Política de IA en la empresa: normas e implantación

Una política de uso de IA define los usos permitidos, los datos que puede transmitir, los controles humanos exigidos y los pasos que debe seguir ante un incidente. Para que pueda aplicarse, debe combinar normas comprensibles, una lista de herramientas aprobadas y responsables claramente identificados. Los ejemplos siguientes ofrecen una base que deberá adaptar a su actividad, sus contratos y las obligaciones aplicables.

Definir el alcance antes de redactar las normas

Empiece por describir qué abarca la política: redacción, traducción, búsqueda de información, análisis documental, generación de imágenes, asistencia al desarrollo y automatización. Incluya las funciones de IA integradas en los programas que ya utiliza, las extensiones y los servicios accesibles desde el navegador. Una función activada en un programa existente merece el mismo examen que una nueva suscripción.

Precise también a quién se aplica: empleados, directivos, personas en prácticas y proveedores que trabajan para la empresa. En el caso de colaboradores externos, incorpore los requisitos pertinentes a las instrucciones y los contratos correspondientes. Publicar las normas en la intranet no garantiza que un subcontratista las conozca.

Organice después el sistema en documentos separados:

la política establece los principios y las responsabilidades;
el catálogo indica las herramientas y los usos aprobados;
los procedimientos explican cómo solicitar una autorización o comunicar un incidente;
las fichas por área de trabajo ofrecen ejemplos de usos aceptables y prohibidos.

Esta organización evita tener que reescribir toda la política cada vez que cambian las condiciones comerciales de una herramienta. Cada documento debe incluir una fecha, un responsable y una ubicación de referencia.

Identifique los usos reales antes de decidir. La IA en la sombra, es decir, el uso de herramientas de IA al margen del marco conocido por la organización, también se detecta preguntando a los equipos cómo realizan sus tareas. El catálogo de herramientas de IA por necesidad puede ayudarle a identificar las distintas familias de usos, sin que su inclusión equivalga a una autorización para utilizarlas.

Distinguir entre política interna y cumplimiento normativo

La política convierte las decisiones de su empresa en instrucciones de trabajo. No sustituye la revisión del contrato de un proveedor, el análisis de un tratamiento de datos personales ni los trámites necesarios para un uso regulado. Evite, por tanto, afirmar de manera general que cualquier uso ajustado a la política cumple automáticamente la ley.

Para Francia y el mercado europeo, someta los usos correspondientes a una revisión que tenga en cuenta la protección de datos, el derecho laboral, la confidencialidad, la propiedad intelectual y el Reglamento europeo de Inteligencia Artificial. Las obligaciones varían según el sistema, su finalidad y el papel que desempeñe su empresa. El artículo AI Act: qué cambia para los agentes de IA permite profundizar en este último aspecto.

La Comisión Europea explica que las medidas de alfabetización en IA deben tener en cuenta el contexto, los riesgos y los conocimientos de las personas implicadas. Sus preguntas frecuentes sobre alfabetización en IA, consultadas el 24 de octubre de 2026, no presentan la lectura de una política como garantía suficiente de preparación.

Norma propuesta: todo proyecto que afecte a la contratación, la evaluación de personas, la salud, el crédito u otra decisión sensible debe someterse a una revisión previa. La autorización general de un asistente de redacción no cubre estas finalidades.

Antes de incorporar la política a las normas internas, haga revisar los requisitos formales aplicables, especialmente en función de sus consecuencias para los empleados. Distinga con claridad las obligaciones legales, los compromisos contractuales y las restricciones adicionales que decida establecer la empresa.

Clasificar los datos y autorizar usos concretos

Una norma aplicable debe responder a una situación concreta: qué datos, en qué herramienta y para qué tarea. Autorizar un programa no debe interpretarse como un permiso para cargar en él todos los documentos de la empresa.

La CNIL recomienda, entre otras medidas, definir las condiciones de uso y controlar la información que se introduce en las herramientas. Su ficha para microempresas y pymes, consultada el 24 de octubre de 2026, ofrece un punto de partida para esta política interna.

La tabla siguiente es un ejemplo de clasificación interna que deberá adaptar a su sistema de gestión documental.

Criterio	Datos públicos	Datos internos	Datos confidenciales o que requieren protección reforzada
Ejemplo	Folleto ya publicado	Procedimiento no público	Expediente de un cliente, información de salud, secreto técnico
Uso propuesto	En una herramienta aprobada para la tarea	En un entorno expresamente autorizado	Tras una revisión específica o prohibido, según el caso
Control antes de transmitirlos	Comprobar su carácter público y los derechos de uso	Retirar la información innecesaria	Comprobar la necesidad, los destinatarios y las garantías
Resultado generado	Revisarlo antes de difundirlo	Mantener la clasificación adecuada	Aplicar las restricciones correspondientes a la información que contiene

Las categorías pueden coincidir: un dato personal puede ser público y un dato comercial puede ser confidencial sin identificar a ninguna persona. Nunca deduzca que está autorizado a tratar una información por el mero hecho de que aparezca en Internet.

Norma propuesta: si tiene dudas sobre la clasificación, no transmita el documento y solicite al responsable designado que determine la categoría correspondiente. Eliminar un nombre no siempre impide identificar a una persona: un puesto poco habitual, una dirección o un contexto detallado pueden seguir revelando su identidad. Prepare ejemplos ficticios que puedan utilizarse en los ejercicios de formación.

Mantener un catálogo de herramientas y configuraciones aprobadas

El catálogo debe identificar el servicio, la modalidad contratada, la cuenta profesional y las funciones autorizadas. Una misma marca puede ofrecer condiciones distintas según la suscripción, la interfaz o la forma de acceso. Por ello, la aprobación debe referirse a una configuración determinada.

En cada entrada, indique el responsable del área usuaria, las personas autorizadas, los datos permitidos y las finalidades aceptadas. Añada las condiciones examinadas: conservación de conversaciones, posible uso de los datos para mejorar los modelos, eliminación, acceso de administradores, subcontratistas y transferencias. Si desconoce algún aspecto, deje constancia de esa incertidumbre antes de decidir.

Norma propuesta: los usos profesionales se realizan mediante cuentas aprobadas por la empresa. El usuario no puede activar por su cuenta una extensión, una conexión a documentos o un acceso al correo electrónico. Cualquier añadido que amplíe los datos accesibles o las acciones posibles requiere una nueva aprobación.

Prevea también la salida de personas de la organización y la cancelación del servicio: retirada de accesos, revocación de conexiones, transferencia de los elementos útiles y eliminación conforme a las normas establecidas. Una cuenta compartida dificulta estas operaciones y la identificación de quién realizó cada acción.

Una herramienta instalada localmente también requiere una revisión. Compruebe las comunicaciones salientes, las actualizaciones, los registros y los posibles servicios remotos que utiliza. El lugar donde se ejecuta no describe, por sí solo, todo el recorrido de los datos.

Para documentar ese recorrido, el artículo Agentes de IA y RGPD: qué datos salen y adónde van complementa el catálogo. Conserve la documentación contractual y técnica junto con la decisión de aprobación.

Redactar normas de verificación y difusión

Una alucinación es una respuesta que parece verosímil, pero es falsa o carece de fundamento. La política debe precisar qué significa verificar: localizar una fuente, comprobar un cálculo, comparar con el documento original o probar un programa. Una simple lectura para comprobar que el texto suena natural no cubre estas operaciones.

Norma propuesta: todo contenido utilizado en un trabajo profesional debe someterse a un control proporcional a sus consecuencias. La persona que lo aprueba debe disponer de los conocimientos, el tiempo y el acceso a las fuentes necesarios. Si faltan esas condiciones, el contenido no puede considerarse verificado.

Concrete esta norma para cada tarea:

en un resumen, comprobar los hechos, las salvedades y los pasajes omitidos;
en un cálculo, revisar los datos y comprobar el resultado de forma independiente;
en una búsqueda, abrir las fuentes citadas y verificar que respaldan las afirmaciones;
en el código, examinar los cambios y realizar las comprobaciones adecuadas;
en una traducción que pueda generar compromisos, hacer revisar los términos técnicos y las obligaciones expresadas.

Aborde también los derechos sobre los contenidos. El usuario debe estar autorizado a proporcionar los documentos de origen y comprobar las condiciones de reutilización del resultado. Una respuesta generada no constituye una prueba de titularidad ni garantiza que no reproduzca contenido protegido.

Por último, defina las normas de transparencia: cuándo declarar la asistencia de IA, quién aprueba una publicación y cómo informar a una persona que interactúa con un sistema automatizado. Estas decisiones deben tener en cuenta las obligaciones aplicables y los compromisos con los clientes. Prohíba expresamente las citas, referencias y testimonios inventados.

Establecer límites para los agentes capaces de actuar

Un asistente que propone un texto y un agente que lo envía tienen consecuencias distintas. En los sistemas conectados a archivos, aplicaciones de negocio o correo electrónico, la política debe establecer límites para las acciones, los destinatarios y los mecanismos de detención.

La inyección de instrucciones consiste, entre otras cosas, en introducir instrucciones maliciosas en un contenido que lee el sistema. Un documento recibido o una página consultada no deben adquirir la capacidad de autorizar una acción. Las recomendaciones de seguridad de la ANSSI para sistemas de IA generativa, consultadas el 24 de octubre de 2026, aportan un marco técnico complementario.

Norma propuesta: cada agente recibe únicamente los accesos necesarios para su tarea. Los envíos externos, los pagos, las eliminaciones y las modificaciones sensibles requieren una aprobación cuyo procedimiento se haya definido antes de ponerlo en marcha. Una petición general de realizar una tarea no equivale a una autorización para modificar permisos.

La solicitud de aprobación debe mostrar la acción concreta: destinatario, contenido, importe si corresponde, archivos afectados y consecuencias previstas. Una petición vaga de continuar no permite tomar una decisión informada.

Prevea también límites de consumo, una duración de ejecución adecuada, registros útiles y un responsable capaz de suspender el funcionamiento. Pruebe la retirada de accesos y la vuelta a un proceso manual antes de poner el sistema en producción.

La política establece los requisitos; los equipos técnicos deben convertirlos en configuraciones efectivas. La guía Cómo proteger un agente de IA detalla ese trabajo, y el diagnóstico de seguridad del Laboratorio ayuda a identificar los aspectos que conviene examinar.

Distribuir las responsabilidades y gestionar las excepciones

Evite atribuir toda la responsabilidad al usuario final. La empresa elige las herramientas, define los accesos y organiza los controles; el usuario aplica las instrucciones, comprueba los elementos que corresponden a sus competencias y comunica las dificultades. La aprobación humana no corrige una organización deficiente.

Defina los papeles, aunque en una estructura pequeña una misma persona asuma varios:

la dirección aprueba la política y decide qué recursos se destinan;
el responsable del área describe la tarea y acepta los resultados;
informática administra las cuentas, las conexiones y los accesos;
seguridad examina los riesgos técnicos y los incidentes;
las áreas jurídica, de protección de datos y de recursos humanos intervienen según las cuestiones planteadas.

Para cada uso aprobado, designe un responsable y un sustituto. Indique también quién puede interrumpir el servicio. Una decisión colectiva resulta difícil de hacer cumplir si nadie se encarga de aplicarla.

Norma propuesta: toda excepción debe solicitarse antes del uso, quedar documentada y limitarse a un alcance preciso. Debe indicar la finalidad, los datos, los usuarios, los controles compensatorios, la persona que decide y la condición que determina su finalización. No permite incumplir ninguna obligación legal o contractual.

Establezca con claridad qué ocurre mientras se tramita una solicitud: hasta que se apruebe, el uso correspondiente permanece suspendido. Ofrezca, aun así, una forma de trabajo autorizada para evitar que un procedimiento demasiado lento lleve a eludir las normas.

Conserve también un registro de las solicitudes rechazadas y sus motivos. Las peticiones repetidas pueden revelar una necesidad de trabajo que el catálogo actual no cubre.

Preparar un procedimiento práctico para comunicar incidentes

La política debe explicar qué hacer después de un error, sin exigir que el usuario sepa calificar jurídicamente lo ocurrido. Debe ser posible comunicar de inmediato un archivo adjunto confidencial enviado al servicio equivocado, un enlace a una conversación que se haya hecho público o una acción inesperada de un agente.

Norma propuesta: el usuario detiene las operaciones que puedan agravar el incidente, contacta con el punto de atención designado y conserva los elementos útiles según las instrucciones recibidas. No intenta ocultar el error borrando las pruebas. Tampoco copia los datos expuestos en otro canal para explicar el problema.

El formulario de comunicación puede pedir que se indique el servicio afectado, el momento del incidente, la naturaleza de la información y las acciones ya realizadas. Los equipos competentes evalúan después la exposición, retiran los accesos si es necesario y organizan las medidas correctivas.

En caso de una violación de la seguridad de los datos personales, la CNIL distingue entre la documentación interna, la notificación a la autoridad en función del riesgo y la comunicación a las personas cuando exista un riesgo alto, salvo las excepciones aplicables. El plazo de notificación es, de ser posible, de 72 horas como máximo desde que se tenga constancia de ella: referencia consultada el 24 de octubre de 2026 en el capítulo del RGPD publicado por la CNIL. Este plazo no es un período de espera para comunicar el incidente internamente.

Una vez gestionado el incidente, actualice la configuración y los ejemplos de formación. Organice una revisión basada en hechos que permita corregir la causa, más allá del error individual.

Implantar la política por etapas

El requisito previo es contar con un responsable de implantación que disponga de un catálogo inicial, un canal de soporte y personas de contacto para las cuestiones sensibles. La guía Implantar agentes de IA en la empresa sitúa este proceso dentro de la organización general de un proyecto.

Identificar las prácticas actuales. Pregunte a los equipos qué tareas realizan, qué datos utilizan y qué conexiones tienen activas. Busque también las funciones de IA integradas en los programas existentes.
Redactar decisiones concretas. Para cada situación frecuente, precise qué está permitido, qué está prohibido y qué requiere aprobación. Compruebe con los usuarios si las formulaciones se entienden.
Someter el sistema a revisión. Compruebe los aspectos técnicos, contractuales, laborales y relacionados con los datos. Corrija las diferencias entre las normas escritas y las capacidades de las herramientas.
Lanzar una prueba piloto limitada. Utilice tareas representativas, con información adecuada al alcance autorizado. Observe los errores, las solicitudes de ayuda y el tiempo necesario para verificar los resultados.
Formar antes de ampliar el uso. Realice ejercicios para detectar una fuente inventada, clasificar un documento y comunicar un incidente. Un certificado de lectura no mide esas capacidades.
Publicar y revisar. Facilite la localización de la versión vigente, anuncie los cambios y retire los documentos obsoletos.

Elija indicadores útiles: calidad después de la verificación, correcciones necesarias, incidentes, solicitudes de excepción y costos totales. El número de cuentas abiertas describe el acceso al servicio, pero no su utilidad. Incluya en las mediciones de tiempo el trabajo de control y de corrección.

Problemas frecuentes y comprobaciones antes de publicar

Las normas siguen siendo abstractas. Sustituya las referencias genéricas a la prudencia o la ética por situaciones observables. Una instrucción debe permitir que una persona decida si puede transmitir un documento o difundir una respuesta.

El catálogo no refleja el trabajo real. Identifique las necesidades para las que no existe una solución aprobada y proponga una alternativa o un procedimiento de revisión. Una prohibición que no ofrece una forma de trabajar favorece los usos ocultos.

La aprobación humana se vuelve automática. Compruebe que quien revisa dispone de la información necesaria y puede rechazar o detener la acción. Si los resultados llegan demasiado rápido para examinarlos, reduzca el alcance o el ritmo.

Los registros generan una nueva exposición. Defina su contenido, sus accesos y su conservación. Explique a las personas afectadas qué controles se realizan; recopilar todas las conversaciones no constituye, por sí solo, una política de seguridad.

Nadie revisa las autorizaciones. Establezca una nueva revisión cuando cambie el contrato, la conexión, la finalidad o la categoría de datos. Una aprobación anterior no cubre automáticamente una ampliación del uso.

Antes de publicar, compruebe los siguientes puntos:

El alcance y las personas afectadas están definidos.
Los usos autorizados corresponden a configuraciones identificadas.
Las normas de transmisión de datos incluyen ejemplos.
Los controles humanos son viables y tienen responsables asignados.
Las acciones de los agentes tienen límites y un mecanismo de detención.
La comunicación de incidentes, las excepciones y las responsabilidades están documentadas.
La formación incluye ejercicios adaptados a las distintas áreas de trabajo.
La versión vigente, su responsable y las condiciones de revisión son visibles.

Páginas relacionadas

Preguntas frecuentes

¿Todas las empresas están obligadas a tener una política de IA?

Conviene distinguir entre el documento denominado política y las obligaciones aplicables al uso de IA. Estas dependen, entre otros factores, del tratamiento de datos, de los sistemas utilizados y del contexto laboral. Una política ayuda a organizar su cumplimiento, pero firmarla no constituye una prueba general de conformidad.

¿Quién debe redactar la política de IA de una pyme?

La dirección puede encargar la coordinación a una persona identificada, con la participación de quienes se ocupan de informática, recursos humanos y protección de datos. Los usuarios de las distintas áreas deben colaborar para comprobar que las normas responden al trabajo real. Las cuestiones jurídicas delicadas requieren una revisión por parte de profesionales competentes.

¿Se puede utilizar una cuenta personal de IA para trabajar?

La política debe responder expresamente a esta pregunta. Una norma prudente consiste en reservar los usos profesionales a cuentas administradas y aprobadas por la empresa. Cualquier autorización excepcional debe precisar qué datos pueden utilizarse y en qué condiciones deben eliminarse.

¿Hay que indicar el uso de IA en todos los documentos?

La necesidad de incluir siempre una mención depende de su política interna, de los compromisos contractuales y de las obligaciones aplicables al contenido. Distinga entre la simple corrección de un texto, la generación de una parte sustancial del contenido y la interacción automatizada con una persona. La fórmula elegida debe ser exacta y comprensible.

¿Cómo mantener actualizada la política cuando cambian las herramientas?

Mantenga los principios duraderos en la política y los parámetros variables en anexos gestionados. Cada cambio de conector, contrato o categoría de datos debe dar lugar a una revisión. Los usuarios deben poder identificar la norma vigente sin consultar archivos adjuntos antiguos.

Cómo redactar la política de uso de IA de su empresa: contenido, ejemplos de normas e implantación