Política de uso de IA en la empresa: qué escribir y qué exige la norma

Tu equipo ya está usando inteligencia artificial. Con política o sin ella, alguien pegó ayer un contrato en un chat para que se lo resumiera, alguien redactó una oferta con un asistente y alguien más subió un CSV con datos de clientes. La pregunta no es si se usa, es si sabes con qué datos se está usando y si podrías demostrarlo si te lo preguntan.

Una política de uso de IA no es un documento de veinte páginas. Es una hoja que responde a cuatro preguntas —qué herramientas, con qué datos, quién aprueba y quién revisa— y un registro que demuestre que la gente la conoce.

Lo que sigue es un resumen divulgativo con fecha de agosto de 2026, no asesoramiento jurídico. Para decisiones concretas, consulta a quien lleve el asunto legal en tu organización.

Por qué dos páginas evitan casi todos los problemas

Los incidentes que se ven en las empresas casi nunca vienen de un algoritmo sofisticado. Vienen de cuatro cosas mundanas:

• Datos donde no debían estar. Información personal o confidencial pegada en una herramienta que nadie ha revisado.
• Salida no revisada. Una cifra inventada que llega al cliente en un informe con el logo de la empresa.
• Herramientas en la sombra. Quince suscripciones personales que nadie ha inventariado y que se van con la persona cuando se marcha.
• Decisiones sin trazabilidad. Un descarte en un proceso de selección o una denegación de crédito sin poder explicar cómo se llegó ahí.

Los cuatro se previenen con reglas cortas y comprobables. Ninguno se previene con un documento largo que nadie lee.

Qué exige la norma a día de hoy

En la Unión Europea conviven dos marcos que se aplican a la vez: el Reglamento de IA y el Reglamento general de protección de datos. Cumplir uno no implica cumplir el otro. Las fechas que importan para una empresa que usa IA —no que la fabrica— son estas:

Dos consecuencias prácticas. La primera: el aplazamiento del alto riesgo no aplaza lo que afecta a la mayoría de las empresas, que es la transparencia, la formación y las prohibiciones. La segunda: si usas IA en selección de personal, evaluación del desempeño, concesión de crédito o acceso a servicios esenciales, estás mirando la casilla de alto riesgo y esa conversación es más larga que esta guía.

En España la supervisión del reglamento recae en la AESIA, y la protección de datos sigue siendo competencia de la AEPD. Las sanciones del reglamento llegan, en el tramo más grave de las prácticas prohibidas, hasta el 7% de la facturación mundial anual. La cifra impresiona y casi nunca es el riesgo real de una pyme; el riesgo real es un cliente que te pregunta qué hiciste con sus datos y no tener respuesta.

Paso 1: inventario de lo que ya se usa

Antes de redactar nada, averigua qué hay. Se hace con una pregunta abierta y sin sanción, porque en cuanto huele a auditoría la gente deja de contarlo:

«Estamos ordenando el uso de herramientas de IA. Dinos qué usas, para qué y si es cuenta personal o de empresa. No hay problema por lo que digas; sí lo habrá por lo que no sepamos.»

Cruza las respuestas con dos fuentes objetivas: los gastos en tarjeta y, si es posible, las aplicaciones conectadas a las cuentas corporativas. Es normal encontrar el triple de herramientas de las que pensabas. También es normal descubrir que la mitad del uso está en una tarea que nadie sabía que se hacía a mano.

Paso 2: clasificar los datos, no las herramientas

El error más común es escribir la política como una lista de herramientas permitidas. Se queda obsoleta en un mes. Lo que aguanta es una clasificación de datos, porque los datos no cambian de nombre cada trimestre. Tres niveles bastan:

Una regla que la gente recuerda de verdad: si no lo enviarías por correo a un proveedor externo sin pensarlo, no lo pegues en una IA. No es jurídicamente exhaustiva, pero acierta en el 95% de los casos y se retiene después de una sola lectura, que es más de lo que consigue la mayoría de las políticas.

Paso 3: la lista de herramientas aprobadas

Corta y con nombre y apellidos. Para cada herramienta, cuatro datos: para qué se aprueba, con qué nivel de datos, qué plan (el de empresa y el de consumo no tienen las mismas condiciones) y quién es el responsable interno. Añade una fila de «pendientes de evaluación» para que pedir una nueva sea un trámite de días y no una batalla.

Lo que aquí se decide de verdad es el camino de entrada: si aprobar una herramienta tarda tres meses, la política ya ha fracasado, porque el trabajo no espera. Un formulario de cinco preguntas y una respuesta en una semana mantiene el sistema vivo.

Paso 4: quién aprueba y quién responde

Tres papeles, que en una empresa pequeña pueden recaer en dos personas:

• Responsable de la política. La mantiene, la revisa cada seis meses y decide en las dudas. Con nombre, no «el comité».
• Aprobador de herramientas. Da el sí o el no sobre una petición nueva, con criterios escritos: qué datos toca, qué dice el contrato del proveedor, dónde se alojan los datos.
• Revisor de la salida. Quien firma el trabajo. Aquí está la regla que evita el 90% de los incidentes visibles: ningún resultado generado por IA sale de la empresa sin que una persona con criterio lo haya leído y se haga responsable.

Y una regla para los agentes, que es lo que viene ahora: cuanta más autonomía tiene un sistema, más importa qué permisos le has dado. Un asistente que solo lee es un riesgo de confidencialidad; uno que puede escribir, borrar o enviar es un riesgo operativo. La lógica de acotar permisos está desarrollada en qué es un agente de IA y en los controles de automatizar tareas con IA.

Paso 5: formación y registro

La obligación de alfabetización en IA no exige un máster: exige que quien usa estos sistemas entienda lo que hace, sus límites y sus riesgos, de forma proporcionada al puesto. Lo que el artículo 4 dice exactamente y lo que se te puede pedir como evidencia está desglosado en la guía del AI Act para empresas. En la práctica, y para poder demostrarlo:

1. Una sesión de una hora por área, con ejemplos de su trabajo real y no diapositivas genéricas.
2. Un documento de dos páginas —el que sale del apartado siguiente— enviado y con acuse de lectura.
3. Un registro sencillo: quién asistió, cuándo, qué versión de la política, qué herramientas estaban aprobadas en esa fecha. Una hoja de cálculo cumple.
4. Una revisión semestral con fecha en el calendario. Sin fecha no ocurre.

Para el contenido de esa sesión de una hora, lo que mejor funciona no es explicar cómo funciona un modelo, sino repasar los fallos concretos que la gente ya está cometiendo y la comprobación que los evita. Están recogidos en la guía de errores al usar IA en el trabajo, con las señales por las que se detecta cada uno. Conviene añadir un punto más si en algún proceso interno se usa un detector automático: por qué su resultado no puede ser concluyente por sí solo está explicado en qué detectan los detectores de IA.

Plantilla de una página para copiar

Adáptala, ponle nombres y fechas, y hazla circular:

Política de uso de IA — [Empresa] — v1, [fecha]

1. Alcance. Aplica a toda persona que trabaje para [Empresa], incluidos colaboradores externos, cuando use sistemas de IA para tareas de la empresa.

2. Herramientas aprobadas. [Lista con herramienta, uso, nivel de datos y responsable]. Para usar cualquier otra, solicítalo a [nombre] mediante [formulario]. Respuesta en [5] días laborables.

3. Datos. Verde: uso libre en herramientas aprobadas. Ámbar: solo en herramientas aprobadas con plan de empresa. Rojo (datos personales, credenciales, información confidencial de clientes): prohibido sin autorización escrita de [nombre]. Regla rápida: si no lo enviarías por correo a un proveedor externo, no lo pegues en una IA.

4. Revisión. Ningún contenido generado con IA se publica ni se envía a un cliente sin revisión de una persona responsable, que responde del resultado como de cualquier otro trabajo propio. Se verifican especialmente cifras, citas, nombres y referencias legales.

5. Transparencia. [Indicar cuándo se informa al interlocutor de que interactúa con un sistema de IA y cómo se etiqueta el contenido sintético publicado].

6. Decisiones sobre personas. No se usa IA como criterio único en selección, evaluación del desempeño ni decisiones disciplinarias. Cualquier uso de apoyo en estos ámbitos requiere autorización de [nombre] y queda documentado.

7. Agentes y automatizaciones. Toda automatización que escriba, borre o envíe algo fuera de la empresa necesita aprobación previa, un responsable con nombre y un registro de lo que hace.

8. Incidentes. Si crees que se han expuesto datos indebidamente, comunícalo a [nombre/correo] el mismo día. Comunicar de buena fe no conlleva sanción; ocultarlo, sí.

9. Formación. Toda persona incluida en el alcance completa la sesión de alfabetización en IA antes de usar estas herramientas para trabajo con datos ámbar o rojos.

9 bis. Datos de clientes. Antes de pegar nada que identifique a una persona, se sustituye por marcadores. El criterio completo, con los cuatro cajones de clasificación y el umbral que la AEPD marca para los agentes, está en cómo usar IA sin filtrar datos de clientes.

10. Vigencia. Revisión cada seis meses. Responsable: [nombre]. Próxima revisión: [fecha].

Errores que convierten la política en papel mojado

1. Escribirla como un documento legal. Si hace falta un abogado para saber si puedes pegar un correo de cliente, nadie la consultará: preguntarán al compañero de al lado.
2. Prohibir sin ofrecer alternativa. El uso no desaparece, se esconde. Y lo que se esconde no se puede supervisar.
3. Listar herramientas sin clasificar datos. La lista caduca; la clasificación aguanta años.
4. No poner nombres. «El área correspondiente aprobará» significa que nadie aprueba y que todo el mundo improvisa.
5. Olvidar a los agentes. Casi todas las políticas están escritas pensando en un chat, cuando el cambio de escala viene de sistemas que actúan solos. Los permisos son la parte que hay que revisar.
6. Redactarla y no volver a mirarla. Sin revisión semestral, en un año la política describe herramientas que ya nadie usa y no menciona las que usa todo el mundo.