Política de uso de IA: qué debe incluir y cómo redactarla

Por Kike Gandia · Co-Fundador y CEO, OSCP

La mayoría de empresas descubre que necesita una política de uso de IA el día que alguien pega un contrato entero en un chatbot público. Para entonces el dato ya ha salido. Una política de uso de IA no es un documento legal defensivo: es la lista de reglas que permite a tu equipo usar estas herramientas —que va a usar igualmente— sin convertir cada consulta en una fuga de información. Esta guía explica qué debe contener, qué decisiones hay que tomar antes de escribirla y por qué las prohibiciones genéricas no funcionan.

Por qué una prohibición general no funciona

La primera reacción de muchas direcciones es prohibir ChatGPT en el trabajo. En la práctica eso no elimina el uso: lo desplaza al móvil personal, donde ya no hay ni registro ni control. El resultado es peor que el punto de partida, porque la empresa pierde toda visibilidad sobre qué información está saliendo y a través de qué herramienta.

Una política que funciona parte de una premisa distinta: el equipo va a usar IA porque le ahorra tiempo real. El objetivo no es impedirlo, sino definir con qué herramientas, con qué datos y con qué supervisión. Una política permisiva y clara se cumple; una prohibitiva y absoluta se ignora en silencio.

La decisión central: qué datos pueden salir de la organización

Todo lo demás se deriva de esta clasificación. La forma más práctica de plantearla es por niveles, mapeando cada nivel contra el tipo de herramienta permitida.

Nivel de dato	Ejemplos	Herramienta permitida
Público	Notas de prensa, contenido ya publicado, documentación abierta	Cualquier herramienta, incluidas cuentas gratuitas
Interno	Actas, borradores, procedimientos internos, material de formación	Solo cuentas corporativas con retención desactivada
Confidencial	Contratos, datos de clientes, nóminas, código fuente propietario	Solo despliegue con acuerdo de tratamiento y sin entrenamiento sobre tus datos
Regulado	Datos de salud, datos financieros de terceros, datos de menores	No sale de la organización: modelo autoalojado o nada

La política debe nombrar los niveles con el vocabulario que ya use tu empresa. Si ya tienes una clasificación de la información para ISO 27001 o el ENS, reutilízala en lugar de inventar una paralela: dos taxonomías compitiendo garantizan que no se aplique ninguna.

Los siete puntos que no pueden faltar

1. Herramientas aprobadas, con nombre y versión concreta. "Herramientas de IA corporativas" no es una lista: nadie sabe si su plugin nuevo entra.
2. Qué datos no salen nunca, con ejemplos literales del negocio, no categorías abstractas.
3. Quién aprueba una herramienta nueva y en cuánto tiempo responde. Sin un plazo, el proceso se salta.
4. Obligación de revisión humana de cualquier salida de IA que llegue a un cliente o a una decisión.
5. Marcado de contenido generado cuando se publica o se entrega a terceros.
6. Qué hacer si alguien mete un dato que no debía: un canal sin castigo. Si notificar un error se paga con una sanción, nadie notifica.
7. Fecha de revisión. El panorama de herramientas cambia cada trimestre; una política sin fecha de caducidad envejece en meses.

Errores habituales al redactarla

El más común es copiar una plantilla genérica de internet y publicarla sin adaptarla: acaba prohibiendo herramientas que el equipo ya usa a diario, con lo que la política nace incumplida y pierde autoridad para todo lo demás.

El segundo es escribirla solo desde legal, sin hablar con quien usa las herramientas. Una política que ignora los flujos de trabajo reales genera excepciones informales desde el primer día.

El tercero es no acompañarla de formación. Un documento en el gestor documental no cambia comportamientos; una sesión de media hora con ejemplos concretos del propio negocio, sí. Por eso la política y la formación van juntas o no funcionan.

Relación con el AI Act y con el RGPD

Una política de uso de IA no equivale a cumplir el AI Act, pero es su prerrequisito operativo: sin saber qué herramientas usa tu organización y para qué, no puedes clasificar tus sistemas por nivel de riesgo ni demostrar supervisión humana ante nadie.

Con el RGPD la relación es más directa: si un empleado pega datos personales de clientes en un chatbot público, eso es una comunicación de datos a un tercero sin base jurídica ni acuerdo de tratamiento. La política es el control organizativo que evita ese escenario, y es exactamente el tipo de medida que un auditor espera ver documentada.

FAQ

¿Necesita una política de uso de IA una empresa de 10 personas?

Sí, y probablemente es más fácil que en una grande. En un equipo pequeño basta con una página: lista de herramientas aprobadas, tres reglas sobre qué datos no salen, y a quién se pregunta ante la duda. El tamaño no cambia el riesgo de que alguien pegue un contrato en un chatbot; solo cambia cuánto papel hace falta para evitarlo.

¿Es suficiente con usar la versión de pago de ChatGPT o Copilot?

Ayuda, pero no resuelve la política. Los planes empresariales suelen no entrenar con tus datos y permiten desactivar la retención, lo que cubre una parte del riesgo contractual. No cubren quién decide qué se puede pegar, quién revisa la salida antes de que llegue a un cliente, ni qué pasa con los datos regulados. La herramienta es una pieza; la política es el marco.

¿Cada cuánto hay que revisar la política?

Al menos cada seis meses, y siempre que se apruebe una herramienta nueva o cambien las condiciones de tratamiento de una existente. Los proveedores de IA modifican sus términos con frecuencia, y una política que autoriza una herramienta bajo condiciones que ya no aplican es peor que no tenerla, porque genera una falsa sensación de control.

¿Quién debe firmar y aprobar la política?

Dirección, porque implica aceptar un nivel de riesgo, con participación de quien lidere IT o seguridad y de al menos un responsable de las áreas que más van a usarla. Si la firma solo legal, el resultado suele ser un documento correcto que nadie aplica.