Política de uso de IA en la empresa: plantilla y errores

👁 114 lecturas

Una política de uso de IA en la empresa es un documento único que explica a los empleados qué herramientas de IA pueden utilizar, qué datos está prohibido introducir en ellas, cómo verificar las respuestas y cuándo se deben etiquetar los contenidos. El AI Act no la exige explícitamente con ese nombre, pero en el marco de las inspecciones sobre las medidas adoptadas según el art. 4, contar con una política redactada y fechada es la prueba más sencilla de diligencia debida. A continuación tienes mi modelo estructurado en 10 puntos y los fallos que veo con mayor frecuencia.

¿Es obligatoria la política de uso de IA?

El texto del AI Act no contiene la palabra «política» dirigida a una empresa ordinaria que simplemente utiliza ChatGPT, Copilot o Gemini. La obligación que afecta a casi cualquier empresa usuaria es el art. 4. Desde el 27 de julio de 2026, tras su modificación mediante el Reglamento (UE) 2026/1744, establece que los proveedores y los responsables del despliegue «adoptarán medidas para fomentar la alfabetización en materia de IA» entre su personal. El propio artículo aclara de forma expresa que esto no implica exigir un nivel de conocimientos específico e idéntico para cada trabajador. Puedes leer más detalles en el artículo sobre el art. 4 y la formación en IA para empresas.

La Comisión Europea señala en sus preguntas y respuestas sobre alfabetización en IA que no se requiere un certificado oficial y que basta con un registro interno de formaciones y otras iniciativas. Una política interna encaja precisamente como esa «otra medida»: demuestra que la empresa ha fijado unas normas y las ha transmitido a su plantilla. Esta es la lectura práctica:

• No disponer de una política por escrito no constituye una infracción autónoma del AI Act.
• El art. 4 no figura entre los supuestos sancionadores graves del art. 99, apartados 3 a 5, por lo que no cabe alarmar con multas directas por carecer del documento.
• La política sirve para demostrar la debida diligencia si surge un incidente: por ejemplo, si un empleado introduce datos confidenciales de clientes en una cuenta personal de chat o si publica un deepfake sin la etiqueta preceptiva.

En el ámbito de la supervisión administrativa y las auditorías de cumplimiento, las autoridades competentes pueden requerir documentación y explicaciones, normalmente por vía telemática, por lo que es esencial que la política exista en formato electrónico, con indicación clara de su versión y fecha de entrada en vigor.

Qué debe contener una política de IA: 10 puntos esenciales

He organizado los apartados para que cada uno responda a una duda directa del empleado. El orden no es casual: primero el alcance y las herramientas, después la protección de datos y finalmente la responsabilidad.

Plantilla de política de uso de IA para empresas

A continuación tienes una estructura base. Los corchetes indican los campos que debes personalizar. Se trata de una propuesta base para someter a aprobación interna en la empresa, no de un dictamen jurídico cerrado.

1. Alcance. Esta política es vinculante para todas las personas que utilicen herramientas de IA en el ejercicio de sus funciones en nombre de [nombre de la empresa]: personal en plantilla, colaboradores externos y subcontratistas que operen con cuentas corporativas.
2. Herramientas autorizadas. Solo está permitido el uso de sistemas incluidos en el inventario oficial gestionado por [persona o departamento], empleando exclusivamente licencias corporativas. Queda prohibido el uso de cuentas personales para tareas laborales.
3. Nuevas herramientas. Cualquier nueva herramienta, extensión de navegador o funcionalidad de IA integrada en el software habitual debe solicitarse a [persona responsable]. Hasta su inclusión en el registro, no se podrán tratar datos de la empresa en ella.
4. Protección de datos. Queda terminantemente prohibido introducir en herramientas de IA: datos personales de clientes y plantilla, información amparada por secreto comercial o acuerdos de confidencialidad, credenciales de acceso o claves API, y [otras categorías específicas].
5. Verificación humana. Todo resultado generado por IA destinado a clientes o a difusión pública debe ser revisado por una persona. Las cifras, nombres propios, citas literales y referencias normativas deben cotejarse directamente con la fuente original.
6. Etiquetado. Toda imagen, vídeo o audio de apariencia fotorrealista generado o modificado con IA debe publicarse debidamente etiquetado. Los textos que aborden asuntos de interés público generados con IA solo se publicarán tras una revisión exhaustiva de un responsable o con indicación expresa de su origen.
7. Sistemas de atención al público. Cualquier chatbot en contacto con usuarios debe informar de manera clara al inicio de la conversación de que se trata de un sistema automatizado de IA.
8. Usos prohibidos. La empresa no utilizará en ningún caso sistemas de IA para inferir emociones de los trabajadores ni participará en ninguna de las prácticas prohibidas contempladas en el art. 5 del AI Act.
9. Canal de incidencias. Cualquier error crítico, brecha de datos o duda operativa debe notificarse a [persona o correo electrónico] en el mismo día en que se detecte.
10. Formación y ciclo de vida. Toda persona sujeta a esta normativa completará una formación periódica sobre el uso responsable de la IA. La política se someterá a revisión cada [6 o 12] meses y ante la incorporación de herramientas relevantes. Versión [número], con fecha [fecha], aprobada por [cargo/persona].

Errores más comunes al redactar una política de IA

Estos fallos se repiten continuamente en los borradores de normativas corporativas:

• Prohibirlo absolutamente todo. Incluir un «queda prohibido el uso de herramientas de IA» sobre el papel mientras la mitad del equipo recurre a herramientas con sus cuentas privadas en el día a día. Una política irrealizable es más peligrosa que no tener nada, pues demuestra que la dirección conocía el riesgo y no articuló cauces viables.
• Listar herramientas sin precisar la versión o plan. Decir simplemente «ChatGPT autorizado» no aporta seguridad. La diferencia entre una cuenta gratuita individual y una suscripción corporativa con cláusulas de protección de datos radica en el tratamiento que el proveedor da a las entradas para entrenar sus modelos.
• No designar un responsable. Si nadie se encarga del mantenimiento y las consultas, en seis meses el inventario de software quedará desfasado.
• Copiar la plantilla de otro sector. Las pautas que necesita un despacho de abogados no sirven para una agencia de diseño digital. El art. 4 exige tener en cuenta el contexto operativo y los riesgos propios de la actividad.
• Confundir los regímenes sancionadores. Aquellos textos que amenazan internamente con «multas de hasta 35 millones de euros por no realizar cursos» confunden los artículos: esos límites máximos corresponden a las prácticas prohibidas del art. 5, como explico en detalle en el artículo sobre las sanciones en el AI Act.
• Olvidar las funciones de IA integradas. Los asistentes nativos en suites ofimáticas, gestores de clientes (CRM) o herramientas de traducción automática también son IA. Una política que solo regule los chats de texto deja un vacío importante.
• Ignorar las obligaciones de transparencia. Desde el 2 de agosto de 2026 son plenamente aplicables las obligaciones del art. 50. El departamento de marketing debe tener directrices claras sobre cuándo etiquetar un contenido sintético, según expuse en el análisis sobre el etiquetado de deepfakes.
• Aprobar el texto sin impartir formación. Enviar un PDF por correo pidiendo a los empleados que «confirmen su lectura» apenas tiene peso como evidencia de alfabetización bajo el art. 4. Conviene respaldarlo siempre con una sesión formativa y una lista de asistencia.

Cómo implantar la política en 5 pasos

1. Haz un inventario real del uso. Antes de redactar prohibiciones, averigua qué soluciones utiliza ya tu equipo. Basta un cuestionario breve por departamentos y una tabla básica, con la herramienta, quién la usa, para qué y con qué datos.
2. Redacta el borrador siguiendo el esquema de 10 puntos anterior. Procura que no sobrepase las 2 páginas.
3. Somételo a revisión interna con la persona encargada de la protección de datos y con alguien del equipo que más utilice estas tecnologías. Te indicarán qué límites entorpecen el trabajo diario de forma innecesaria.
4. Aprueba y difunde el documento con numeración de versión, fecha de vigencia y firma del responsable.
5. Forma a la plantilla y guarda constancia. Un registro de asistencia con firmas o confirmaciones digitales es el respaldo que necesitarás ante cualquier auditoría.

Puedes consultar el listado completo de documentos preventivos recomendables en nuestra guía sobre el AI Act dentro del apartado con la lista de verificación para empresas.

La política frente al resto de la documentación

En una pyme, estos cuatro elementos pueden integrarse perfectamente como secciones diferenciadas dentro de un único manual de gobernanza, siempre que mantengan la coherencia y reflejen sus fechas de revisión.

Preguntas frecuentes

¿Necesita una empresa pequeña una política de IA formal?

El AI Act no exige obligatoriamente un documento formal con ese título específico. Sin embargo, el art. 4 vincula a cualquier empresa cuyos trabajadores utilicen sistemas de IA en sus tareas, incluidos profesionales autónomos con colaboradores. Redactar una política breve es el modo más directo de demostrar documentalmente las medidas preventivas implementadas.

¿Quién debe firmar y validar la política de IA?

La persona u órgano con facultad de decisión organizativa: la dirección general, la administración de la sociedad o la dirección de operaciones. Asimismo, conviene nombrar expresamente a un responsable para su seguimiento operativo continuo.

¿Sustituye la política a las sesiones de formación?

No. En sus aclaraciones sobre el art. 4, la Comisión Europea subraya que la mera lectura de instrucciones de uso de una herramienta rara vez se considera suficiente. La política y la formación práctica deben complementarse.

¿Conviene nombrar marcas y herramientas concretas en el texto?

Sí, o bien remitir de forma inequívoca al inventario interno actualizado. Emplear fórmulas genéricas como «herramientas de IA autorizadas» deja en la incertidumbre al empleado sobre si una extensión o función concreta está admitida.

¿Cada cuánto tiempo debe actualizarse la política de IA?

Se recomienda revisarla cada 6 o 12 meses, así como cada vez que la empresa adopte nuevo software relevante o se produzcan novedades regulatorias. En el calendario normativo destacan fechas clave como finales de octubre de 2026 para la consolidación de inspecciones en los Estados miembros y el 2 de diciembre de 2026 para la finalización del periodo transitorio del marcado legible por máquina previsto en el art. 50, apdo. 2.

Este artículo tiene fines exclusivamente divulgativos e informativos y no constituye asesoramiento legal individualizado. Ante dudas concretas relativas a tu actividad corporativa, consulta con un profesional del derecho especializado.

// sigue leyendoLas empresas de world models se niegan a revelar en qué trabajanNoticiasAgentes de OpenAI atacaron RubyGems en mayo y la empresa no avisó al repositorioNoticiasEE.UU. acusa a seis empresas chinas de IA de copiar modelos de frontera estadounidenses a escala industrialNoticias

Kinetyra