Plantilla de política de uso de IA para pymes (con plan de implementación en dos semanas)

En esta página 11

1. Qué debe incluir una política de uso de IA
2. Por qué una pyme necesita una política de IA (aunque sean cinco personas)
3. Cuatro decisiones que debes tomar antes de completar la plantilla
4. La plantilla de política de uso de IA
5. Cómo adaptar la plantilla a tu negocio
6. Qué revisar según tu país o región
7. Cómo implementarla: un plan sencillo de dos semanas
8. Tarjeta de referencia rápida para el equipo
9. Cómo mantener la política al día
10. Errores comunes que conviene evitar
11. Cuándo pedir asesoría legal o profesional

La respuesta corta

Una política de uso de IA es un documento breve que le indica a tu equipo qué herramientas de inteligencia artificial puede usar en el trabajo, para qué puede usarlas, qué datos puede introducir en ellas y quién revisa el resultado. Para un equipo de 1 a 50 personas, todo cabe en dos a cuatro páginas. Si antes tomas las cuatro decisiones que explicamos más abajo, completar la plantilla en una tarde es realista.

• Incluye un semáforo de datos (verde, amarillo y rojo) con una excepción controlada para datos personales.
• Trae un registro de herramientas aprobadas, una tarjeta de una página para el equipo y un plan de implementación en dos semanas.
• Es un punto de partida, no asesoría legal.

Qué debe incluir una política de uso de IA

También la verás como política de uso aceptable de IA, política de IA generativa para empleados o, simplemente, «política de ChatGPT». En una pyme, normalmente son lo mismo.

Debe cubrir:

• Herramientas aprobadas: cuáles se permiten y con qué cuentas.
• Reglas de datos: qué puede y qué no puede introducirse en una herramienta. La plantilla usa un semáforo: verde, amarillo y rojo.
• Usos permitidos: para qué animas al equipo a usar la IA.
• Usos prohibidos: lo que queda fuera de los límites.
• Revisión humana: quién revisa lo que produce la IA y cómo.
• Transparencia con clientes: cuándo informas a los clientes de que se usó IA.
• Cuentas y seguridad: cuentas de empresa, autenticación multifactor, retirada de accesos.
• Gestión de incidentes: qué hacer cuando algo sale mal.
• Fecha de revisión: cuándo se vuelve a revisar la política.

La política de ejemplo completa que encontrarás más abajo está pensada para editarla, no para adoptarla palabra por palabra.

Por qué una pyme necesita una política de IA (aunque sean cinco personas)

Los riesgos de usar IA no se reducen con el tamaño del equipo. Una empresa de cinco personas puede exponer los datos de un cliente con la misma facilidad que una grande. Solo que hay menos gente para darse cuenta.

Es probable que tu equipo ya use IA

Muchas personas prueban por su cuenta chatbots como ChatGPT, Claude, Gemini o Microsoft Copilot, a menudo con cuentas personales. A esto a veces se le llama «IA en la sombra» (shadow AI).

Rara vez hay mala intención: la gente quiere trabajar más rápido. Una política saca ese uso a la luz para que puedas verlo y orientarlo.

Los riesgos que la política ayuda a controlar

Riesgo con los datos. Cuando alguien pega el correo de un cliente o una hoja de cálculo en una herramienta, esos datos llegan a un tercero. Según la herramienta, el plan y la configuración, el proveedor puede almacenarlos, hacer que personas los revisen o usarlos para mejorar sus modelos. Los planes gratuitos y personales pueden tratar los datos de forma distinta a los planes para empresas, y estas condiciones cambian con el tiempo.

Riesgo de errores. Las herramientas de IA generativa, incluidas las basadas en grandes modelos de lenguaje (LLM), pueden dar respuestas que suenan seguras y son incorrectas. Se las suele llamar «alucinaciones». Cifras inventadas, fuentes que no existen y afirmaciones legales equivocadas son ejemplos típicos. Alguien tiene que hacerse cargo de la revisión final.

Riesgo contractual y con clientes. Algunos contratos con clientes y acuerdos de confidencialidad (NDA) limitan compartir información con servicios de terceros. Pegar el documento de un cliente en una herramienta de IA podría incumplir esas condiciones aunque no haya ninguna filtración.

Incertidumbre sobre propiedad intelectual. No está resuelto si el contenido generado con IA puede tener dueño, ni si puede reproducir obras de otras personas. Además, la respuesta cambia según el país.

También es un permiso

Una buena política no es solo una lista de prohibiciones. Le dice al equipo con claridad qué sí puede hacer, lo que elimina dudas y fomenta hábitos útiles y seguros.

Cuatro decisiones que debes tomar antes de completar la plantilla

La plantilla depende de cuatro elecciones. Tómalas primero y completar los corchetes será fácil.

1. ¿Qué herramientas vas a aprobar?

Haz una lista de las herramientas que la gente ya usa y de las que quieres que use. Decide si vas a pagar planes para empresas o para equipos.

Los planes para empresas suelen ofrecer más control de administración y condiciones de datos distintas, pero revisa las condiciones actuales de cada proveedor en lugar de darlo por hecho. Si todavía estás eligiendo, nuestra guía sobre cómo elegir una IA para redactar en tu negocio repasa los criterios y propone una prueba corta.

Un punto de partida práctico para muchos equipos pequeños es un asistente de uso general con plan para empresas, más las funciones de IA que ya traen los programas que usas.

2. ¿Cuáles son tus datos rojos y hay excepciones?

Los datos rojos son la información que no debe entrar en herramientas de IA. Escribe tu propia lista. Suele incluir datos personales de clientes y empleados, contraseñas y claves, datos de pago, información de salud y todo lo que esté bajo un acuerdo de confidencialidad. Tu sector puede añadir más.

Después, sé realista sobre cómo trabajas. Una IA que toma notas en reuniones escucha nombres y voces. La IA integrada en tu correo lee los mensajes de los clientes. Ambas tratan datos personales.

Decide si alguna herramienta concreta puede manejar datos personales en condiciones controladas:

Decisión rápida

• Sí, alguna herramienta concreta puede manejarlosmárcala como excepción en el registro de la plantilla.
• No, ningunamantén los datos personales en rojo en todas partes y elimina esos usos de la política.

Las dos opciones son válidas. Lo que no funciona es una regla que contradice el trabajo diario, porque la gente simplemente la ignorará.

3. ¿Quién será la persona responsable de IA?

Nombra a una persona. En una pyme suele ser el dueño o la dueña, quien lleva las operaciones o quien gestiona la oficina.

Esta persona aprueba herramientas, responde dudas, gestiona incidentes y dirige las revisiones. No hace falta que tenga perfil técnico; basta con que sea organizada y que de verdad lo haga.

4. ¿Cuál es tu postura sobre informar a los clientes?

Decide si vas a informar a los clientes del uso de IA siempre, solo cuando lo pidan o sea obligatorio, o para ciertos tipos de trabajo. La plantilla te da tres opciones para elegir.

La plantilla de política de uso de IA

---

INICIO DE LA PLANTILLA

Política de uso aceptable de IA de [Nombre de la empresa]

• Versión: [1.0]
• Fecha de entrada en vigor: [DD/MM/AAAA]
• Última actualización: [DD/MM/AAAA]
• Responsable de la política (responsable de IA): [Nombre, cargo, correo]
• Próxima revisión: [DD/MM/AAAA]

1. Objetivo y alcance

En [Nombre de la empresa] queremos que todas las personas usen herramientas de IA cuando nos ayuden a trabajar mejor y más rápido. Esta política explica cómo hacerlo de forma segura. Protege a nuestros clientes, a nuestros compañeros y al negocio.

A quién se aplica: a todos los empleados, colaboradores externos, freelancers y pasantes o becarios que trabajen para [Nombre de la empresa].

Qué cubre: cualquier herramienta de IA generativa que se use para trabajar. Esto incluye:

• chatbots y asistentes de IA;
• asistentes de redacción y corrección;
• generadores de imágenes, audio y video;
• asistentes de programación;
• herramientas de IA para tomar notas en reuniones y de transcripción;
• funciones de IA integradas en programas que ya usamos, como el correo, los documentos, el CRM y las herramientas de reuniones;
• extensiones del navegador que usan IA.

Se aplica en los dispositivos de la empresa y en los dispositivos personales que se usen para trabajar.

2. Términos clave

• Herramienta de IA generativa: software que crea texto, imágenes, audio, video o código a partir de instrucciones.
• Prompt (instrucción): lo que escribes, subes o dices a la herramienta. Resultado: lo que la herramienta produce.
• Datos personales: cualquier información sobre una persona identificable, como un nombre, un correo, un teléfono, una dirección, una grabación de voz o un número de identificación. Algunos tipos, como la información de salud, son especialmente sensibles (el RGPD europeo los llama «categorías especiales de datos»; en otras leyes verás el término «datos sensibles»).
• Información confidencial: todo lo que no es público sobre nuestro negocio o nuestros clientes, incluido lo que esté cubierto por un acuerdo de confidencialidad o un contrato.
• Herramienta aprobada: una herramienta que figura en el registro de la sección 3, usada con el tipo de cuenta indicado ahí.
• Datos verdes, amarillos y rojos: los tres niveles de datos definidos en la sección 4.

3. Herramientas aprobadas y cómo solicitar una nueva

Para trabajar, usa solo las herramientas de la lista aprobada. Usa la cuenta gestionada por la empresa, no una personal.

Una cuenta de un espacio de trabajo gestionado por la empresa, como el paquete de correo y documentos que [Nombre de la empresa] paga y administra, cuenta como cuenta de empresa a efectos de las reglas de datos de la sección 4. Una cuenta personal o gratuita que abriste por tu cuenta no cuenta.

La columna «¿Permite datos personales?» indica las únicas herramientas que pueden manejar datos personales (ver sección 4). Si dice No, trata los datos personales como rojos en esa herramienta.

Para solicitar una herramienta nueva, escribe a [responsable de IA] a [correo] con el nombre de la herramienta, para qué quieres usarla y qué datos manejaría. La persona responsable de IA revisa las condiciones de datos, el costo y la configuración de seguridad antes de aprobarla. No empieces a usar una herramienta para trabajar hasta que esté en la lista.

Registro de herramientas aprobadas

4. Reglas de datos: verde, amarillo, rojo

Antes de introducir cualquier cosa en una herramienta de IA, revisa esta tabla. Regla rápida: si no lo publicarías en un foro público, no es verde. Si tienes dudas, trátalo como rojo y pregunta a [responsable de IA].

Excepción controlada para datos personales. Los datos personales de clientes o empleados solo pueden introducirse en herramientas que el registro marca con «¿Permite datos personales?: Sí». Una herramienta solo recibe un Sí si se usa con una cuenta de empresa y [responsable de IA] ha revisado las condiciones de tratamiento de datos y la configuración del proveedor.

Ejemplos: [la IA integrada en nuestro correo], [nuestra herramienta aprobada de notas en reuniones]. Incluso así, usa solo los datos personales que la tarea necesita y solo para los usos aprobados en el registro.

Siempre rojo, en cualquier herramienta y sin excepciones:

• contraseñas, claves de API y códigos de acceso;
• datos bancarios, de tarjetas o de cuentas financieras;
• información de salud y otros datos especialmente sensibles;
• todo lo cubierto por un acuerdo de confidencialidad o por un contrato con un cliente que limite compartirlo [salvo que el cliente lo haya autorizado por escrito];
• resultados financieros no publicados;
• asuntos de recursos humanos, disciplinarios o salariales.

Quitar los nombres no siempre basta. Si los detalles que quedan todavía permiten identificar a una persona o a un cliente, trátalo como rojo.

Las condiciones de uso y conservación de datos de los proveedores varían según el plan y cambian con el tiempo. La persona responsable de IA las revisa al aprobar una herramienta y en cada revisión.

5. Para qué puedes usar la IA

Te animamos a usar las herramientas aprobadas para:

• redactar y corregir correos, publicaciones en redes sociales, documentos y propuestas;
• resumir material público, verde o amarillo;
• generar ideas, titulares, esquemas y alternativas;
• tener un punto de partida para investigar, siempre que verifiques los datos en las fuentes originales;
• obtener ayuda para escribir, explicar o depurar código, dentro de las reglas de datos;
• redactar respuestas y cotizaciones o presupuestos para clientes, ya sea sin datos personales o en una herramienta que el registro aprueba para datos personales;
• tomar notas de reuniones, pero solo con una herramienta que el registro aprueba para datos personales y con todos los participantes informados y de acuerdo;
• [añade usos propios de tu negocio].

6. Para qué no debes usar la IA

No uses herramientas de IA para:

• introducir datos rojos, salvo datos personales en una herramienta que el registro aprueba para ello (sección 4);
• tomar decisiones finales sobre personas, como contratar, despedir, fijar sueldos, conceder crédito o fijar precios individuales, sin que una persona las revise y se responsabilice de ellas;
• crear contenido engañoso, suplantar a cualquier persona o crear deepfakes o contenido sintético de personas reales;
• presentar resultados de IA como hechos verificados o como asesoría profesional sin revisarlos;
• saltarte controles de seguridad o instalar extensiones o complementos de IA no aprobados;
• crear contenido que infrinja derechos de terceros o las condiciones de uso de la herramienta;
• grabar o transcribir reuniones o llamadas sin el consentimiento de los participantes.

7. Revisión humana y exactitud

Una persona revisa todo lo que se produce con ayuda de IA. Quien usa la IA es responsable del resultado. Antes de usar cualquier resultado:

• comprueba nombres, cifras, fechas, citas y referencias con una fuente fiable;
• revisa con especial cuidado todo lo legal, médico, financiero o relacionado con la seguridad;
• asegúrate de que suena como nosotros y es adecuado para el público.

El trabajo de mayor riesgo pasa por una segunda revisión de [cargo o nombre] antes de enviarse. Esto incluye entregables para clientes, contenido publicado, contratos y todo lo que tenga precios o compromisos.

Cuando sea práctico, guarda el prompt o el material de origen junto con el trabajo, para poder rastrear cómo se produjo.

8. Transparencia con clientes y con el público

[Elige una opción y borra las demás.]

• Opción A: Informamos a los clientes cuando las herramientas de IA han ayudado a producir cualquier entregable.
• Opción B: Informamos a los clientes del uso de IA cuando lo preguntan o cuando un contrato lo exige.
• Opción C: Siempre informamos del uso de IA en [imágenes generadas con IA / artículos publicados / otras categorías] y, en lo demás, cuando nos lo piden.

En todos los casos, mandan las condiciones del contrato con el cliente. Etiqueta las imágenes, el audio y el video generados con IA cuando sea relevante para el público.

9. Propiedad intelectual y derechos de autor

La normativa sobre derechos de autor y material generado con IA no está resuelta y varía según el país. Por eso:

• no des por hecho que somos dueños absolutos de lo que produce la IA; consulta a [responsable de IA] antes de contar con ello en un trabajo importante;
• no pidas a las herramientas que imiten obras protegidas concretas, ni el estilo de artistas vivos, para uso comercial [ajústalo a tu postura];
• cuando sea posible, revisa el texto y el código generados en busca de fragmentos que parezcan copiados de otra fuente;
• respeta las condiciones del cliente sobre quién es dueño del trabajo y si se puede usar IA en él.

10. Cuentas, accesos y seguridad

• Usa solo cuentas de empresa para trabajar. Nada de cuentas personales de IA con material de la empresa o de clientes.
• Activa la autenticación multifactor (MFA). Usa el inicio de sesión único (SSO) donde lo tengamos.
• No compartas tus credenciales de acceso.
• [Responsable de IA] retira los accesos cuando alguien se va o cambia de puesto.
• Al configurar una herramienta, revisa sus opciones de datos, historial y entrenamiento, y anótalas en el registro.
• Ten cuidado con las herramientas o extensiones de IA que se conectan al correo, al almacenamiento de archivos o al calendario. Concede solo el acceso mínimo necesario y consulta antes a [responsable de IA].

11. Cómo comunicar errores e incidentes

Los errores pasan. Importa más la rapidez que buscar culpables.

Si se introdujeron datos rojos en una herramienta no aprobada para ellos, o si un resultado de IA dañino o erróneo llegó a un cliente o al público, avisa a [responsable de IA] en un plazo de [24 horas]. Usa [correo / teléfono / canal de chat].

La persona responsable de IA:

1. registrará qué pasó, cuándo y qué herramienta y datos estuvieron implicados;
2. borrará la conversación o el archivo si la herramienta lo permite, y revisará las opciones de eliminación del proveedor;
3. evaluará de inmediato si se trata de una brecha de seguridad de datos personales que podría tener que notificarse a la autoridad de protección de datos, con asesoría si hace falta (algunas leyes fijan plazos cortos para esto);
4. informará al cliente si el contrato o la situación lo exigen;
5. actualizará esta política o la capacitación si eso ayuda a evitar que se repita.

Comunicar un error a tiempo no se tratará como una falta disciplinaria. Ocultarlo sí puede serlo.

12. Capacitación, cumplimiento, revisión y confirmación de lectura

• Las personas que se incorporan reciben una breve explicación de esta política durante su primera [semana].
• Los incumplimientos se gestionan según [nuestro reglamento interno / el contrato de prestación de servicios].
• Esta política se revisa cada [6 meses], y antes si cambian las herramientas, las condiciones de los proveedores, los requisitos de los clientes o las leyes.

Confirmación de lectura

He leído y entendido la Política de uso aceptable de IA de [Nombre de la empresa], versión [1.0].

Nombre: ______________________

Firma: ______________________

Fecha: ______________________

FIN DE LA PLANTILLA

---

Cómo adaptar la plantilla a tu negocio

La plantilla sirve como base para la mayoría de las pymes. Algunos sectores necesitan reglas más estrictas en puntos concretos.

Versión de una página para freelancers e independientes

Si trabajas por tu cuenta, no necesitas doce secciones. Escribe una página con:

1. Mis herramientas: las herramientas de IA que uso, con qué plan, la configuración que he revisado y cuáles (si alguna) permito que manejen datos personales.
2. Mis datos rojos: lo que nunca introduzco en herramientas de IA, incluidos todos los datos de clientes bajo acuerdo de confidencialidad.
3. Mi regla de revisión: compruebo cada dato, cifra y referencia antes de entregar.
4. Qué les digo a mis clientes: por ejemplo, «Uso herramientas de IA como apoyo para redactar e investigar. Reviso y edito personalmente todo el trabajo, y nunca introduzco tu información confidencial en ellas».
5. Si algo sale mal: aviso al cliente cuanto antes y sigo lo que diga el contrato.

Guárdala en un lugar desde donde puedas compartirla con los clientes que te la pidan.

Qué revisar según tu país o región

España y resto de la UE

• RGPD y LOPDGDD: el RGPD se aplica a los datos personales que introduces en herramientas de IA; en España se complementa con la LOPDGDD. Si un proveedor trata datos personales por cuenta tuya, estas normas en general exigen un contrato por escrito con él (contrato de encargo del tratamiento, a menudo llamado DPA o data processing agreement). Es una de las cosas que la persona responsable de IA debe buscar antes de marcar una herramienta con «¿Permite datos personales?: Sí».
• Reglamento de IA de la UE: el Reglamento de Inteligencia Artificial (Reglamento (UE) 2024/1689) entró en vigor en agosto de 2024. Su obligación de alfabetización en materia de IA (artículo 4) se aplica desde el 2 de febrero de 2025 a las organizaciones que usan sistemas de IA. En la práctica, implica tomar medidas para que tu equipo entienda las herramientas que usa, algo que una política y una breve sesión de capacitación te ayudan a demostrar.
• Autoridad en España: la Agencia Española de Protección de Datos (AEPD) es la autoridad de control y publica guías y recursos sobre protección de datos.

Latinoamérica

Cada país tiene su propia ley de protección de datos personales y su propia autoridad de control, y estas normas se reforman con el tiempo. Confirma con un asesor local qué norma está vigente en tu país y qué te exige, sobre todo si contratas proveedores de IA ubicados en otros países.

Si tienes clientes u operaciones en EE. UU. o el Reino Unido

• EE. UU.: ten en cuenta las leyes estatales de privacidad, como la CCPA de California, y la guía para empresas de la FTC (en inglés), que cubre las afirmaciones engañosas, incluidas las relacionadas con la IA.
• Reino Unido: se aplica el UK GDPR, y la autoridad de protección de datos (ICO) publica orientación sobre IA y protección de datos (en inglés).

Para profundizar

El Marco de Gestión de Riesgos de IA del NIST (en inglés) es voluntario y más detallado de lo que necesita la mayoría de las pymes, pero es una referencia útil si quieres ir más a fondo.

Cómo implementarla: un plan sencillo de dos semanas

Una política solo funciona si la gente la sigue. Este plan convierte el documento en hábitos.

Semana 1: decidir y redactar

Semana 2: presentar y hacer el cambio

Tarjeta de referencia rápida para el equipo

Cópiala, añade los nombres y ponla donde la gente la vea.

La IA en [Nombre de la empresa]: versión rápida

Sí:

1. Usa herramientas aprobadas con tu cuenta de la empresa.
2. Mira el semáforo antes de pegar cualquier cosa.
3. Quita nombres e identificadores del material amarillo.
4. Comprueba cada dato, cifra, cita y referencia antes de usar el resultado.
5. Pregunta a [responsable de IA] si tienes dudas o quieres probar una herramienta nueva.

No:

1. No introduzcas datos rojos en herramientas de IA. Los datos personales solo van en herramientas que el registro aprueba para ellos.
2. No uses cuentas personales de IA para trabajar.
3. No instales extensiones de IA en el navegador sin aprobación.
4. No grabes ni transcribas reuniones sin consentimiento.
5. No dejes que la IA tome decisiones finales sobre personas.

Semáforo:

• Verde: información pública, tus propios borradores, preguntas genéricas. Permitido en herramientas aprobadas.
• Amarillo: material interno o de clientes sin nombres. Solo en herramientas aprobadas con cuenta de empresa.
• Rojo: datos personales, contraseñas, datos de pago, información de salud, material bajo acuerdo de confidencialidad. Nunca, salvo que el registro apruebe una herramienta concreta para datos personales. Contraseñas, datos de pago, información de salud y material bajo acuerdo de confidencialidad: nunca, en ninguna herramienta.

A quién preguntar: [nombre del responsable de IA], [correo o canal de chat].

Si algo sale mal: avisa a [responsable de IA] en un plazo de [24 horas]. No intentes arreglarlo en silencio. Anota qué pasó y con qué herramienta. Avisar rápido no te traerá problemas.

Cómo mantener la política al día

Las herramientas de IA cambian rápido, así que fija una revisión periódica, por ejemplo, cada seis meses. Revisa también la política cuando ocurra cualquiera de estas situaciones:

• incorporas o dejas de usar una herramienta;
• un proveedor cambia sus condiciones, sus planes o su configuración de datos;
• un contrato con un cliente añade requisitos sobre IA;
• ocurre un incidente o algo que estuvo a punto de serlo;
• cambia una ley o una guía de la autoridad que te afecta;
• el equipo repite la misma pregunta una y otra vez, lo que suele indicar que una regla no está clara.

Trata el registro de herramientas aprobadas como un documento vivo. Actualízalo cuando algo cambie, no solo en la revisión.

Errores comunes que conviene evitar

Errores de enfoque

• Prohibir la IA por completo. A menudo no frena su uso. Lo empuja a cuentas personales, donde no tienes visibilidad ni control.
• Copiar la política de una gran empresa. Veinte páginas escritas para un departamento legal no las lee nadie. Mejor breve y concreta que completa e ignorada.
• Reglas que contradicen el trabajo real. Si la política prohíbe todos los datos personales pero el equipo depende de una IA que toma notas en reuniones, la gente ignorará la regla. Escribe una excepción controlada o deja de usar esa herramienta.
• No nombrar a un responsable. Si es responsabilidad de todos, nadie aprueba herramientas ni gestiona incidentes.

Olvidos y supuestos

• Olvidar la IA integrada. Las funciones de IA del correo, los documentos, el CRM y las herramientas de reuniones también tratan tus datos. Inclúyelas en el registro.
• Olvidar a colaboradores externos y freelancers. A menudo manejan datos de clientes y usan sus propias herramientas. Inclúyelos y pídeles que firmen.
• No actualizarla nunca. Una política que se escribe una vez y se olvida queda desfasada a medida que cambian las herramientas y las condiciones.
• Dar por hecho que un plan de pago significa que nunca se guardan los datos. Los planes de pago y para empresas pueden ofrecer mejores condiciones de datos, pero la conservación y el uso varían. Lee las condiciones actuales de cada herramienta y plan.

Cuándo pedir asesoría legal o profesional

Esta plantilla es un punto de partida, no asesoría legal. Pide a un abogado o asesor especializado que revise tu política si se da alguno de estos casos:

• Trabajas en un sector regulado, como salud, finanzas, servicios legales o educación con menores.
• Tratas datos personales a gran escala o datos especialmente sensibles, como información de salud.
• Quieres aprobar herramientas de IA para datos personales y no tienes claro si las condiciones del proveedor son suficientes.
• Tus contratos con clientes incluyen cláusulas sobre IA, tratamiento de datos o subcontratación.
• Usas o piensas usar IA en decisiones sobre personas, como contrataciones, evaluaciones de desempeño o crédito.
• Operas o tienes clientes en varios países.
• Has tenido un incidente que podría implicar una brecha de datos personales.

Si no se da ninguno de estos casos, un dueño cuidadoso suele poder completar e implementar esta política sin ayuda externa. Vuelve a plantearte esa decisión a medida que crezcan tu negocio y tu uso de la IA.

Preguntas frecuentes

¿De verdad una pyme necesita una política de uso de IA?

Si alguien de tu equipo usa herramientas de IA en el trabajo, sí. Una política breve reduce el riesgo de que datos confidenciales acaben en la herramienta equivocada y de que resultados erróneos de la IA lleguen a los clientes. Además, da al equipo un permiso claro para los buenos usos. Para un equipo pequeño bastan de dos a cuatro páginas.

¿Es obligatorio por ley tener una política de IA?

En general, no hay una única ley que exija un documento llamado «política de IA». Sin embargo, las leyes de protección de datos, las normas de cada sector y, en la UE, la obligación de alfabetización en materia de IA del Reglamento de IA pueden exigirte controlar cómo usa la IA tu equipo y asegurarte de que la entiende. Una política por escrito es una forma práctica de demostrarlo. Revisa las normas de tu país y sector con un asesor especializado.

¿Pueden los empleados usar la versión gratuita de ChatGPT u otros chatbots para trabajar?

Depende de tu política y de las condiciones del proveedor. Los planes gratuitos y personales pueden tratar los datos de forma distinta a los planes para empresas, por eso muchas empresas solo permiten herramientas gratuitas con datos verdes, como información pública y preguntas genéricas. Revisa las condiciones y la configuración actuales de cada herramienta antes de decidir.

¿Debemos informar a los clientes cuando usamos IA?

Primero, cumple lo que digan tus contratos con clientes. Si no dicen nada, elige una postura de la plantilla: informar en todos los entregables, informar cuando lo pidan o sea obligatorio, o informar en categorías concretas, como imágenes y artículos publicados. Cada vez se espera más transparencia sobre las imágenes y el contenido publicado generados con IA.

¿Qué diferencia hay entre una política de IA y una política de uso aceptable de IA?

Una política de uso aceptable se centra en lo que el equipo puede y no puede hacer con herramientas de IA. Una política de IA más amplia, o un marco de gobernanza, puede cubrir también la estrategia, las decisiones de compra y la evaluación de riesgos. En la mayoría de las pymes, un solo documento cubre ambas cosas.

¿Quién debe encargarse de la política de IA en una pyme?

Una persona con nombre y apellido, a menudo el dueño o la dueña, quien lleva las operaciones o quien gestiona la oficina. Aprueba herramientas nuevas, responde dudas, gestiona incidentes y dirige las revisiones. No necesita perfil técnico, solo ser organizada y estar disponible.

¿Qué hay que hacer si alguien pegó datos confidenciales en una herramienta de IA?

Avisar de inmediato a la persona responsable de IA y borrar la conversación si la herramienta lo permite. Después, el responsable debe evaluar rápido si es una brecha de datos personales que haya que notificar a la autoridad de protección de datos, porque algunas leyes fijan plazos cortos, e informar al cliente si el contrato o la situación lo exigen. Un sistema sin culpables anima a la gente a avisar rápido.

¿Cada cuánto hay que actualizar la política?

Fija una revisión periódica, por ejemplo, cada seis meses. Actualízala también cuando incorpores una herramienta, un proveedor cambie sus condiciones, un cliente traiga un requisito nuevo, cambie la ley o haya un incidente.

¿La política cubre las funciones de IA de los programas que ya usamos?

Debería. La IA integrada en el correo, los documentos, el CRM y las herramientas de reuniones también trata tus datos. Incluye estas funciones en el registro de herramientas aprobadas, revisa su configuración como la de cualquier otra herramienta y anota si cada una está aprobada para manejar datos personales.