Política de uso de IA para empresas

Cómo entendemos el uso responsable de IA en nuestro equipo

Reconocer la cocreación

Cuando utilizamos IA, hacemos explícita su participación. Explicamos qué parte trabajamos nosotros y en qué parte intervino la herramienta. Cuando hablamos de porcentajes, estos deben tener un criterio que podamos explicar; si no podemos sostener una cifra, describimos las tareas y las aportaciones.

Una declaración útil puede decir: “Este material fue cocreado con inteligencia artificial. La IA apoyó en [tareas realizadas]. Nuestro equipo aportó [criterio, contenido o trabajo humano] y realizó la revisión final”.

Este ejemplo debe adaptarse al trabajo real. La declaración de uso, que también llamamos disclaimer, aporta transparencia y mantiene nuestra responsabilidad sobre lo que entregamos.

La experimentación también es trabajo del CEO

Si no tienes una persona que ejerza como Chief AI Officer, la responsabilidad de impulsar esa función te toca a ti como dueño de negocio o socio fundador.

Alguien tiene que experimentar, probar herramientas y construir prototipos. Si todavía no tienes a esa persona, te corresponde empezar y desarrollar esa capacidad dentro de la empresa.

La autonomía se sostiene con formación

En nuestro equipo damos mucha libertad para trabajar con IA. Somos empresa y universidad de educación; entrenamos al equipo y compartimos buenas prácticas de forma continua. Ese contexto permite que las personas tomen decisiones con más autonomía.

Tenemos un límite claro: ninguna aplicación creada con IA generativa puede saltarse nuestros protocolos de ciberseguridad.

Si quieres dar esa libertad en tu empresa, desarrolla primero el criterio con el que tu equipo va a ejercerla.

El criterio, el buen gusto y las relaciones siguen en manos humanas

Mi postura hoy es mantener el contacto y las relaciones entre personas. Todavía no concibo que mi agente hable con el agente de un cliente y que demos por atendida la relación.

La IA puede ayudarnos a preparar una conversación, ordenar ideas o redactar un borrador. La conversación, la interpretación de lo que necesita la otra persona y el cuidado de la relación siguen siendo responsabilidad nuestra.

El criterio y el buen gusto también necesitan una persona que decida qué merece salir, cómo y para quién.

Higienizar antes de reutilizar el conocimiento

Protegemos los datos financieros y la información de nuestros clientes y potenciales clientes. En las transcripciones de consultorías, reuniones privadas y levantamientos de información aplicamos protocolos de higiene para retirar la información del cliente.

De ese material extraemos reglas de decisión, frases, metodologías, estrategias y propiedad intelectual que podemos reutilizar respetando la confidencialidad y los derechos correspondientes. El resultado debe conservar el aprendizaje sin exponer a la persona o a la empresa que estaba en la conversación.

Medir el retorno de la inteligencia artificial

Para evaluar una implementación miramos el retorno de la inteligencia artificial, AI ROI. Buscamos que ahorre costos al reducir tiempos y aumentar márgenes, o que aumente de forma clara las conversiones. Si consigue las dos cosas, mejor.

Ese es el criterio de negocio con el que evaluamos lo que construimos.

Qué es una política de uso de IA en una empresa

Es un acuerdo interno que convierte las expectativas de la dirección en reglas de trabajo. Debe servir para resolver situaciones cotidianas: resumir una reunión, preparar una propuesta comercial, analizar una hoja de cálculo, generar una imagen o conectar un agente al correo corporativo.

Para que resulte útil, cualquier persona debe poder responder cinco preguntas:

1. ¿Está aprobada esta herramienta para esta tarea?
2. ¿Puedo introducir estos datos?
3. ¿Quién revisa el resultado?
4. ¿Qué acciones puede ejecutar el sistema por su cuenta?
5. ¿A quién aviso si tengo una duda o se produce un incidente?

El marco de gestión del riesgo de IA de NIST ofrece una referencia voluntaria para gestionar riesgos. Su perfil de IA generativa aborda riesgos como la información incorrecta, la privacidad y la seguridad. Las reglas y ejemplos siguientes son una propuesta práctica para organizar el trabajo de tu empresa.

Qué debe incluir tu política

Herramientas y casos de uso autorizados

La aprobación debe identificar el producto, el tipo de cuenta, la configuración y la tarea permitida. Que una aplicación esté aprobada para crear borradores con información pública no significa que pueda recibir contratos o acceder al CRM.

Incluye también funciones de IA integradas en programas que ya utiliza el equipo, extensiones, asistentes de reuniones, conexiones con otras aplicaciones y agentes que ejecutan acciones.

Datos que pueden utilizarse

Distingue entre información pública, interna, confidencial y datos personales. Si una información encaja en varias categorías, aplica la condición más restrictiva.

Antes de permitir datos personales o información confidencial, revisa finalidad, necesidad, condiciones del proveedor, conservación, acceso, transferencias y obligaciones contractuales. Una cuenta de pago no garantiza por sí sola que un tratamiento resulte adecuado.

En nuestro trabajo, la información del cliente pasa por un protocolo de higiene antes de reutilizarse para extraer conocimiento. Para aplicarlo en tu empresa, retira nombres, empresas, contactos, cifras y detalles que permitan identificar a alguien. Sustituir un nombre por una inicial puede dejar a la persona identificable. La versión original y el proceso de higiene deben permanecer en un entorno autorizado.

Revisión y responsabilidad

Asigna una persona responsable de cada proceso. Define qué debe comprobar y en qué momento interviene.

En un anuncio, la revisión incluye cifras, promesas comerciales, derechos sobre imágenes y tono de marca. En las aplicaciones creadas con IA generativa, exigimos el paso por nuestros protocolos de ciberseguridad. Para trasladarlo a tu empresa, define qué controles debe superar cada prototipo antes de conectarlo a sistemas o utilizarlo con datos reales.

Transparencia y derechos

Explica la cocreación: qué aportó la IA y qué aportaron las personas. Añade una declaración de uso ajustada a lo que ocurrió, comprueba los permisos sobre materiales de terceros y asigna a una persona la responsabilidad final. Si utilizas un porcentaje de intervención de IA, indica qué representa y cómo lo estimaste.

Formación e incidentes

El equipo necesita practicar con ejemplos de su trabajo: detectar un dato que no debe subir, comprobar una respuesta y comunicar un error. La política también debe indicar cómo detener una automatización y a quién avisar.

Ejemplos de usos permitidos y usos que necesitan aprobación

Esta clasificación sirve para tomar decisiones internas. No equivale a las categorías legales de riesgo del Reglamento europeo de IA.

Estas reglas permiten que el equipo experimente dentro de un entorno conocido. Cambiar los datos, conectar otro sistema o dar capacidad de ejecución a una herramienta cambia la decisión que debe tomarse.

Cómo implementar la política en tu equipo

Paso 1 Elige una plataforma común y conoce el uso real

Mi recomendación para una empresa que empieza es elegir una plataforma y crear cuentas para todo el equipo, con una administración acorde a sus necesidades. Haz también inventario de las herramientas que ya se utilizan, las tareas y los datos que reciben, incluidos los proveedores externos.

Paso 2 Asigna responsables

Asigna quién lidera la experimentación y quién coordina la política. Si no tienes un Chief AI Officer o una persona que ejerza esa función, asúmela tú como dueño o socio fundador. Los responsables de área deben traducir ese aprendizaje a sus procesos.

Paso 3 Resuelve los procesos críticos y prueba un piloto

Identifica los departamentos más críticos de la compañía. Evalúa software especializado o un equipo de alto desempeño capaz de crear soluciones internas. Para el primer piloto, documenta herramienta, datos, revisión y límites; utiliza información ficticia y exige revisión de ciberseguridad antes de conectar una aplicación creada con IA generativa o trabajar con datos reales.

Paso 4 Forma al equipo

Entrena al equipo de manera continua y comparte buenas prácticas. Practiquen cómo higienizar una transcripción, explicar la cocreación, detectar errores y decidir cuándo debe intervenir una persona. Amplía la autonomía a medida que demuestren ese criterio.

Paso 5 Mide el AI ROI y revisa

Evalúa el resultado de negocio: costos, tiempos, márgenes y conversiones. Como propuesta para medirlo en tu empresa, compara el proceso anterior con el nuevo e incluye licencias, implementación, formación, revisión y mantenimiento. Comprueba que el ahorro de tiempo se convierte en capacidad aprovechada o en ahorro real, y que una subida de conversiones mantiene margen y calidad.

Registra las condiciones de la comparación y evita atribuir a la IA mejoras que también dependieron de cambios en oferta, tráfico o equipo. Revisa la política cuando cambien herramientas, permisos, contratos o normativa, y después de un incidente.

El plazo de despliegue dependerá de los riesgos y de la capacidad de tu empresa. Evita fijar una fecha de lanzamiento que obligue a saltarse una revisión necesaria.

Plantilla de política de uso de inteligencia artificial para empresas

Copia desde la ficha siguiente hasta el final de los anexos. Esta plantilla traduce nuestro enfoque de cocreación transparente, autonomía con formación, higiene de información y relaciones humanas a reglas internas adaptables. Completa los campos entre corchetes y obtén la aprobación correspondiente.

Ficha de control

1 Objetivo y alcance

[Empresa] utiliza inteligencia artificial para mejorar la calidad, la eficiencia y la capacidad de su equipo, con responsabilidades y controles definidos.

Esta política se aplica a empleados, directivos, colaboradores y proveedores que utilicen IA en trabajos para la empresa. Incluye herramientas independientes, funciones integradas, asistentes, modelos propios, automatizaciones y agentes.

Su aplicación se coordina con las políticas de seguridad, privacidad, confidencialidad, propiedad intelectual y recursos humanos.

2 Responsabilidades

La dirección aprueba esta política, asigna recursos y garantiza que exista una persona responsable de experimentar con IA y desarrollar prototipos. Si no hay un Chief AI Officer o responsable equivalente, el dueño o socio fundador asume esa función.

El responsable de la política mantiene el registro de herramientas y coordina las autorizaciones.

Cada responsable de proceso define los usos, la revisión y los criterios de calidad de su área.

Las funciones de tecnología, seguridad, privacidad y asesoría jurídica intervienen según los datos, la actividad y los riesgos. En equipos pequeños, estas funciones pueden acumularse o contratarse externamente.

Cada usuario debe respetar los permisos, revisar lo que utiliza y comunicar dudas e incidentes.

3 Herramientas autorizadas

La empresa proporcionará una plataforma común y cuentas de trabajo al equipo. Los departamentos críticos evaluarán soluciones especializadas o desarrollos internos realizados por un equipo con la capacidad necesaria. Se mantendrá un registro de los entornos y usos autorizados.

La autorización se limita al caso de uso y a las categorías de datos indicadas. No se trasladará información corporativa a cuentas personales para eludir controles.

Antes de incorporar una herramienta se revisarán sus condiciones, uso de datos para entrenamiento, retención, eliminación, accesos, subcontratación y conexiones. Se evaluarán las obligaciones contractuales y normativas aplicables.

Toda aplicación creada con IA generativa deberá superar el protocolo de ciberseguridad de la empresa antes de conectarse a sistemas, utilizar datos reales o ponerse en servicio. El protocolo establecerá cómo realizar prototipos en un entorno controlado. También se revisarán las funciones nuevas que amplíen datos, permisos o capacidad de ejecución.

4 Usos permitidos

El equipo formado podrá idear, preparar borradores, corregir estilo, trabajar con información pública y crear ejemplos ficticios sin solicitar autorización por cada tarea, dentro de los entornos y usos establecidos. La autonomía se acompañará de entrenamiento continuo y buenas prácticas.

Los resultados son material de trabajo hasta completar la revisión que corresponda al proceso.

5 Usos sujetos a autorización previa

Requieren autorización documentada:

• Los tratamientos de información interna o personal que sean admisibles dentro del alcance definido. Los datos financieros reales y los datos identificables de clientes quedan excluidos del flujo general de herramientas generativas.
• La grabación, transcripción o análisis de reuniones.
• La conexión con correo, CRM, almacenamiento, repositorios u otros sistemas.
• Los sistemas que apoyen la atención a clientes o terceros, manteniendo una persona a cargo del contacto y de la relación.
• La publicación, envío o modificación de información mediante agentes.
• Los usos que puedan afectar empleo, crédito, salud, seguridad o derechos de personas.
• El entrenamiento o ajuste de modelos con información de la empresa o de terceros.

La autorización identificará finalidad, responsable, herramienta, datos, controles, límites y fecha de revisión. Si el uso no resulta admisible, no se autorizará.

6 Usos prohibidos

Se prohíbe:

• Introducir contraseñas, claves privadas, tokens de acceso u otros secretos en conversaciones o archivos enviados a modelos.
• Introducir datos financieros reales, datos identificables de clientes o potenciales clientes, o material privado sin higienizar en el flujo general de herramientas de IA generativa.
• Crear testimonios, referencias, credenciales o pruebas falsas.
• Suplantar personas o utilizar su imagen o voz sin los permisos necesarios.
• Eludir controles de acceso o utilizar IA para actividades ilegales, discriminatorias o fraudulentas.
• Delegar íntegramente decisiones de impacto sobre personas sin la evaluación, garantías y supervisión exigibles.
• Activar usos que la normativa aplicable prohíba.
• Poner en servicio aplicaciones creadas con IA generativa sin superar el protocolo de ciberseguridad.
• Delegar a agentes la gestión de las relaciones humanas con clientes, potenciales clientes o colaboradores.

7 Protección de datos e información

Se utilizará la cantidad mínima de información necesaria para cada tarea.

Las transcripciones de consultorías, reuniones privadas y levantamientos de información pasarán por el protocolo de higiene antes de reutilizarse para extraer aprendizajes con IA. La versión original y el proceso de higiene se mantendrán en un entorno autorizado; no se subirá el original a una herramienta no aprobada para pedirle que lo anonimice.

Se retirarán identificadores directos y detalles que permitan reidentificar al cliente. La extracción se limitará al conocimiento reutilizable, como reglas de decisión, frases, metodologías y estrategias, respetando la confidencialidad y los derechos correspondientes. Se comprobará que las salidas tampoco revelan al cliente.

Se preferirán datos ficticios cuando resuelvan la tarea. La seudonimización no se considerará equivalente a la anonimización.

También se protegerán las salidas generadas cuando contengan información personal, interna o confidencial.

8 Revisión humana y calidad

Antes de utilizar un resultado en una entrega, decisión o acción, la persona designada comprobará, según el caso:

• Exactitud de hechos, cálculos, citas y fuentes.
• Adecuación al contexto y ausencia de promesas no autorizadas.
• Protección de datos, confidencialidad y derechos de terceros.
• Posibles sesgos o efectos perjudiciales.
• Seguridad y funcionamiento del código o automatización.

La persona revisora debe tener criterio, acceso a la información necesaria y autoridad para corregir o detener el proceso. Evaluará también el buen gusto, la pertinencia y el cuidado de la relación con quien recibirá el trabajo. La IA puede apoyar la preparación; la decisión y la relación se mantendrán en manos humanas.

9 Contenido y transparencia

No se atribuirá autoría humana, experiencia real o respaldo de terceros que no existan.

Se declarará la participación de IA en los materiales y entregables cocreados, indicando las tareas realizadas por la herramienta y la aportación humana. La declaración identificará quién revisó y asumió la decisión final.

Los porcentajes solo se utilizarán cuando exista un criterio explicable para estimarlos, indicando qué representan. Cuando no lo haya, se describirán las aportaciones sin inventar una cifra.

Ejemplo adaptable: “Material cocreado con inteligencia artificial para [tareas]. [Persona o equipo] aportó [trabajo humano] y realizó la revisión final”.

La declaración de uso mantiene la responsabilidad sobre la entrega y se ajustará también a las exigencias normativas y contractuales aplicables.

Los usos de imagen, voz y contenido sintético se revisarán antes de publicarse. No se asumirá que una salida es exclusiva, está libre de derechos ajenos o puede registrarse por el hecho de haber sido generada con IA.

10 Agentes y automatizaciones

Cada agente tendrá un propietario, una finalidad y permisos mínimos. Su función será apoyar procesos y preparar trabajo. La atención, las conversaciones y la gestión de relaciones con clientes, potenciales clientes y colaboradores permanecerán a cargo de personas.

Antes de activarlo se definirán las acciones permitidas, límites económicos o de volumen, condiciones de aprobación humana, registros y mecanismo de parada.

Se exigirá aprobación humana antes de pagos, compromisos contractuales, eliminación de información o cambios masivos. Otras acciones externas podrán automatizarse únicamente dentro de límites expresamente autorizados y probados.

El contenido de correos, páginas o documentos procesados se tratará como información, sin otorgarle autoridad para ampliar permisos o modificar las reglas del agente.

11 Registro y conservación

Se mantendrá un registro proporcional al riesgo de las herramientas, autorizaciones, pruebas y cambios relevantes.

Se conservará la evidencia necesaria de revisión y aprobación según [plazo y criterio]. No se archivarán todas las conversaciones por defecto si contienen información que no es necesario conservar.

Los accesos a registros y conversaciones se limitarán a las personas autorizadas.

12 Formación

La autonomía para utilizar IA se sostendrá con formación continua y buenas prácticas. Antes de utilizar los sistemas autorizados, las personas practicarán higiene de información, transparencia de cocreación, revisión, límites de automatización y comunicación de incidentes.

Se actualizará la formación cuando cambien los sistemas o las tareas. La asistencia a una sesión se complementará con ejercicios de aplicación.

13 Incidentes

Quien detecte una exposición de información, respuesta perjudicial, acceso indebido o acción no autorizada deberá:

1. Detener el uso o proceso afectado si puede hacerlo de forma segura.
2. Comunicarlo de inmediato por [canal de incidentes].
3. Indicar herramienta, momento, información o sistemas afectados y acciones observadas.
4. Preservar la evidencia disponible sin difundir datos innecesarios.
5. Seguir las instrucciones del responsable del incidente.

El equipo designado evaluará contención, recuperación y comunicaciones a personas, clientes o autoridades dentro de los plazos que correspondan. El reporte interno inmediato no sustituye las obligaciones legales de notificación.

14 Excepciones y revisión

Las excepciones requieren aprobación escrita, justificación, controles compensatorios y fecha de caducidad. No pueden autorizar actividades ilegales ni eliminar obligaciones contractuales.

Los incumplimientos se gestionarán conforme a los procedimientos internos y la normativa laboral aplicable.

La política se revisará en la fecha indicada y cuando haya cambios relevantes o incidentes. La empresa comunicará las actualizaciones al equipo.

Anexo A Registro de herramientas

Crear una ficha por herramienta:

• Nombre y proveedor: [Completar].
• Cuenta, plan y configuración aprobados: [Completar].
• Responsable: [Completar].
• Caso de uso y usuarios autorizados: [Completar].
• Datos permitidos y excluidos: [Completar].
• Conexiones y permisos: [Completar].
• Conservación, entrenamiento y eliminación: [Completar].
• Revisión humana y límites de ejecución: [Completar].
• Fecha de aprobación y próxima revisión: [Completar].

Anexo B Solicitud de nuevo uso

• Solicitante y área: [Completar].
• Tarea, resultado esperado y retorno previsto en costos, tiempos, márgenes o conversiones: [Completar].
• Herramienta propuesta: [Completar].
• Datos necesarios y su procedencia: [Completar].
• Sistemas conectados y acciones previstas: [Completar].
• Riesgos y controles propuestos: [Completar].
• Responsable de revisión: [Completar].
• Decisión y condiciones de autorización: [Completar].
• Fecha de caducidad o revisión: [Completar].

Anexo C Confirmación de recepción

Confirmo que he recibido la política, conozco dónde consultar las herramientas y usos autorizados, y sé a quién comunicar dudas o incidentes.

Nombre: [Completar].

Fecha y versión recibida: [Completar].

Esta confirmación acredita la recepción de la política. No sustituye una base jurídica para tratar datos ni supone una renuncia a derechos.

Checklist antes de aprobar la política

• [ ] Hay una persona responsable y canales de consulta e incidentes operativos.
• [ ] El registro refleja las herramientas y cuentas que utiliza el equipo.
• [ ] Cada uso identifica datos, permisos y revisión.
• [ ] Los agentes tienen límites y un mecanismo de parada probado.
• [ ] Las condiciones de los proveedores y los contratos han sido revisados.
• [ ] Se ha realizado la adaptación a países, sector y obligaciones laborales.
• [ ] El equipo ha practicado con casos reales o ficticios de su trabajo.
• [ ] La fecha de revisión está asignada.
• [ ] Existe una persona que lidera la experimentación; si no está designada, la asume el dueño o socio fundador.
• [ ] Las entregas cocreadas explican la aportación de IA y el trabajo humano.
• [ ] El protocolo de higiene protege la información de clientes y potenciales clientes.
• [ ] Las aplicaciones creadas con IA generativa han superado la revisión de ciberseguridad.
• [ ] El criterio, el buen gusto y las relaciones tienen responsables humanos.
• [ ] El piloto tiene una medida de retorno en costos, tiempos, márgenes o conversiones.

Preguntas frecuentes

¿Una pyme necesita una política de IA?

Es una medida práctica si su equipo utiliza IA en el trabajo. Puede empezar con reglas breves, un registro y un responsable. La existencia de obligaciones legales concretas depende de su actividad, jurisdicción y usos.

¿Una suscripción empresarial permite subir cualquier documento?

No. Debes comprobar el contrato, la configuración, los permisos y la legitimidad de compartir cada categoría de información.

¿La revisión humana permite cualquier uso de IA?

No. Algunos usos pueden estar prohibidos o exigir garantías adicionales. La revisión también debe ser efectiva: la persona necesita poder comprender, corregir y detener el proceso.

¿Se puede utilizar esta plantilla en España y Latinoamérica?

Su estructura sirve como punto de partida. Cada empresa debe adaptarla a su país, sector, contratos y tratamientos de datos. No acredita por sí sola cumplimiento legal.

¿Qué ocurre si la empresa está sujeta al Reglamento europeo de IA?

Debe evaluar su función y los sistemas y casos de uso concretos para determinar las obligaciones aplicables. La Comisión Europea mantiene información sobre el Reglamento de IA y su enfoque basado en el riesgo. Para protección de datos, la AEPD reúne recursos de gestión del riesgo y evaluación de impacto.