---

Última actualización: 29 de julio de 2026.

La utilización de inteligencia artificial dentro de una empresa suele comenzar antes de que exista una decisión formal.

Un trabajador utiliza ChatGPT para corregir un correo. Otro prueba una herramienta para resumir reuniones. El departamento de marketing genera imágenes y el equipo comercial empieza a preparar propuestas mediante un asistente integrado en su programa habitual.

Cuando la empresa intenta ordenar la situación, puede descubrir que utiliza más sistemas de inteligencia artificial de los que pensaba y que no existen unas reglas comunes sobre:

• Qué herramientas están autorizadas.
• Para qué pueden utilizarse.
• Qué datos pueden introducirse.
• Qué resultados deben revisarse.
• Quién puede aprobar un nuevo sistema.
• Cuándo debe informarse a clientes o trabajadores.
• Cómo deben comunicarse los errores.
• Qué ocurre cuando la IA influye en una decisión.

Una política de uso de IA en la empresa sirve para establecer estas reglas.

No debería ser una declaración genérica sobre ética o innovación. Debe funcionar como un documento operativo que permita a cualquier persona saber qué puede hacer, qué no puede hacer y a quién debe consultar.

Política de uso de IA en la empresa: resumen rápido

Una política interna útil debería establecer:

1. Su finalidad y ámbito de aplicación.
2. Qué se considera herramienta o sistema de IA.
3. Qué aplicaciones están autorizadas.
4. Cómo se aprueban nuevas herramientas.
5. Qué usos están permitidos.
6. Qué usos están prohibidos o requieren autorización.
7. Qué datos no pueden introducirse.
8. Cómo deben revisarse los resultados.
9. Cuándo debe informarse de que se utiliza IA.
10. Qué reglas se aplican al contenido generado.
11. Cómo se gestionan decisiones sobre personas.
12. Qué responsabilidades tiene cada perfil.
13. Cómo se evalúan los proveedores.
14. Cómo se comunican errores e incidentes.
15. Qué formación debe recibir el personal.
16. Cómo se supervisa y actualiza la política.

La política debe adaptarse al tamaño, actividad, herramientas y riesgos de la organización.

Una microempresa puede utilizar un documento breve y claro. Una organización que desarrolla sistemas, trata datos sensibles o utiliza IA para evaluar personas necesitará procedimientos y anexos más detallados.

¿Es obligatorio tener una política interna de IA?

El AI Act no establece una obligación general que exija a cualquier empresa disponer de un documento denominado exactamente política interna de inteligencia artificial.

Por tanto, una empresa no incumple automáticamente el Reglamento únicamente porque no tenga un documento con ese nombre.

Sin embargo, el AI Act sí exige adoptar medidas relacionadas con:

• Alfabetización en inteligencia artificial.
• Prácticas prohibidas.
• Transparencia.
• Supervisión humana.
• Uso de sistemas de alto riesgo.
• Control de proveedores y documentación en determinados casos.
• Gestión de riesgos e incidentes.

El artículo 4 exige que proveedores y responsables del despliegue adopten medidas para apoyar el desarrollo de la alfabetización en IA de las personas que utilizan sistemas en su nombre. La Comisión señala que estas medidas deben partir del conocimiento de los sistemas utilizados, su riesgo, el papel de la organización y las necesidades de cada perfil.

Una política interna es una forma práctica de:

• Comunicar las medidas adoptadas.
• Unificar criterios.
• Reducir usos no autorizados.
• Definir responsabilidades.
• Apoyar la formación.
• Conservar evidencias.
• Demostrar que la empresa no ha dejado el uso de la IA completamente descontrolado.

No sustituye el cumplimiento de las obligaciones concretas, pero puede convertirse en el documento central que conecta el inventario, la formación, la protección de datos, la seguridad y la evaluación de proveedores.

La política de la AEPD como referencia

En noviembre de 2025, la Agencia Española de Protección de Datos publicó su propia política general interna para el uso de inteligencia artificial generativa.

El documento regula cuestiones como:

• Gobernanza y responsabilidades.
• Selección de soluciones.
• Tratamiento de información personal y confidencial.
• Diseño de casos de uso.
• Supervisión humana.
• Transparencia.
• Seguridad.
• Contratación.
• Formación.
• Uso por parte del personal.
• Gestión de incidentes.
• Aprobación y revisión de la política.

La AEPD señala que su política pretende facilitar una implantación progresiva, segura, ética y conforme con la normativa, mediante evaluación continua y adaptación a los avances tecnológicos y regulatorios.

Esta política está diseñada para la propia AEPD y no es una plantilla obligatoria para las empresas privadas.

No obstante, ofrece una referencia especialmente útil porque muestra que una política de IA no debe limitarse a prohibir la introducción de datos personales. Debe abarcar todo el ciclo de selección, aprobación, utilización, supervisión y retirada de los sistemas.

¿Qué empresas deberían tener una política de IA?

Resulta especialmente recomendable cuando:

• Los trabajadores utilizan herramientas generativas.
• Existen varias aplicaciones de IA.
• Se utilizan cuentas empresariales y personales.
• Se tratan documentos internos.
• Se generan contenidos para clientes o redes sociales.
• Hay un chatbot.
• Se utiliza IA en recursos humanos.
• El sistema puede evaluar personas.
• Se automatizan decisiones o acciones.
• Se conectan herramientas a bases de datos internas.
• Se desarrollan sistemas propios.
• Se utilizan proveedores externos.
• Existe riesgo de Shadow AI.

Incluso una empresa pequeña puede beneficiarse de una política sencilla.

Por ejemplo, una asesoría con cuatro trabajadores podría necesitar únicamente:

• Una lista de herramientas autorizadas.
• Un conjunto de datos que no pueden introducirse.
• Una regla de revisión humana.
• Un procedimiento para solicitar nuevas herramientas.
• Un canal para comunicar errores.
• Una formación básica.

No necesitaría reproducir la estructura completa de una gran organización.

Política, inventario y procedimiento: no son lo mismo

Estos documentos cumplen funciones diferentes.

Inventario de sistemas de IA

Responde a:

¿Qué herramientas utilizamos y para qué?

Registra sistemas, proveedores, finalidades, datos, responsables y riesgos.

Política de uso de IA

Responde a:

¿Qué reglas deben respetarse?

Establece principios, autorizaciones, prohibiciones y responsabilidades.

Procedimiento de aprobación

Responde a:

¿Cómo incorporamos una nueva herramienta?

Define quién solicita, quién revisa y quién autoriza.

Evaluación de proveedor

Responde a:

¿Podemos confiar en este servicio para el uso previsto?

Analiza privacidad, seguridad, condiciones, ubicación de datos y documentación.

Registro de formación

Responde a:

¿Qué medidas de alfabetización hemos realizado?

Documenta actividades, destinatarios y contenidos.

Registro de incidentes

Responde a:

¿Qué errores o problemas se han producido y cómo se solucionaron?

Una política no debería intentar sustituir todos estos documentos. Debe enlazarlos y explicar cuándo se utiliza cada uno.

Qué debe hacerse antes de redactar la política

1. Identificar los sistemas utilizados

La política debe basarse en la realidad de la empresa.

Antes de redactarla conviene localizar:

• Aplicaciones contratadas.
• Herramientas gratuitas.
• Cuentas personales.
• Asistentes integrados en otros programas.
• Extensiones.
• Sistemas en prueba.
• Automatizaciones.
• APIs.
• Chatbots.
• Agentes.

Una política que se limita a mencionar ChatGPT puede quedar desactualizada en pocas semanas.

2. Identificar casos de uso

La misma herramienta puede utilizarse para finalidades muy distintas.

Por ejemplo:

• Corregir textos.
• Resumir reuniones.
• Analizar contratos.
• Contestar a clientes.
• Clasificar candidatos.
• Preparar informes.
• Ejecutar devoluciones.

La AEPD estructura su política alrededor de casos de uso y señala que cada uno debe analizarse considerando su impacto en el proceso completo, las personas, los recursos y otros sistemas con los que interactúa.

3. Analizar los datos

Debe comprobarse si cada caso de uso recibe:

• Información pública.
• Datos personales.
• Datos de trabajadores.
• Datos de clientes.
• Datos sensibles.
• Documentación confidencial.
• Secretos empresariales.
• Código.
• Credenciales.
• Propiedad intelectual de terceros.

4. Determinar los riesgos

Conviene analizar:

• Respuestas inventadas.
• Información desactualizada.
• Sesgos.
• Discriminación.
• Pérdida de confidencialidad.
• Propiedad intelectual.
• Transparencia.
• Acciones incorrectas.
• Dependencia del proveedor.
• Seguridad.
• Falta de trazabilidad.
• Decisiones automatizadas.

5. Determinar las responsabilidades

Debe quedar claro:

• Quién aprueba la política.
• Quién mantiene el inventario.
• Quién evalúa proveedores.
• Quién autoriza herramientas.
• Quién gestiona incidentes.
• Quién organiza la formación.
• Quién revisa usos sensibles.

En una pyme varias funciones pueden recaer sobre la misma persona, pero deben estar asignadas.

Qué debe incluir una política interna de IA

1. Finalidad de la política

El documento debe explicar para qué existe.

Un ejemplo sería:

Esta política establece las normas para seleccionar, aprobar y utilizar sistemas de inteligencia artificial dentro de la empresa, con el objetivo de aprovechar sus beneficios y reducir los riesgos para la información, las personas y la organización.

La finalidad puede incluir:

• Uso responsable.
• Protección de datos.
• Confidencialidad.
• Seguridad.
• Calidad.
• Transparencia.
• Supervisión humana.
• Cumplimiento normativo.
• Innovación controlada.

2. Ámbito de aplicación

Debe indicar a quién afecta.

Puede incluir:

• Personal laboral.
• Dirección.
• Colaboradores.
• Profesionales externos.
• Contratistas.
• Personal temporal.
• Proveedores que utilicen IA en nombre de la empresa.
• Personas en prácticas.

También debe explicar qué sistemas quedan incluidos:

• IA generativa.
• Chatbots.
• Asistentes.
• Sistemas predictivos.
• Automatizaciones con IA.
• Herramientas de clasificación.
• Agentes.
• Funciones incorporadas en otros programas.

3. Definiciones básicas

No hace falta reproducir todas las definiciones del AI Act.

Sí conviene aclarar términos utilizados en la política:

• Sistema de IA.
• Herramienta autorizada.
• Caso de uso.
• Responsable del despliegue.
• Proveedor.
• Contenido generado por IA.
• Supervisión humana.
• Datos personales.
• Información confidencial.
• Incidente.
• Shadow AI.

4. Principios generales

La política puede establecer principios como:

• Legalidad.
• Transparencia.
• Proporcionalidad.
• Minimización de datos.
• Seguridad.
• Supervisión humana.
• Exactitud.
• No discriminación.
• Responsabilidad.
• Trazabilidad.
• Accesibilidad.
• Respeto a los derechos de las personas.

Estos principios deben traducirse posteriormente en reglas concretas.

Decir únicamente que la empresa utilizará la IA de forma “ética y responsable” no permite saber si un trabajador puede subir un contrato o publicar una imagen generada.

5. Herramientas autorizadas

La política debe explicar que solo pueden utilizarse:

• Herramientas aprobadas.
• Cuentas empresariales.
• Configuraciones autorizadas.
• Integraciones revisadas.
• Finalidades registradas.

La lista de herramientas puede situarse en un anexo para actualizarla sin modificar todo el documento.

Para cada herramienta conviene indicar:

• Nombre.
• Plan contratado.
• Usuarios autorizados.
• Finalidades permitidas.
• Datos admitidos.
• Restricciones.
• Responsable.
• Fecha de aprobación.

6. Uso de cuentas personales

La política debería regular expresamente las cuentas personales.

Puede prohibirse su uso para:

• Datos de clientes.
• Documentación interna.
• Información confidencial.
• Actividades realizadas en nombre de la empresa.
• Conexión con sistemas corporativos.

Una cuenta gratuita o personal puede tener condiciones distintas a un servicio empresarial.

No debe asumirse que ambos entornos ofrecen las mismas garantías.

7. Solicitud de nuevas herramientas

La prohibición de utilizar cualquier herramienta no autorizada debe ir acompañada de un procedimiento viable.

La solicitud puede indicar:

• Nombre del servicio.
• Proveedor.
• Finalidad.
• Departamento.
• Datos utilizados.
• Usuarios.
• Integraciones.
• Coste.
• Alternativas.
• Riesgos conocidos.

La empresa debería poder responder:

• Aprobada.
• Aprobada con condiciones.
• Prueba limitada.
• Pendiente de información.
• Rechazada.

Si el proceso tarda meses, aumentará el riesgo de que los trabajadores utilicen servicios sin comunicarlo.

8. Usos permitidos

Conviene incluir ejemplos.

Podrían permitirse, bajo revisión humana:

• Generar borradores.
• Corregir estilo.
• Traducir información no sensible.
• Resumir documentos públicos.
• Crear esquemas.
• Preparar ideas.
• Analizar datos anonimizados.
• Generar código en entornos controlados.
• Crear materiales internos.
• Automatizar tareas de bajo impacto.

El uso permitido debe estar condicionado a las reglas sobre datos, revisión y confidencialidad.

9. Usos que requieren autorización

Algunos usos no tienen que estar completamente prohibidos, pero sí necesitan revisión previa:

• Analizar documentos de clientes.
• Tratar datos personales.
• Utilizar información interna.
• Generar contenido público.
• Conectar la IA al correo.
• Acceder al CRM.
• Automatizar respuestas.
• Crear chatbots.
• Analizar currículums.
• Recomendar decisiones.
• Ejecutar acciones.
• Utilizar voz o imagen de personas.

La autorización permite aplicar controles específicos al caso.

10. Usos prohibidos por la empresa

La política debería diferenciar entre:

• Prácticas prohibidas por la legislación.
• Usos que la empresa decide no permitir.
• Usos que requieren autorización.

Podrían prohibirse:

• Introducir contraseñas.
• Compartir credenciales.
• Subir datos sensibles a servicios no autorizados.
• Utilizar documentos confidenciales en cuentas personales.
• Generar información falsa presentada como real.
• Suplantar a una persona.
• Publicar deepfakes sin control.
• Adoptar decisiones relevantes sin revisión humana.
• Instalar extensiones sin autorización.
• Eludir controles de seguridad.
• Utilizar la IA para acosar o discriminar.
• Crear contenido ilegal.
• Ocultar un incidente.
• Utilizar herramientas no registradas.

Las prohibiciones deben adaptarse al sector y no copiarse de forma automática.

11. Datos personales

La política debe explicar:

• Qué se considera dato personal.
• Qué herramientas pueden tratarlo.
• Qué finalidades están autorizadas.
• Qué medidas deben aplicarse.
• Qué datos quedan excluidos.
• Cómo anonimizar.
• Qué hacer ante una introducción accidental.
• Cuándo consultar al responsable de privacidad.

La AEPD recomienda no compartir datos personales o información sensible con sistemas cuando no existan garantías suficientes y advierte de que la utilización habitual de una tecnología no convierte automáticamente el tratamiento en lícito.

Una política empresarial puede permitir determinados tratamientos en entornos autorizados, pero debe definir las condiciones.

12. Información confidencial

Debe protegerse:

• Información estratégica.
• Contratos.
• Precios internos.
• Márgenes.
• Credenciales.
• Código no publicado.
• Datos de clientes.
• Documentación de empleados.
• Informes internos.
• Comunicaciones protegidas por secreto profesional.
• Información sometida a acuerdos de confidencialidad.

La política de la AEPD exige evaluar cada caso de uso según su acceso a información personal, sensible o confidencial y aplicar controles reforzados cuando exista este tipo de información.

13. Propiedad intelectual

La política debería establecer que los usuarios deben revisar:

• La procedencia de los materiales introducidos.
• Los derechos sobre los documentos.
• Las condiciones del proveedor.
• La posibilidad de similitud con obras existentes.
• Los derechos de imagen.
• Las marcas.
• Las licencias.
• Las restricciones establecidas por clientes.

No debería asumirse que todo contenido generado puede publicarse o explotarse comercialmente.

14. Revisión humana

La política debe definir qué significa revisar.

Una revisión efectiva puede incluir:

• Verificar hechos.
• Comprobar fuentes.
• Revisar cálculos.
• Corregir errores.
• Evaluar sesgos.
• Confirmar que el contenido responde a la finalidad.
• Comprobar que no revela datos.
• Modificar o rechazar el resultado.
• Aprobar la versión final.

La AEPD establece en su política que los contenidos generados deben revisarse y contrastarse con fuentes fiables, especialmente cuando afectan a procesos críticos o decisiones relevantes.

No debería considerarse revisión humana:

• Aceptar automáticamente.
• Leer únicamente el primer párrafo.
• Corregir solo la ortografía.
• Aprobar sin acceso a las fuentes.
• Validar una decisión sin capacidad para cambiarla.

15. Contenidos destinados al público

La política debe regular:

• Artículos.
• Publicaciones en redes.
• Imágenes.
• Vídeos.
• Voces.
• Avatares.
• Publicidad.
• Comunicados.
• Materiales para clientes.

Debe establecer:

• Quién revisa.
• Quién aprueba.
• Qué fuentes se comprueban.
• Cuándo se informa del uso de IA.
• Cómo se almacenan las versiones.
• Qué usos de imagen o voz necesitan autorización.

16. Transparencia y artículo 50

Desde el 2 de agosto de 2026, el artículo 50 establece obligaciones para sistemas y contenidos concretos.

Puede ser necesario informar cuando:

• Una persona interactúa con un chatbot.
• Se utiliza un asistente conversacional.
• Se publica un deepfake.
• Se utiliza reconocimiento de emociones.
• Se utiliza categorización biométrica.
• Se publica automáticamente texto de interés público sin revisión editorial suficiente.

La información debe presentarse de forma clara, diferenciada y accesible.

La política debe indicar quién decide si hace falta un aviso y quién comprueba que se haya incorporado.

17. Chatbots y asistentes

Para los chatbots conviene definir:

• Aviso de interacción con IA.
• Finalidad.
• Base de conocimiento.
• Datos que puede solicitar.
• Temas que no puede tratar.
• Cuándo deriva a una persona.
• Cómo se revisan las conversaciones.
• Qué acciones puede ejecutar.
• Cómo se registra un error.

No basta con añadir una cláusula general de exención de responsabilidad.

18. Decisiones que afectan a personas

La política debe prestar especial atención a los sistemas que:

• Seleccionan candidatos.
• Evalúan trabajadores.
• Recomiendan ascensos.
• Clasifican clientes.
• Evalúan crédito.
• Determinan acceso a servicios.
• Evalúan estudiantes.
• Apoyan decisiones médicas.
• Detectan fraude.
• Priorizan reclamaciones.

Estos casos pueden activar obligaciones del RGPD, del AI Act, de la normativa laboral o de reglas sectoriales.

La política debería exigir:

• Evaluación previa.
• Supervisión humana.
• Criterios documentados.
• Control de sesgos.
• Información a las personas.
• Procedimiento de revisión.
• Conservación de evidencias.
• Posibilidad de detener el sistema.

Para sistemas de alto riesgo, el responsable del despliegue debe utilizar el sistema conforme a sus instrucciones, asignar la supervisión a personas competentes, formadas y con autoridad, controlar su funcionamiento y conservar determinados registros.

19. Uso de IA en recursos humanos

La política puede contener un apartado específico sobre:

• Redacción de ofertas.
• Filtrado de currículums.
• Evaluaciones.
• Productividad.
• Planificación.
• Control laboral.
• Elaboración de perfiles.

La representación legal de los trabajadores tiene derecho a ser informada de los parámetros, reglas e instrucciones de los algoritmos o sistemas de IA que afecten a decisiones que puedan incidir en las condiciones de trabajo, el acceso o el mantenimiento del empleo.

Una política interna no sustituye esta obligación de información.

20. Evaluación de proveedores

La política debe indicar que antes de contratar una solución se revisará:

• Finalidad.
• Modelo utilizado.
• Uso de datos para entrenamiento.
• Subencargados.
• Ubicación de datos.
• Transferencias internacionales.
• Retención.
• Seguridad.
• Gestión de incidentes.
• Eliminación.
• Exportación.
• Cambios de versión.
• Documentación del AI Act.
• Condiciones de disponibilidad.
• Responsabilidad contractual.

La política de la AEPD incluye una evaluación previa y documentada de la recopilación de datos técnicos, uso de conversaciones, exclusión del entrenamiento, revisiones manuales, localización, retención y estabilidad contractual.

21. Seguridad

La política debería exigir:

• Cuentas individuales.
• Autenticación adecuada.
• Mínimos privilegios.
• Control de integraciones.
• Revisión de extensiones.
• Separación de entornos.
• Registro de accesos.
• Protección de credenciales.
• Confirmación antes de acciones importantes.
• Bloqueo de herramientas incompatibles con la seguridad.

Las instrucciones escritas al modelo no sustituyen los controles técnicos.

22. Agentes que ejecutan acciones

Cuando un sistema puede:

• Enviar correos.
• Modificar cuentas.
• Crear pedidos.
• Cancelar reservas.
• Emitir devoluciones.
• Acceder a archivos.
• Ejecutar código.
• Realizar pagos.

La política debe establecer:

• Permisos mínimos.
• Acciones autorizadas.
• Acciones prohibidas.
• Confirmaciones.
• Límites económicos.
• Registros.
• Mecanismos de detención.
• Posibilidad de reversión.
• Supervisión.

23. Registros y trazabilidad

La empresa debe decidir qué registros conserva.

Podrían incluir:

• Sistema utilizado.
• Usuario.
• Fecha.
• Finalidad.
• Versión.
• Acción ejecutada.
• Aprobación.
• Resultado relevante.
• Incidente.
• Medida correctora.

No es necesario guardar indefinidamente todas las conversaciones.

La conservación debe ser proporcional y respetar la normativa de protección de datos.

24. Formación y alfabetización

La política debe conectarse con el plan de alfabetización.

El personal debe conocer:

• Las herramientas autorizadas.
• Sus limitaciones.
• Los datos prohibidos.
• La revisión humana.
• La transparencia.
• La comunicación de incidentes.
• Los riesgos de cada sistema.

La Comisión aclara que no es obligatorio obtener un certificado ni crear una estructura de gobierno determinada, pero sí conservar registros internos de las medidas de formación y orientación adoptadas.

25. Comunicación de incidentes

La política debe explicar cómo comunicar:

• Filtraciones.
• Respuestas falsas.
• Contenido discriminatorio.
• Acceso no autorizado.
• Uso de una herramienta no aprobada.
• Acción incorrecta.
• Publicación engañosa.
• Pérdida de información.
• Cambio problemático del proveedor.
• Incidente de seguridad.

El canal debe ser sencillo y conocido.

El trabajador debería saber:

• A quién informar.
• Qué datos proporcionar.
• Si debe detener el uso.
• Cómo conservar evidencias.
• Qué no debe hacer.

26. Consecuencias de incumplir la política

La política puede indicar que su incumplimiento puede dar lugar a medidas internas conforme a:

• La gravedad.
• El daño.
• La intencionalidad.
• La reincidencia.
• La formación recibida.
• Las normas laborales aplicables.

No conviene crear automáticamente un régimen sancionador desproporcionado.

El objetivo principal debería ser prevenir y corregir.

Una política excesivamente punitiva puede provocar que los incidentes se oculten.

27. Excepciones

Puede existir un procedimiento para autorizar excepciones justificadas.

Debe registrar:

• Solicitud.
• Motivo.
• Datos.
• Duración.
• Responsable.
• Controles adicionales.
• Fecha de finalización.

Una excepción no debería convertirse en autorización indefinida.

28. Revisión y actualización

La política debe indicar:

• Quién la mantiene.
• Quién la aprueba.
• Cada cuánto se revisa.
• Qué eventos obligan a actualizarla.
• Cómo se comunican los cambios.
• Cómo se controlan las versiones.

Debe revisarse cuando:

• Se incorpora una herramienta.
• Cambia un proveedor.
• Aparece un incidente.
• Cambia la finalidad.
• Se conectan nuevos datos.
• Se amplían los permisos.
• Cambia la normativa.
• Se detecta Shadow AI.
• La formación resulta insuficiente.

La AEPD establece un ciclo de revisión cuando se producen incidentes o aparecen nuevos casos de uso y aplica procedimientos proporcionales y flexibles según la naturaleza y complejidad del caso.

Ejemplo de estructura de una política interna

Una política sencilla podría tener este índice:

1. Objeto.
2. Ámbito de aplicación.
3. Definiciones.
4. Principios.
5. Responsabilidades.
6. Herramientas autorizadas.
7. Solicitud de nuevas herramientas.
8. Usos permitidos.
9. Usos restringidos.
10. Usos prohibidos.
11. Datos personales.
12. Información confidencial.
13. Propiedad intelectual.
14. Revisión humana.
15. Transparencia.
16. Sistemas que afectan a personas.
17. Proveedores.
18. Seguridad.
19. Formación.
20. Incidentes.
21. Supervisión.
22. Revisión y entrada en vigor.

Los anexos pueden contener:

• Inventario de herramientas.
• Matriz de usos permitidos.
• Datos prohibidos.
• Contactos.
• Formularios de solicitud.
• Avisos para chatbots.
• Registro de versiones.
• Protocolo de incidentes.

Ejemplos de reglas internas

Regla sobre herramientas autorizadas

Solo podrán utilizarse herramientas de inteligencia artificial previamente aprobadas por la empresa y para las finalidades incluidas en su ficha de uso.

Regla sobre cuentas personales

No podrán utilizarse cuentas personales para tratar documentación, datos o actividades realizadas en nombre de la empresa, salvo autorización expresa.

Regla sobre datos

No se introducirán datos personales, información confidencial, credenciales ni documentación interna en sistemas que no hayan sido autorizados para tratar dicha información.

Regla sobre resultados

Los resultados generados por inteligencia artificial deberán ser revisados por una persona antes de utilizarse para comunicaciones, decisiones, contratos, informes o contenidos públicos.

Regla sobre fuentes

Las referencias, datos, cifras y afirmaciones relevantes deberán contrastarse con fuentes fiables antes de utilizarse.

Regla sobre decisiones

Ninguna decisión que produzca efectos relevantes sobre una persona podrá basarse exclusivamente en el resultado de un sistema de IA sin la evaluación previa correspondiente.

Regla sobre incidentes

Cualquier respuesta incorrecta grave, filtración, acceso no autorizado o acción inesperada deberá comunicarse inmediatamente mediante el canal interno establecido.

Cómo implantar la política

Paso 1. Crear el inventario

Identifica sistemas, usos y responsables.

Paso 2. Priorizar riesgos

Revisa primero:

• Datos sensibles.
• Recursos humanos.
• Decisiones.
• Chatbots.
• Agentes.
• Sistemas conectados.
• Contenido público.

Paso 3. Redactar una primera versión

Debe ser suficientemente concreta para aplicarse, pero no tan detallada que quede obsoleta ante cualquier cambio.

Paso 4. Revisarla internamente

Según el tamaño de la empresa, pueden participar:

• Dirección.
• Informática.
• Seguridad.
• Protección de datos.
• Recursos humanos.
• Legal.
• Representación laboral.
• Responsables de departamento.

Paso 5. Aprobarla formalmente

Debe indicarse:

• Fecha.
• Versión.
• Órgano o persona que la aprueba.
• Fecha de entrada en vigor.

Paso 6. Comunicarla

No basta con publicarla en la intranet.

Conviene:

• Presentarla.
• Resumir las reglas.
• Resolver dudas.
• Destacar los cambios.
• Entregar una guía rápida.
• Facilitar contactos.

Paso 7. Formar por perfiles

Adapta los contenidos a cada grupo.

Paso 8. Implantar controles técnicos

Cuando una regla es importante, no debe depender únicamente de la voluntad del usuario.

Por ejemplo:

• Bloquear extensiones.
• Configurar cuentas.
• Limitar datos.
• Restringir permisos.
• Activar registros.
• Exigir confirmaciones.

Paso 9. Supervisar el uso

Analiza:

• Herramientas no registradas.
• Errores.
• Incidentes.
• Consultas.
• Nuevas necesidades.
• Cambios del proveedor.
• Eficacia de la formación.

Paso 10. Actualizarla

Una política de IA no debería aprobarse y olvidarse.

Errores frecuentes

Copiar una plantilla sin adaptarla

Puede contener reglas inaplicables o dejar fuera riesgos reales.

Prohibir toda la IA

Puede aumentar el uso oculto.

Autorizar cualquier herramienta conocida

La popularidad no garantiza que sea adecuada para la finalidad.

Centrarse solo en datos personales

También existen riesgos de confidencialidad, propiedad intelectual, seguridad y discriminación.

No diferenciar herramientas y usos

Una aplicación puede ser aceptable para información pública y no para datos de clientes.

No asignar responsables

La política queda sin mantenimiento.

No formar al personal

Las reglas no se aplican si nadie las comprende.

No establecer un canal de incidentes

Los problemas se detectan tarde.

Confiar solo en avisos

Decir que la IA puede equivocarse no sustituye la revisión.

No actualizar anexos

Las herramientas autorizadas dejan de coincidir con las realmente utilizadas.

Preguntas frecuentes

¿Es obligatoria una política de IA?

No existe una obligación general que exija un documento con ese nombre para cualquier empresa. Sin embargo, puede ser una medida fundamental para organizar y demostrar el cumplimiento de obligaciones concretas.

¿Una pyme necesita una política?

Es recomendable cuando sus trabajadores utilizan IA de forma habitual. Puede ser breve y proporcional.

¿La política debe prohibir ChatGPT?

No necesariamente. Debe establecer qué versión, cuenta, finalidad y datos están autorizados.

¿Puede permitirse el uso de cuentas gratuitas?

Puede limitarse a información pública y tareas de bajo riesgo, aunque conviene revisar las condiciones del proveedor.

¿Hay que incluir todas las herramientas?

La política puede incluir una regla general y mantener la lista concreta en un inventario o anexo.

¿Deben firmarla los empleados?

No existe una regla general única. Puede solicitarse una confirmación de recepción y comprensión como evidencia interna.

¿La política sustituye la formación?

No. Debe explicarse y acompañarse de medidas de alfabetización.

¿La política sustituye el RGPD?

No. El tratamiento de datos personales sigue sujeto a la normativa de protección de datos.

¿Puede utilizarse IA para evaluar trabajadores?

Requiere un análisis específico. Pueden resultar aplicables el AI Act, el RGPD, la normativa laboral y los derechos de información de la representación de los trabajadores.

¿Quién debe aprobar la política?

Depende de la estructura. Conviene que la apruebe una persona u órgano con autoridad suficiente para exigir su cumplimiento.

¿Cada cuánto debe actualizarse?

Al menos periódicamente y siempre que cambien los sistemas, finalidades, riesgos, proveedores o normativa.

Genera la estructura de tu política interna

La herramienta incluida a continuación permite seleccionar los usos y riesgos de la empresa para generar:

• Las secciones recomendadas.
• Las reglas prioritarias.
• Los usos que deberían requerir autorización.
• Las evidencias que conviene conservar.
• Una propuesta de revisión.

Conclusión

Una política de uso de IA debe permitir que las personas respondan a seis preguntas:

1. ¿Qué herramientas puedo utilizar?
2. ¿Para qué puedo utilizarlas?
3. ¿Qué información no debo introducir?
4. ¿Qué resultados tengo que revisar?
5. ¿Cuándo necesito autorización?
6. ¿A quién informo si algo sale mal?

Si el documento no responde claramente a estas preguntas, probablemente sea demasiado genérico.

El objetivo no es frenar la adopción de inteligencia artificial.

Es permitir que la empresa la utilice sin perder el control sobre la información, las decisiones, los proveedores y las responsabilidades.

---

Aviso: Este contenido tiene una finalidad exclusivamente informativa y divulgativa. No constituye asesoramiento jurídico ni sustituye la adaptación de la política a la actividad, los sistemas, los datos y las relaciones laborales de cada organización.