Política de uso de IA en la empresa: lo mínimo que hay que escribir
Tu equipo ya está usando IA, con o sin permiso. Qué debe decir una política que se lea y se cumpla, por qué prohibirla no funciona y qué obligación de formación ya está aplicándose en Europa.
· Formación en IA
Empecemos por el hecho incómodo: en tu empresa ya se está usando IA. Alguien pega textos en un chat para redactar mejor, alguien resume un documento largo, alguien traduce un correo. Ocurre desde el móvil, con cuentas personales y sin que nadie lo sepa.
La decisión, por tanto, no es «si permitimos IA». Es si eso pasa con reglas o sin ellas.
Por qué prohibirla no funciona
La prohibición general tiene un efecto predecible: el uso se traslada al móvil personal, fuera de cualquier control. Se pierde visibilidad, se pierde la posibilidad de dar herramientas seguras y se conserva todo el riesgo.
Lo que sí funciona es lo contrario: ofrecer una herramienta aprobada, decir con claridad qué se puede meter en ella y qué no, y formar.
Lo que la política debe decir (y cabe en dos páginas)
1. Qué herramientas están aprobadas
Una lista corta y concreta, con la cuenta corporativa correspondiente. Y quién decide si entra una nueva. Si la lista está vacía, el equipo usará la que encuentre.
2. Qué datos NO se meten nunca
Esta es la sección más importante y tiene que ser una lista, no un principio abstracto:
- Datos identificativos de clientes o de trabajadores: nombres, documentos de identidad, direcciones, cuentas bancarias.
- Datos de salud, de menores o cualquier categoría especial.
- Credenciales, claves, tokens.
- Documentos sujetos a confidencialidad contractual.
- Código o información no publicada que sea el núcleo del negocio.
Y la contrapartida útil: cómo se trabaja con esos casos sin bloquearse. Sustituir nombres por códigos antes de pegar el texto, trabajar con el documento seudonimizado y reponer los datos al final. Un minuto de trabajo que elimina la mayor parte del riesgo.
3. Qué se revisa siempre antes de usarlo
Todo lo que salga hacia fuera —un cliente, una publicación, un organismo— lo lee una persona. Y toda cifra que vaya a un documento oficial se calcula y se comprueba con la herramienta que corresponde. La IA redacta el borrador; no firma.
4. Qué se etiqueta
Cuándo hay que indicar que un contenido se ha generado con asistencia de IA. Para contenido dirigido a clientes es, además de honesto, una obligación creciente.
5. Quién responde de las dudas
Una persona con nombre. Una política sin destinatario para las preguntas se convierte en un documento que nadie consulta.
La obligación que ya está aplicándose en Europa
El Reglamento europeo de IA incorpora un deber de alfabetización en IA: los proveedores y responsables del despliegue de sistemas de IA deben adoptar medidas para garantizar un nivel suficiente de conocimientos en su personal, teniendo en cuenta su formación, su contexto y las personas sobre las que se usan los sistemas.
Conviene ser preciso sobre su alcance, porque circula mucha alarma: es una obligación de medios —formar—, no un régimen sancionador directo por ese artículo. Y el calendario general del Reglamento se modificó con el paquete europeo de simplificación digital, así que las fechas concretas hay que mirarlas en la norma vigente y no en un artículo de hace un año.
El estado actual, con lo que ya obliga y lo que se aplazó, está en el reglamento de IA en España.
La lectura práctica: una empresa pequeña cumple esta parte con formación básica documentada y una política escrita. No hace falta un programa de cumplimiento sofisticado; hace falta poder demostrar que se hizo algo y cuándo.
Los tres errores al escribirla
- Copiar una plantilla de internet. Se nota, no encaja con tus herramientas y nadie la lee.
- Escribirla en jurídico. Si el equipo no la entiende, no la aplica. Frases cortas y ejemplos reales de tu día a día.
- Publicarla y olvidarla. Sin formación breve y sin revisión periódica, en seis meses la lista de herramientas aprobadas está obsoleta.
Cómo implantarla en una semana
- Pregunta qué se está usando ya, sin sanciones. Necesitas el mapa real, no el oficial.
- Elige una o dos herramientas y contrata las cuentas corporativas, con sus condiciones de tratamiento revisadas.
- Escribe las dos páginas con las cinco secciones de arriba.
- Haz una sesión de una hora con casos reales del equipo. Deja constancia de quién asistió y cuándo.
- Revísala cada seis meses, o antes si cambian las herramientas.
Si esto es tu caso
La política escrita a medida de tus herramientas, la sesión de formación y la constancia documental son formación en IA para equipos; el enfoque de qué enseñar primero está en qué enseñar y en qué orden. Si además tratas datos de clientes con IA, la parte legal está en cumplimiento de IA y datos y en usar IA con datos de clientes sin saltarse la ley.
Y para decidir en qué tareas conviene usarla —y en cuáles no—, diez usos reales de la IA generativa.
Somos Mindset & Code: automatización, datos y desarrollo para pymes y autónomos. Puedes ver qué hacemos y a qué precio.
Fuentes: Reglamento (UE) 2024/1689 por el que se establecen normas armonizadas en materia de inteligencia artificial, artículo 4 (alfabetización en materia de IA); su calendario de aplicación fue modificado con posterioridad y debe consultarse en la versión vigente. Guía informativa, no sustituye asesoramiento jurídico.