiones que puedan afectar a otras personas.
No todos tendrán el mismo riesgo. La autorización sirve precisamente para decidir qué revisión jurídica, técnica o de seguridad necesita cada uno.
Usos que la empresa no permite
La política puede establecer límites internos más estrictos que las prohibiciones legales. Algunos ejemplos razonables son:
- compartir credenciales o información confidencial en herramientas no aprobadas;
- cargar documentos completos cuando no existe necesidad ni autorización;
- presentar una respuesta de IA como un hecho comprobado;
- automatizar una decisión con efectos relevantes sin evaluación y supervisión;
- crear suplantaciones, contenidos engañosos o materiales que vulneren derechos.
Estas normas internas no deben confundirse con la lista de prácticas legalmente prohibidas por el AI Act. Su finalidad es establecer un nivel de control adaptado a la organización.
No reduzcas la privacidad a “no pongas datos”
La frase “no introduzcas datos personales” es fácil de recordar, pero se queda corta. Hay tareas en las que la empresa puede necesitar tratar datos con una herramienta autorizada. La cuestión es saber para qué, con qué base, qué información resulta necesaria y qué garantías ofrece el proveedor.
Un presupuesto, por ejemplo, puede revelar el nombre del cliente, tus tarifas y parte de tu estrategia. Aunque no contenga datos especialmente sensibles, no es información que deba copiarse sin pensar en cualquier servicio gratuito.
La regla práctica es no compartir información solo porque la herramienta permite hacerlo. Antes de cargar un archivo o copiar un texto, la persona debería comprobar:
- si está utilizando una herramienta autorizada;
- si necesita realmente esos datos;
- si puede trabajar con un fragmento o un ejemplo ficticio;
- si la cuenta y el proveedor han sido aprobados;
- qué ocurre con la información después de enviarla;
- si necesita consultar a privacidad o seguridad.
La AEPD recomienda no compartir con herramientas de IA datos personales ni información delicada y recuerda, en el ámbito laboral, la importancia de respetar las políticas de información y seguridad de la organización.
Contratar un plan empresarial puede mejorar las garantías, pero no convierte automáticamente cualquier tratamiento en adecuado. El proveedor, el contrato, la configuración y el uso concreto siguen importando.
Antes de aprobar una nueva herramienta conviene documentar la revisión del proveedor. Nuestra evaluación de proveedores de IA ofrece una estructura inicial.
Explica qué significa “revisión humana”
Poner “el resultado será revisado por una persona” queda bien sobre el papel, pero no dice mucho. ¿Qué tiene que revisar y con qué criterio?
Una propuesta comercial puede necesitar una comprobación de precios, alcance y compromisos. Un resumen contractual exige verificar cláusulas y omisiones. Un texto dirigido a un cliente debe revisarse también en tono, confidencialidad y coherencia con el servicio.
No hace falta crear una lista distinta para cada tarea, pero sí dar ejemplos. En unos casos habrá que comprobar hechos y referencias; en otros, datos inventados, sesgos, confidencialidad, propiedad intelectual o el posible efecto sobre una persona.
El nivel de revisión debe aumentar cuando el resultado pueda afectar a personas, compromisos contractuales, decisiones económicas, reputación, seguridad o cumplimiento.
Pon nombres a las responsabilidades
No hace falta crear un comité para cada decisión. En una empresa pequeña sería poco realista. Sí debe quedar claro quién aprueba herramientas, quién valida un caso nuevo, quién mantiene el inventario y quién recibe una incidencia.
Una misma persona puede asumir varias funciones. Lo importante es evitar frases impersonales como “se revisará” o “se comunicará”. Si no existe un responsable y un canal, es probable que no ocurra ninguna de las dos cosas.
Prevé qué hacer cuando algo sale mal
Una incidencia no siempre será una filtración grave. Puede ser un documento cargado en la cuenta equivocada, una respuesta falsa que acaba en un informe, un cambio silencioso en las condiciones del proveedor o una automatización que actúa cuando no debía.
El procedimiento puede ser corto: detener el uso cuando sea necesario, conservar evidencias, avisar al responsable, valorar el impacto y dejar constancia de la decisión. El registro de riesgos y decisiones de IA ayuda a mantener esa trazabilidad.
Si puede existir una brecha de datos personales, deberá activarse el procedimiento específico de la organización y analizarse jurídicamente. La política de IA no lo sustituye.
Acompaña la política con formación
Enviar el documento por correo y pedir que se lea no equivale a formar. Una sesión útil debería partir de situaciones que el equipo reconozca: qué errores comete la herramienta, cómo se revisa una respuesta, qué información no debe compartirse y cuándo hay que pedir ayuda.
Conviene conservar una evidencia sencilla de las medidas adoptadas: fecha, asistentes, contenidos y materiales. No para acumular papeles, sino para poder demostrar qué se hizo y detectar qué falta.
La política también necesita una persona responsable y una fecha de revisión. Debe actualizarse cuando aparezca una herramienta relevante, cambien sus condiciones, se incorpore un caso nuevo, ocurra una incidencia o cambie el marco normativo.
Plantilla breve: qué debe incluir una política de uso de IA
No existe una plantilla universal, pero una primera versión puede seguir esta estructura:
- objetivo y alcance;
- herramientas y usos registrados;
- herramientas autorizadas;
- usos permitidos, condicionados y no autorizados;
- datos personales y confidencialidad;
- revisión humana;
- funciones y responsabilidades;
- gestión de incidencias;
- formación;
- revisión y control de versiones.
Añade la fecha de aprobación, la persona responsable y un historial de cambios. Parece un detalle administrativo, pero evita que circulen versiones distintas sin que nadie sepa cuál está vigente.
El objetivo no es frenar el uso de IA
Una buena política de uso de IA reduce incertidumbre. El equipo sabe dónde puede experimentar y en qué momento debe detenerse y preguntar.
No debería ser un documento aislado. Tiene que conectar con el inventario de usos, la evaluación de proveedores, la formación y el registro de riesgos y decisiones. Si esos elementos no cambian cuando cambia la realidad de la empresa, la política acabará convertida en otro PDF olvidado.
Si necesitas convertir estos criterios en un sistema aplicable a tu empresa, conoce nuestro servicio de implantación práctica de IA responsable, realiza el test de IA o cuéntanos tu caso.
La aplicación de las obligaciones debe analizarse atendiendo al sistema, los datos, la finalidad, las personas afectadas y el papel concreto de la organización.