Una política de uso de IA en la empresa debe decir, en una o dos páginas, qué herramientas se pueden usar, qué datos no se meten nunca, quién revisa lo que produce la IA, cuándo hay que avisar de que algo lo ha hecho una IA, qué formación recibe la plantilla y quién es la persona responsable. Esta guía explica qué incluir; no es un documento para firmar, porque cada empresa debe adaptarlo a su caso.
Los diez apartados mínimos
- Para qué sirve y a quién se aplica. A todo el personal y a quien use IA en nombre de la empresa.
- Herramientas autorizadas. Lista corta, con cuenta de empresa. Las cuentas personales, aunque sean de pago, no se usan para trabajar.
- Semáforo de datos. Verde (público), amarillo (interno sin personas), naranja (datos de personas, solo con contrato de encargado y autorización), rojo (confidencial, salvo autorización expresa). Datos de salud, nunca.
- Revisión humana. Todo lo que salga de la empresa (a clientes, administraciones, publicaciones) lo revisa una persona que entiende del tema y responde de ello.
- Usos no permitidos. Decisiones sobre personas sin revisión (contratar, evaluar, despedir), las prácticas prohibidas del art. 5 y cualquier uso que la empresa no haya autorizado.
- Transparencia. Avisar cuando un cliente habla con un chatbot y cuando se publica imagen, audio o vídeo realista generado con IA (art. 50, desde el 2-ago-2026). Ver obligaciones de un chatbot.
- Formación. Qué formación recibe cada persona antes de usar IA y cada cuánto se repasa (art. 4).
- Inventario. Una lista viva de los usos de IA de la empresa, con su nivel de riesgo orientativo. Útil para preparar el alto riesgo de diciembre de 2027 si te afecta.
- Responsable e incidencias. Quién decide, a quién se pregunta y cómo se avisa de un error o de una fuga de datos.
- Revisión. Fecha de la próxima revisión. La ley y las herramientas cambian rápido.
Errores frecuentes
- Copiar una política genérica que nadie lee. Mejor una página con ejemplos de tu trabajo.
- Prohibir sin alternativa. Empuja el uso a la IA en la sombra.
- Prometer cosas que no se hacen («todo se revisa dos veces»). Escribe lo que de verdad vas a hacer.
Dónde apoyarte
- La receta del asistente de empresa incluye el semáforo de datos y cómo presentarlo a la plantilla.
- Las guías de la AESIA desarrollan la supervisión humana, la gestión de riesgos y la transparencia.
- La guía de la Ley de IA resume las obligaciones y su calendario.
Información general y orientativa: no es asesoramiento jurídico. Contrasta tu política con un profesional, sobre todo en protección de datos y en lo laboral.