Política de uso de IA en la empresa: qué incluir
Una política de uso de IA es un documento interno breve: qué herramientas se usan, con qué datos, para qué y quién revisa lo que produce la IA. Ordena el uso que ya existe, protege los datos y ayuda a cumplir la alfabetización en IA que pide el Reglamento europeo.
Una política de uso de IA en la empresa es un documento interno breve que dice qué herramientas de inteligencia artificial se pueden usar, con qué datos, para qué tareas, quién revisa lo que produce la IA y a quién acudir si algo sale mal. No sirve para prohibir la IA, sino para ordenar el uso que ya existe, proteger los datos y formar al equipo, en línea con las medidas de alfabetización en IA que el Reglamento europeo pide a las empresas que la usan.
Por qué tu empresa necesita una política de IA
Aunque la dirección no haya decidido nada, es posible que en tu empresa ya se use IA: alguien redacta correos con un asistente, otra persona resume contratos, otra traduce fichas de producto. Ese uso espontáneo tiene tres riesgos:
- Datos que salen sin control. Lo que se pega en una herramienta externa lo trata un tercero, con las condiciones que ese tercero fije.
- Resultados que nadie revisa. Un texto convincente pero con un dato falso llega a un cliente con el nombre de tu empresa.
- Criterios distintos en cada puesto. Lo que una persona considera prudente, otra no.
Una política corta resuelve buena parte de esto sin frenar lo útil. Y tiene un motivo normativo: la empresa que usa un sistema de IA en su actividad profesional es, para el Reglamento de IA, responsable del despliegue, con obligaciones propias que veremos más abajo.
Qué debe incluir
Para una pyme, una política de IA útil cabe en dos o tres páginas. Estos son sus apartados:
1. Herramientas aprobadas
Qué herramientas se pueden usar, en qué versión (personal o de empresa) y con qué cuenta. Todo lo que no esté en la lista, se consulta antes. Si dudas entre las más conocidas, lo comparamos en ChatGPT, Claude o Copilot para empresas.
2. Qué datos se pueden usar
La parte más importante. Lo explicamos con el semáforo del apartado siguiente.
3. Usos permitidos y usos que no
Ejemplos concretos de tu empresa: redactar borradores, resumir documentos internos, preparar respuestas tipo. Y lo que no: decidir sobre personas (contrataciones, créditos, medidas disciplinarias) solo con la salida de un modelo, o publicar sin revisión.
4. Revisión humana
Quién revisa qué antes de que salga de la empresa. La regla que aplicamos en los sistemas que construimos es sencilla: la IA propone, una persona aprueba, el sistema ejecuta.
5. Transparencia con clientes
Cuándo se dice que un contenido o una respuesta viene de una IA. Por ejemplo, un asistente en la web que avisa de que es un asistente.
6. Confidencialidad y propiedad
Qué información no se comparte nunca (secretos comerciales, código, ofertas en curso) y cómo se tratan los resultados que genera la IA.
7. Responsable, formación e incidentes
Una persona de referencia para dudas, una formación básica para quien use IA y un canal para comunicar errores o fugas de datos.
El semáforo de datos
La forma más fácil de que el equipo recuerde qué puede meter en una herramienta de IA es un semáforo con ejemplos de tu propia empresa:
| Color | Tipo de información | Ejemplos | Regla |
|---|---|---|---|
| Verde | Pública o genérica | Textos de la web, normas publicadas, preguntas generales | Cualquier herramienta aprobada |
| Ámbar | Interna, sin datos personales | Procedimientos, borradores de ofertas sin cliente, informes agregados | Solo herramientas con cuenta de empresa y contrato |
| Rojo | Datos personales o confidenciales | Fichas de clientes, nóminas, datos de salud, contratos, código fuente | Solo en herramientas integradas y autorizadas para ese uso, o nunca |
El rojo no significa que la IA no pueda trabajar con esos datos, sino que no se hace por iniciativa individual. Se hace con una herramienta integrada en un proceso, con contrato con el proveedor y con las reglas de protección de datos revisadas.
Lo que dice la norma
El Reglamento (UE) 2024/1689 de inteligencia artificial define al responsable del despliegue como quien utiliza un sistema de IA bajo su propia autoridad, salvo cuando su uso se enmarque en una actividad personal de carácter no profesional. Una empresa que usa IA en su trabajo encaja en esa definición.
Alfabetización en IA. Tras la modificación del Ómnibus digital sobre IA, el artículo 4 dice que los proveedores y responsables del despliegue adoptarán medidas para apoyar la alfabetización en materia de IA de su personal, y aclara que esa obligación no exige garantizar un nivel específico de alfabetización de ninguna persona en particular. Los capítulos I y II del Reglamento, donde está ese artículo, se aplican desde el 2 de febrero de 2025. Una política con formación básica y ejemplos es una forma razonable de documentar esas medidas.
Texto publicado. Desde el 2 de agosto de 2026, fecha general de aplicación del Reglamento, el artículo 50 pide que quien publique texto generado o manipulado por IA para informar al público sobre asuntos de interés público lo divulgue, salvo que haya pasado por revisión humana o control editorial y alguien asuma la responsabilidad editorial. Si tu empresa publica contenidos con ayuda de IA, conviene que la política diga quién los revisa y firma.
El mapa completo, con los usos de alto riesgo y sus fechas, está en nuestra guía de la norma europea de IA para empresas. Y recuerda que, si la IA trata datos personales, la protección de datos se aplica igual.
Cómo implantarla en una pyme
- Inventario rápido. Pregunta a cada área qué herramientas de IA usa y para qué. Sin buscar culpables: el objetivo es saber qué hay.
- Decide la lista de herramientas y consigue cuentas de empresa para las que se van a usar con datos internos.
- Escribe el semáforo con ejemplos reales de tu empresa.
- Forma al equipo en una sesión práctica: qué puede hacer la IA, en qué se equivoca y cómo revisar su salida.
- Nombra un responsable y un canal de dudas e incidentes.
- Revisa la política cada pocos meses: las herramientas cambian rápido.
Cuando un uso se repite mucho, deja de ser una persona con un asistente y pasa a ser un proceso. Ahí compensa integrar la IA en tu sistema, con registro y revisión. En los sistemas que construimos, cada llamada a la IA queda registrada, y los textos que genera salen siempre como borrador para que una persona los apruebe. Lo explicamos en integrar la IA en la empresa sin perder el control.
Plantilla mínima
Si quieres empezar hoy, este índice cubre lo esencial. Cada apartado puede ser un párrafo:
- Objetivo y alcance: para quién es la política y qué se entiende por herramienta de IA.
- Herramientas aprobadas: lista, versión y cuenta con la que se usan.
- Semáforo de datos: verde, ámbar y rojo, con ejemplos de la empresa.
- Usos permitidos y no permitidos: ejemplos concretos por área.
- Revisión humana: qué necesita revisión y de quién antes de salir de la empresa.
- Transparencia: cuándo se informa a clientes o al público de que interviene una IA.
- Confidencialidad: información que nunca se comparte con herramientas externas.
- Formación: qué formación recibe quien usa IA y cada cuánto se repite.
- Responsable e incidentes: a quién preguntar y cómo comunicar un error o una fuga.
- Revisión: fecha de la próxima revisión de la política.
Errores que la dejan en papel mojado
- Prohibirlo todo. El uso sigue, pero a escondidas y con cuentas personales.
- Copiar la política de una multinacional. Cuarenta páginas que nadie lee no ordenan nada.
- No dar alternativa. Si la herramienta aprobada es peor que la que la gente ya usa, no la usarán.
- Olvidar la formación. Una política sin explicación práctica se firma y se olvida.
- No revisarla. Lo que valía hace seis meses puede no valer hoy.
Si prefieres que alguien te acompañe en el primer inventario y en la política, lo contamos en consultoría de inteligencia artificial para empresas y en nuestra página de IA para empresas.
Fuentes consultadas
Comprobadas el 30 de septiembre de 2026. Enlazamos la fuente original para que puedas consultar el texto vigente.
Preguntas frecuentes
¿Es obligatorio tener una política de uso de IA?
El Reglamento de IA no exige un documento con ese nombre, pero pide a las empresas que usan IA medidas para apoyar la alfabetización de su personal. Una política breve con formación es una forma práctica de organizarlas y de proteger los datos.
¿Puedo prohibir el uso de ChatGPT en mi empresa?
Puedes, pero si la herramienta es útil el uso suele seguir con cuentas personales y sin control. Suele funcionar mejor aprobar herramientas concretas con cuenta de empresa y fijar qué datos se pueden usar.
¿Qué datos no se deben meter en una IA?
Por iniciativa individual, ni datos personales de clientes o empleados ni información confidencial como contratos, nóminas o código. Esos usos, si se hacen, van por herramientas integradas y autorizadas, con contrato con el proveedor.
¿Cada cuánto hay que revisar la política de IA?
Cada pocos meses, o cuando se incorpore una herramienta nueva o cambie un uso importante. Las herramientas y sus condiciones cambian rápido, y la política tiene que seguirlas.
¿Algo de esto encaja con tu negocio? Cuéntanos cómo lo haces hoy.