Utilidades IAPolítica de uso de IA en la empresa: cómo redactarla
Por qué conviene tener una política
Aunque la empresa no lo haya decidido, es probable que parte de la plantilla ya use herramientas de IA por su cuenta. Sin reglas, cada persona decide qué comparte y qué da por bueno, y eso genera riesgos de confidencialidad, errores y decisiones poco homogéneas.
Una política escrita tiene tres ventajas: marca un criterio común, facilita la formación y deja constancia de que la organización se toma el asunto en serio. No hace falta un documento de cuarenta páginas. Una o dos hojas, claras y revisables, funcionan mejor que un texto extenso que nadie lee.
Qué usos se permiten y cuáles no
Empieza por clasificar las tareas. Una estructura sencilla es dividirlas en tres grupos:
| Categoría | Ejemplos |
|---|---|
| Permitidos | Borradores, resúmenes de textos públicos, lluvia de ideas, corrección de estilo |
| Con autorización previa | Análisis de datos internos, atención al cliente, selección de personal |
| Prohibidos | Introducir datos confidenciales o personales en herramientas no aprobadas |
Indica además cuáles son las herramientas aprobadas y a quién se pide permiso para incorporar otras. Para esa decisión puede servirte nuestra guía sobre cómo evaluar una herramienta antes de adoptarla.
Revisa esta clasificación con cada departamento, porque lo que es inocuo en marketing puede ser delicado en recursos humanos o en finanzas.
Datos que no deben introducirse
Es el apartado más importante. La AEPD recomienda no compartir con herramientas de IA datos personales ni información sensible, y seguir las políticas de seguridad del empleador. Tu política puede traducirlo en una lista concreta:
- Datos de clientes, empleados y proveedores que permitan identificarlos.
- Información de salud, financiera o de recursos humanos.
- Contratos, presupuestos y documentos marcados como confidenciales.
- Claves, contraseñas y código propietario.
Añade qué hacer cuando alguien tenga dudas o cometa un error: a quién avisar y con qué rapidez. Una política que permita comunicar un fallo sin miedo a la sanción detecta antes los problemas.
Revisión humana y responsabilidad
Un principio básico: la responsabilidad del resultado sigue siendo de la persona o del equipo que lo usa. La herramienta puede equivocarse o inventar datos, por lo que todo contenido relevante debe revisarse antes de salir de la empresa.
- Define qué tareas exigen revisión por una segunda persona.
- Pide verificar cifras, citas y referencias frente a fuentes originales.
- Establece que las decisiones que afecten a personas no se delegan en la herramienta.
- Indica cuándo debe informarse al cliente o al destinatario de que se ha usado IA.
Con esto evitas el error más común: tratar una respuesta fluida como si fuera una respuesta verificada.
Formación y alfabetización en IA
El artículo 4 del Reglamento (UE) 2024/1689 obliga a los proveedores y a los responsables del despliegue, es decir, a las empresas y organismos que usan IA y no al ciudadano particular, a adoptar medidas de alfabetización en IA de su personal. Se aplica desde el 2 de febrero de 2025.
Según análisis jurídicos, la modificación posterior del Reglamento lo suaviza: en lugar de garantizar un nivel suficiente, bastaría con adoptar medidas que fomenten esa alfabetización. Conviene contrastarlo con el texto oficial.
En la práctica, incluye en tu política una formación básica: cómo funcionan estas herramientas, sus límites, riesgos de privacidad y cómo verificar resultados. Guarda constancia de lo que hagas.
Mantener la política viva
Las herramientas y las normas cambian con rapidez. El Reglamento europeo se aplica de forma escalonada y ha sido modificado, y España tramita además una ley propia. Por eso la política debe tener fecha, responsable y calendario de revisión.
- Nombra a una persona o un pequeño comité que mantenga el documento.
- Revísalo al menos una vez al año o ante cambios relevantes.
- Mantén un registro sencillo de las herramientas aprobadas y sus usos.
- Recoge la opinión de quienes las usan a diario.
Este texto es orientativo y no es asesoramiento legal: para adaptar la política a tu sector y a tus obligaciones concretas, consulta a un profesional.
Estructura sugerida del documento
Si prefieres partir de un esqueleto, esta estructura cubre lo esencial en pocas páginas y puede adaptarse a cualquier tamaño de organización.
- Objetivo y alcance: a quién se dirige y qué herramientas abarca.
- Usos permitidos, condicionados y prohibidos.
- Datos que no se introducen y qué hacer ante un error.
- Revisión humana y reparto de responsabilidades.
- Formación y medidas de alfabetización en IA.
- Herramientas aprobadas y proceso para solicitar otras.
- Contacto, fecha y calendario de revisión.
Redáctala con frases cortas y ejemplos reales de la empresa; así será más fácil que se cumpla y se entienda.
Preguntas frecuentes
¿Mi empresa está obligada a formar a su personal en IA?
El artículo 4 del Reglamento europeo exige a quienes usan IA en su actividad medidas de alfabetización en IA de su personal. El alcance exacto conviene contrastarlo con el texto oficial o con un profesional.
¿Cuánto debe ocupar una política de uso de IA?
Una o dos páginas suelen bastar: usos permitidos, datos prohibidos, revisión humana, herramientas aprobadas, formación y a quién consultar. Lo importante es que sea clara, esté fechada y se revise periódicamente.
¿Qué hago si alguien introduce datos de clientes por error?
Define en la política un canal de aviso rápido y sin represalias. Se debe informar al responsable de protección de datos o a quien designe la empresa para valorar el alcance y los pasos siguientes.
Guías relacionadas
- Privacidad y datos personales al usar IA: guía práctica: Qué datos no conviene compartir con una herramienta de IA, cómo anonimizar un texto y qué revisar en su política de privacidad antes de empezar a usarla.
- Cómo evaluar una herramienta de IA antes de adoptarla: Checklist práctico para valorar una herramienta de IA: utilidad real, calidad, privacidad, costes, dependencia del proveedor y plan de salida.
- Seguridad en IA y prompt injection: Qué riesgos aparecen al conectar la IA con tus datos y herramientas, cómo funciona la inyección de instrucciones y qué buenas prácticas reducen el daño.
- El Reglamento europeo de IA explicado para no juristas: Enfoque por riesgo, calendario de aplicación, transparencia, prácticas prohibidas y a quién afecta el Reglamento (UE) 2024/1689, explicado en claro.