Una política de uso de IA es el documento interno que fija qué herramientas de IA puede usar tu equipo, para qué y con qué límites. Es la pieza que convierte la formación en normas aplicables el lunes por la mañana, y uno de los registros internos que mejor demuestran que tu empresa ha adoptado medidas de alfabetización en IA, como pide el artículo 4 del AI Act. Aquí tienes qué debe incluir, sección a sección.
¿Por qué necesitas una política de uso de IA?
Porque tu equipo ya usa IA, con o sin permiso. Sin reglas escritas, cada persona decide por su cuenta qué datos pega en ChatGPT o qué entrega a un cliente sin revisar. La política reduce el riesgo más frecuente (fugas de datos personales y confidenciales), reparte responsabilidades y te da una evidencia firmada de diligencia debida ante clientes, la AEPD o un juzgado.
Los 4 pilares de toda política de uso de IA
- 1. Supervisión humana. Ningún contenido generado por IA se envía a un cliente ni fundamenta una decisión sin revisión humana. La responsabilidad del resultado es siempre de la persona, no de la herramienta.
- 2. Prohibición de datos personales en IA públicas. Nunca se introducen datos de clientes, empleados o candidatos en herramientas públicas sin garantías: es la vía más directa a una sanción RGPD.
- 3. Secreto comercial. Precios, estrategias, código propio y datos de negocio no salen de los entornos autorizados. Lo que pegas en una IA pública puede dejar de estar bajo tu control.
- 4. Transparencia con clientes. Se informa del uso de IA cuando la ley lo exige (chatbots, contenido generado) y cuando el compromiso con el cliente lo requiera.
Estructura de la política, sección a sección
Este es el guion completo que usamos como base en las políticas que entregamos a nuestros clientes:
- 1. Objeto y ámbito. A quién aplica (toda la plantilla, colaboradores externos) y a qué herramientas.
- 2. Definiciones. Qué se considera herramienta de IA, dato personal, información confidencial.
- 3. Herramientas autorizadas y prohibidas. Lista viva de herramientas aprobadas (con qué tipo de cuenta y configuración) y de usos prohibidos.
- 4. Normas de uso. Los 4 pilares desarrollados en reglas concretas por situación: redacción, análisis, atención al cliente, RRHH.
- 5. Datos y privacidad. Qué no se sube nunca; cómo anonimizar cuando sea imprescindible trabajar con casos reales.
- 6. Propiedad intelectual. Uso de resultados generados, licencias y revisión de posibles plagios involuntarios.
- 7. Canal de reporte. A quién y cómo se comunican incidentes, errores de la IA o usos indebidos, sin represalias.
- 8. Incumplimientos. Consecuencias proporcionadas y vínculo con el régimen disciplinario existente.
- 9. Firma del empleado. Acuse de recibo y compromiso individual: es lo que convierte el documento en evidencia.
- 10. Revisión anual. Fecha de aprobación, versión y calendario de revisión (mínimo anual: las herramientas cambian rápido).
Herramientas autorizadas vs. prohibidas: cómo decidir
La lista no va de marcas «buenas» y «malas», sino de configuraciones: una misma herramienta puede estar autorizada con cuenta de empresa (historial desactivado, acuerdo de tratamiento de datos) y prohibida en su versión gratuita personal. Define para cada herramienta aprobada el tipo de cuenta, la configuración de privacidad exigida y los usos permitidos, y revisa la lista cada vez que el equipo proponga una nueva.
La firma y la revisión anual: lo que convierte el papel en evidencia
Una política sin firmar es una declaración de intenciones. Recoge la firma (digital o en papel) de cada empleado, guarda las versiones fechadas y programa la revisión anual. Ese conjunto —junto al temario, la asistencia y las evaluaciones de la formación— es la carpeta de evidencias que responde a la obligación de medios del artículo 4.
¿Quieres la política hecha y adaptada a tu empresa? Nuestra formación en IA para empresas incluye la política de uso de IA personalizada a tu sector y herramientas, además del curso completo para la plantilla, las evaluaciones y los certificados. Un único paquete, bonificable vía FUNDAE.
Este contenido es divulgativo y no constituye asesoramiento jurídico. Si tu caso requiere un análisis legal específico, consulta con un abogado especializado en derecho tecnológico.
Preguntas frecuentes
¿Es obligatorio tener una política de uso de IA en la empresa?
El AI Act no exige un documento concreto llamado así, pero el artículo 4 obliga a adoptar medidas de alfabetización en IA y la Comisión Europea recomienda conservar registros internos. Una política firmada es una de las medidas más eficaces y demostrables, y además reduce el riesgo RGPD, que es el más frecuente en la práctica.
¿Qué debe incluir una política de uso de IA?
Como mínimo: ámbito y definiciones, lista de herramientas autorizadas y prohibidas con su configuración, normas basadas en los 4 pilares (supervisión humana, prohibición de datos personales en IA públicas, secreto comercial y transparencia con clientes), canal de reporte, consecuencias, firma del empleado y revisión anual.
¿Puedo usar una plantilla genérica de política de IA?
Como punto de partida sí, pero una política útil debe reflejar tus herramientas reales, tu sector y tus flujos de trabajo: no es lo mismo una gestoría que una tienda online. Nuestra formación para empresas incluye la política personalizada, lista para firmar, junto con el curso y la carpeta de evidencias.
Deja una respuesta