Política de uso de IA: una página que la gente lee

Una política de uso de IA en la empresa sirve para una cosa muy concreta: que cualquiera, un martes a las once, sepa si puede pegar ese documento en una herramienta de IA o no. Si para responder a esa pregunta hay que abrir un PDF de catorce páginas, la política no existe. Lo que existe es un documento que alguien firmó para quedarse tranquilo mientras el equipo sigue haciendo lo que le parece.

Esto no es teoría. En la mayoría de empresas medianas la IA ya entró por la puerta de atrás: alguien de marketing redacta con un asistente, alguien de administración le pide que resuma un contrato, alguien de soporte traduce la respuesta a un cliente. Nadie lo ha prohibido y nadie lo ha autorizado. La política llega tarde casi siempre; el objetivo es que llegue útil.

Esta guía es para dirección, responsables de sistemas y de cumplimiento que quieren una política corta, aplicable y defendible ante una auditoría o ante un cliente que pregunta.

¿Qué es una política de uso de IA y qué no es?

Es el documento interno que define qué se puede hacer con herramientas de IA, con qué datos y bajo qué supervisión. No es un manual técnico, no es una declaración de intenciones sobre «IA responsable» y no sustituye al registro de actividades de tratamiento del RGPD ni a tu análisis de riesgos.

Tres cosas que una política de uso de IA tiene que resolver y que casi ninguna resuelve:

• El caso dudoso. No el obvio (no, no pegues la base de datos de clientes). El dudoso: ¿puedo pedirle a un asistente que me reescriba el correo a un proveedor si el correo lleva el precio pactado?
• La vía de escape. Si alguien necesita hacer algo que la política no permite, tiene que haber una puerta: a quién se le pide, en cuánto responde. Si no la hay, la gente la rodea.
• La consecuencia. Qué pasa si se incumple. No hace falta un tono amenazante, pero sí que quede escrito que es una norma laboral, no una recomendación.

Lo que no es: una lista de herramientas prohibidas. Esa lista caduca en tres meses y además empuja al shadow AI —el uso en el móvil personal, que es exactamente lo que no quieres.

La política que funciona no clasifica herramientas. Clasifica datos. La herramienta cambia cada trimestre; la sensibilidad de una nómina no cambia nunca.

¿Qué datos no salen? La decisión que ordena todo lo demás

Antes de hablar de herramientas, el comité tiene que ponerse de acuerdo en tres o cuatro niveles de dato. Con más niveles nadie los recuerda. Un esquema que funciona en empresas de 30 a 300 personas:

| Nivel | Ejemplos | Con IA aprobada en entorno empresa | Con herramientas públicas | |---|---|---|---| | Público | Notas de prensa, web, catálogo | Sí | Sí | | Interno | Procedimientos, presentaciones internas, correos ordinarios | Sí | Solo si se eliminan nombres y cifras | | Confidencial | Contratos, precios, código propio, datos de cliente identificables | Sí, con registro de uso | No | | Especial / crítico | Salud, datos de menores, datos penales, credenciales, secretos industriales | Solo con evaluación previa caso a caso | Nunca |

La fila que más discusiones genera es «confidencial». Ahí es donde conviene ser explícito con ejemplos de tu negocio, no con categorías abstractas: «el escandallo de un producto», «el informe de un paciente», «el expediente de un empleado». La gente reconoce ejemplos; no reconoce taxonomías.

Si tu empresa trata datos personales de forma masiva, la política de uso de IA tiene que enlazar con el trabajo de base de protección de datos. Lo contamos en RGPD e IA y, cuando hace falta trabajar con datos reales sin exponerlos, en anonimización de datos.

¿Qué herramientas se aprueban y con qué criterio?

Aprueba categorías con condiciones, no marcas. Para cada categoría define el criterio de entrada:

• Asistentes generativos de propósito general. Condición mínima: cuenta corporativa (no personal), desactivado el uso de tus datos para entrenar, y retención de conversaciones conocida y aceptable.
• IA integrada en software que ya usas (ERP, CRM, suite ofimática). Normalmente hereda el contrato que ya tienes, pero hay que revisar si la funcionalidad de IA añade un subencargado nuevo.
• Herramientas verticales (transcripción de reuniones, revisión de contratos, atención al cliente). Son las que más datos sensibles tocan y las que más a menudo entran sin pasar por sistemas. Exige contrato de encargado de tratamiento y ubicación del tratamiento.
• Modelos desplegados en tu infraestructura. Mayor control, más coste de mantenimiento. Pertinente cuando el dato no puede salir por contrato o por normativa.

Criterio práctico para dar el alta a una herramienta nueva, en cinco preguntas que caben en un formulario:

1. ¿Qué datos va a ver, con qué nivel de clasificación? 2. ¿Hay contrato de encargado de tratamiento y dónde se trata el dato? 3. ¿Entrena con nuestros datos? ¿Cuánto tiempo retiene las conversaciones? 4. ¿Quién la usa y para qué tarea concreta? 5. ¿Quién la revisa dentro de seis meses y qué pasa si se cancela?

Si una solicitud no pasa estas cinco, no es que esté prohibida: está pendiente. La diferencia importa para que el equipo siga pidiendo permiso en vez de esconderse.

¿Quién revisa la salida y quién responde del error?

Esta es la parte que las políticas copiadas se saltan, y es la que de verdad evita un disgusto. La regla base: la persona que usa la herramienta firma el resultado. La IA no es autora ni responsable; es un borrador.

Define tres niveles de supervisión según el impacto de la tarea:

• Sin revisión obligatoria. Borradores internos, resúmenes para uso propio, ideas. Riesgo bajo, no cargues de burocracia lo que no la necesita.
• Revisión por la persona autora. Textos que salen al exterior, respuestas a cliente, documentación técnica. Se revisa antes de enviar, y queda claro que el error es del autor, no «del sistema».
• Revisión por un segundo par de ojos y registro. Decisiones con efecto sobre personas (selección de personal, evaluación, crédito, precios individualizados) o sobre seguridad. Aquí hay que poder reconstruir quién decidió qué y con qué información, porque es lo que te van a preguntar.

Ese último nivel es también donde el Reglamento europeo aprieta: hay usos clasificados como de alto riesgo con obligaciones de supervisión humana y trazabilidad. Si tocas alguno, revisa lo que cuenta el Reglamento europeo de IA para pymes antes de redactar el apartado.

¿Qué estructura tiene una política de IA de una página?

Una página real, en este orden. Si te sale más larga, lo que sobra va a un anexo que nadie necesita para trabajar:

| Apartado | Qué dice | Extensión | |---|---|---| | Para qué está | Una frase: uso seguro y útil de la IA en el trabajo | 2 líneas | | A quién aplica | Plantilla, becarios, autónomos y proveedores con acceso | 2 líneas | | Qué datos no salen | La tabla de niveles con ejemplos de tu negocio | 8 líneas | | Herramientas permitidas | Categorías y condiciones, con enlace a la lista viva | 6 líneas | | Cómo se pide una nueva | Formulario, a quién, plazo de respuesta | 3 líneas | | Revisión de resultados | Los tres niveles de supervisión | 6 líneas | | Usos prohibidos | Lista corta y concreta | 5 líneas | | Qué pasa si se incumple | Referencia al régimen disciplinario existente | 2 líneas | | Quién la mantiene | Nombre y cargo, fecha de próxima revisión | 2 líneas |

La «lista viva» de herramientas aprobadas va aparte, en la intranet, con fecha de última actualización. Así puedes añadir una herramienta sin volver a aprobar la política entera.

Usos prohibidos que conviene nombrar explícitamente, porque son los que generan incidentes reales: subir credenciales o claves; generar contenido que suplante a una persona real; usar IA para tomar una decisión final sobre una persona sin revisión humana; introducir código propietario en herramientas no aprobadas; y publicar como propio contenido generado sin comprobarlo.

¿Por qué fallan las políticas copiadas?

Hemos visto suficientes documentos descargados de internet como para reconocer el patrón. Fallan por cuatro motivos:

• Prohíben todo. Una política que dice «no se permite el uso de IA generativa» en 2026 garantiza una sola cosa: que el uso se mueve al móvil personal, fuera de todo control. Prohibir sin alternativa es empeorar el riesgo que querías reducir.
• Hablan de tecnología, no de trabajo. Párrafos sobre modelos de lenguaje y sesgos algorítmicos no le dicen a nadie si puede resumir un acta de reunión.
• No tienen dueño. Sin un nombre y una fecha de revisión, el documento envejece sin que nadie lo note. Pon ambas cosas en la última línea.
• No se enseñan. Publicar la política en una carpeta no es implantarla. Hace falta una sesión de 30 minutos por equipo con los casos reales de ese equipo. Es el mismo problema de siempre con la adopción, y lo tratamos en formación en IA para equipos y en gestión del cambio.

Hay un quinto motivo, menos visible: la política se escribe en cumplimiento y se publica sin que sistemas haya comprobado qué está pasando ya. Antes de redactar, mira el tráfico de red o el gasto en tarjetas corporativas. Vas a descubrir herramientas en uso que no sabías que existían, y esa lista es el mejor índice para tu política.

¿Cómo se implanta sin que quede en un cajón?

Cuatro semanas es un plazo razonable para una empresa de 50-300 personas:

| Semana | Qué pasa | Quién | |---|---|---| | 1 | Inventario de uso real + mapa de datos por departamento | Sistemas + responsables de área | | 2 | Redacción de la página y de la lista viva de herramientas | Cumplimiento, con revisión de dirección | | 3 | Sesiones de 30 min por equipo con casos propios; se recogen dudas | Responsable de cada área | | 4 | Ajuste con las dudas recogidas, publicación y alta del canal de solicitudes | Cumplimiento |

A partir de ahí, dos rutinas: revisión semestral del documento y revisión del alta de herramientas nuevas cada vez que entre una. Añade un punto fijo de cinco minutos en el comité de dirección; es más barato que una auditoría de urgencia.

Preguntas frecuentes

¿Es obligatorio tener una política de uso de IA?

No existe una norma que exija ese documento concreto con ese nombre. Pero si tratas datos personales, el RGPD te obliga a demostrar medidas organizativas adecuadas, y si usas sistemas de alto riesgo, el Reglamento europeo de IA exige supervisión y trazabilidad. La política es la forma práctica de acreditar ambas cosas.

¿Puede el equipo usar su cuenta personal de una herramienta de IA?

Es el escenario que más incidentes provoca: sin contrato, sin control de retención y sin posibilidad de revocar el acceso cuando esa persona se va. La recomendación es prohibir el uso de cuentas personales para trabajo y, a la vez, dar una alternativa corporativa. Prohibir sin alternativa no funciona.

¿Cada cuánto hay que revisar la política?

Cada seis meses como rutina, y siempre que entre una herramienta nueva con acceso a datos confidenciales o cambie una obligación legal relevante. Si la fecha de última revisión tiene más de un año, el documento ya no protege de nada.

¿Quién debe ser el dueño de la política?

Alguien con autoridad para decir que no y tiempo para responder en 48 horas: normalmente dirección de sistemas, cumplimiento o un comité pequeño con ambos. Lo que no funciona es repartir la responsabilidad entre cinco personas sin nombre en el documento.

---

Si quieres partir de una foto real antes de escribir nada, nuestra auditoría incluye el inventario de uso de IA que ya hay en la empresa y el mapa de datos por departamento, que es justo el material con el que se redacta una política que se sostiene. Y si prefieres contrastar un borrador que ya tienes encima de la mesa, hablemos: media hora suele bastar para ver si protege algo o solo da tranquilidad.