Alguien de tu equipo ha pegado hoy un documento de un cliente en una herramienta de inteligencia artificial. No lo sabes con certeza, pero la probabilidad es alta. Y si mañana ese cliente te pregunta qué información suya ha salido de la empresa, ahora mismo no puedes contestar.
Una política de uso de IA es lo que convierte ese «no lo sé» en una respuesta. Este artículo explica qué tiene que incluir, quién la firma y cómo se implanta para que no acabe siendo un PDF que nadie abre.
Por qué tu empresa necesita una política de uso de IA
Hay tres razones y ninguna es el miedo a una sanción.
La primera es de confidencialidad. Cuando un empleado introduce información de un cliente en una herramienta de terceros, se está produciendo una cesión de datos a un tercero. Si esa herramienta no tiene contrato de encargo de tratamiento, esa cesión no está cubierta. Y si has firmado cláusulas de confidencialidad con ese cliente, probablemente las estés incumpliendo sin saberlo.
La segunda es de control. No puedes gestionar lo que no conoces. Sin política, cada persona decide por su cuenta qué herramienta usa y qué le mete dentro, y la organización pierde toda visibilidad sobre su propia información.
La tercera es comercial, y cada vez pesa más. Las empresas medianas y grandes están empezando a pedir a sus proveedores y asesores externos su política de uso de IA antes de renovar contratos. Si no la tienes, quedas fuera de procesos a los que antes accedías sin problema.
Qué debe incluir una política de uso de IA, cláusula por cláusula
Una política de uso de IA útil ocupa entre seis y diez páginas. Menos de eso suele ser una declaración de intenciones; más, un documento que nadie lee. Estas son las cláusulas que no pueden faltar.
Ámbito y personas obligadas. A quién aplica: socios, empleados, becarios, colaboradores externos, proveedores con acceso a sistemas. Los colaboradores externos son el olvido más frecuente y el agujero más grande.
Herramientas autorizadas. Una lista con nombre y versión. Sobre este punto vuelvo en el apartado siguiente porque es la decisión estructural del documento.
Usos permitidos y prohibidos, por tarea. No basta con «usar la IA con responsabilidad». Hay que bajar a tareas concretas: redactar borradores sí, resumir documentación interna sí, tomar decisiones sobre personas no, generar contenido que salga con la firma de la empresa solo con revisión previa.
Clasificación de la información. Qué categorías de datos pueden introducirse en un modelo externo, cuáles solo de forma anonimizada y cuáles no salen nunca. En un despacho, un expediente completo no sale; en una asesoría, unas nóminas tampoco.
Revisión humana obligatoria. Ningún resultado generado por IA sale de la organización sin que una persona lo haya revisado y asumido. Esta cláusula es la que protege frente al error del modelo.
Prohibición de cuentas personales. Trabajo de la empresa, cuentas de la empresa. Las cuentas personales gratuitas suelen ser las que entrenan con lo que les metes, y además desaparecen contigo el día que te vas.
Procedimiento de alta de herramientas nuevas. Qué hace alguien que quiere usar algo que no está en la lista: a quién se lo pide, qué se comprueba y en cuánto tiempo se le responde. Sin plazo de respuesta, la gente se salta el procedimiento.
Responsable interno. Una persona con nombre, no un departamento.
Consecuencias del incumplimiento. Remisión al régimen disciplinario, graduada por gravedad.
Vigencia, fecha y revisión. Cuándo se aprobó, desde cuándo rige y cuándo se revisa.
Lista abierta o lista cerrada de herramientas de IA
Aquí hay dos modelos posibles y la elección determina si tu política sirve o no.
Lista abierta: se enumeran las herramientas prohibidas y se permite el resto. Es cómoda, se acepta sin fricción y no protege de nada, porque cada semana aparecen herramientas nuevas que no están en tu lista de prohibidas.
Lista cerrada: se enumeran las autorizadas y todo lo demás requiere aprobación previa. Genera más fricción al principio y es la única que funciona.
La lista cerrada solo se sostiene si el procedimiento de alta es rápido. Si pedir una herramienta nueva tarda tres semanas, tu equipo la usará igualmente sin pedirla, y habrás conseguido lo peor de los dos mundos: incumplimiento con documento firmado.
Quién firma la política de uso de IA
La política se firma en dos niveles y los dos son necesarios.
La dirección la aprueba. Sin respaldo explícito de arriba, la política es una sugerencia del departamento que la haya redactado y se ignora en cuanto genera incomodidad.
Cada persona firma un acuse de recibo individual, con fecha. Este es el punto que más se descuida y el que más valor tiene. Colgar el documento en la intranet no acredita nada: no puedes demostrar que una persona concreta lo conocía. Un acuse firmado, sí.
Y hay que repetir el acuse con cada incorporación. Una política firmada por la plantilla de hace dos años no cubre a quien entró el mes pasado.
Cómo implantar la política para que se cumpla
El error clásico es tratar esto como un proyecto documental. Redactas, firmas, archivas, y a los tres meses nadie recuerda qué decía.
Lo que funciona es al revés: empezar por el inventario. Antes de escribir una línea hay que saber qué se está usando de verdad, quién lo usa y con qué información. Ese inventario casi siempre trae sorpresas, y es lo que hace que la política se escriba sobre la realidad y no sobre una idea de la realidad.
Después, la parte que se consulta a diario no es el documento largo. Es la tabla de qué información puede salir y cuál no. La política se lee una vez; esa tabla se mira cada semana. Si solo tienes tiempo de hacer bien una cosa, haz bien esa.
Cada cuánto se actualiza la política de IA
Revisión ordinaria anual, pero lo importante son los disparadores: entra una herramienta nueva, un proveedor cambia sus condiciones de tratamiento, cambia la normativa, o se detecta un incidente. Cualquiera de los cuatro abre una revisión.
Una política sin fecha de revisión y sin procedimiento de alta caduca en meses y se convierte en un documento que perjudica: acredita que sabías lo que había que hacer y que dejaste de hacerlo.
Por qué fallan las plantillas de política de uso de IA
Hay plantillas circulando y algunas están bien redactadas. El problema no es la redacción, es que no conocen tu caso.
Una plantilla genérica prohíbe cosas que tu equipo hace todos los días —con lo que la política nace incumplida— y autoriza otras que en tu sector no deberían hacerse. Y sobre todo, no contiene la parte que realmente aporta valor: qué herramientas concretas están autorizadas en tu organización y qué categorías de tu información pueden salir.
Esa parte no se puede rellenar sin mirar. Es exactamente el trabajo.
Errores típicos al implantar una política de IA
Redactarla sin inventario previo. Sale un documento teórico que no refleja lo que pasa en la empresa.
Prohibir todo. La política que prohíbe la IA en general no se cumple: se cumple a escondidas, que es la peor situación posible porque además pierdes la visibilidad.
No designar responsable. Sin una persona a quien preguntar, cada duda se resuelve por criterio individual.
Olvidar a los colaboradores externos. El procurador, el asesor fiscal externo, la agencia que te lleva el marketing. Todos tocan información y ninguno suele estar en el ámbito de aplicación.
No revisar a los proveedores. De poco sirve autorizar una herramienta si nadie ha comprobado si hay encargo de tratamiento, dónde se alojan los datos y si se usan para entrenar el modelo.
Una política de uso de IA no va de restringir la tecnología. Va de que la organización sepa qué está usando y pueda demostrarlo el día que alguien pregunte, que es cada vez más pronto.
El documento en sí es la parte fácil. Lo que cuesta —y lo que lo hace útil— es el trabajo previo: saber qué hay, decidir qué información puede salir y comprobar quién la trata al otro lado.
Preguntas frecuentes
Es el documento interno que establece qué herramientas de inteligencia artificial puede utilizar el personal de una organización, para qué tareas, con qué información y bajo qué condiciones. Fija también quién autoriza el alta de herramientas nuevas y qué ocurre si alguien se salta las reglas. Es a la IA lo que la política de uso de dispositivos o la de teletrabajo son a sus respectivos ámbitos.
Ninguna norma exige un documento con ese nombre. Lo que sí existe son obligaciones que la política permite cumplir y acreditar: el deber de alfabetización del artículo 4 del AI Act, el control de las cesiones de datos que impone el RGPD, y el deber de confidencialidad frente a tus clientes. Sin política, cumples de palabra. Con política firmada, puedes demostrarlo.
Como mínimo: ámbito de aplicación y a quién obliga, lista de herramientas autorizadas, usos permitidos y prohibidos, clasificación de la información según lo que puede introducirse en un modelo externo, obligación de revisión humana de los resultados, prohibición de cuentas personales para trabajo de la empresa, procedimiento de alta de herramientas nuevas, responsable interno, consecuencias del incumplimiento y fecha de revisión.
La dirección, que es quien la aprueba, y cada persona con acceso a herramientas de IA, mediante un acuse de recibo individual con fecha. Sin ese acuse individual el documento pierde la mayor parte de su valor probatorio: no puedes acreditar que una persona concreta conocía las reglas.
Sirve para entender la estructura, no para implantarla. Una plantilla genérica prohíbe cosas que tu equipo hace a diario y autoriza otras que en tu sector no deberían hacerse, porque no conoce tus herramientas ni el tipo de información que manejas. El resultado habitual es un documento que nadie cumple, y una política incumplida es peor que no tenerla.
Una revisión ordinaria al año es razonable, pero lo determinante son los disparadores extraordinarios: cuando entra una herramienta nueva, cuando un proveedor cambia sus condiciones de tratamiento de datos, cuando cambia la normativa aplicable o cuando se detecta un incidente. Sin un procedimiento de alta, la política queda obsoleta en meses.
No. Son documentos distintos con funciones distintas. El registro de actividades documenta los tratamientos de datos personales conforme al RGPD. La política de uso de IA regula qué herramientas se emplean y con qué información. Se apoyan mutuamente, pero ninguno sustituye al otro.
Depende de lo que la política prevea, y por eso hay que preverlo. Un documento que no establece consecuencias es una recomendación, no una norma. Lo habitual es remitir al régimen disciplinario existente y graduar según la gravedad: no es lo mismo usar una herramienta no autorizada para traducir un texto público que subir el expediente de un cliente a un servicio gratuito.
¿Tu equipo sabe qué puede y qué no puede meter en una IA?
Redactamos la política sobre las herramientas que ya estáis usando, con la matriz de qué información puede salir y la revisión de vuestros proveedores. En el diagnóstico revisamos tu caso sin compromiso.
Más sobre el servicio: gobernanza de IA y política de uso para despachos.
Guías relacionadas