Política de uso de IA en la empresa: cómo redactarla y aplicarla

Una política de uso de IA es el documento interno que dice qué herramientas de inteligencia artificial puede usar tu equipo, con qué datos y bajo qué reglas. Suena a burocracia de gran empresa, pero en una pyme es justo lo contrario: dos o tres páginas que evitan que alguien pegue la base de datos de clientes en un chat gratuito o envíe a un cliente un informe con datos inventados por la IA.

La mayoría de empresas ya usan IA aunque no lo hayan decidido: cada persona con su cuenta, su herramienta y su criterio. Prohibirlo no funciona; ordenarlo, sí. En esta guía verás por qué hace falta, qué debe incluir, qué dice el Reglamento Europeo de IA, cómo implantarla y una plantilla con los puntos clave para redactar la tuya.

Escribir las normas es la mitad del trabajo; la otra mitad es que el equipo las entienda. Por eso la acompañamos siempre de formación en IA para empresas con casos de cada puesto. Para el marco general, consulta nuestra guía de inteligencia artificial para empresas.

Por qué tu empresa necesita una política de uso de IA

Hay tres riesgos que una política de uso de IA reduce de forma inmediata, aunque sea una versión breve:

Shadow AI: la IA que ya se usa sin control

El shadow AI es el uso de herramientas de IA que la empresa no ha aprobado ni conoce. Es el escenario más habitual: un comercial que resume reuniones con una app gratuita, una administrativa que traduce contratos en un chat personal o un técnico que instala una extensión del navegador con acceso a todo su correo. Nadie lo hace con mala intención, pero nadie sabe dónde acaban esos datos.

Datos personales y secretos empresariales

Cuando alguien introduce datos de clientes o empleados en una herramienta externa, la empresa sigue siendo responsable según el RGPD. Y con los secretos comerciales (tarifas, márgenes, ofertas, código) pasa algo parecido: el despacho Pérez-Llorca advierte en su nota sobre políticas de IA generativa que compartirlos con proveedores tecnológicos «reduce el control efectivo de la organización sobre su propia información».

Errores y alucinaciones

La IA redacta con mucha seguridad incluso cuando se equivoca. Sin una regla clara de revisión humana, tarde o temprano saldrá un presupuesto con una cifra inventada o una respuesta a un cliente con una condición que no existe. La seguridad IA empresa no es solo técnica: es también de procesos.

Qué debe incluir una política de uso de IA

Revisando las guías mejor posicionadas y las recomendaciones de despachos como Pérez-Llorca, una buena política de uso de IA para una pyme cubre estos apartados:

• Objeto y alcance: a quién aplica (plantilla, colaboradores, proveedores con acceso a tus sistemas) y qué se entiende por herramienta de IA.
• Herramientas permitidas, restringidas y prohibidas: una lista concreta, con la versión y el plan (no es lo mismo una cuenta gratuita que un plan de empresa).
• Datos prohibidos: qué no se introduce nunca en una herramienta externa.
• Revisión humana: todo resultado que salga de la empresa o sirva para decidir lo revisa una persona.
• Transparencia: cuándo hay que avisar de que un texto, una imagen o una conversación son de una IA.
• Propiedad intelectual: cuidado con reutilizar contenido protegido y con dar por propio lo generado.
• Responsable y excepciones: quién aprueba nuevas herramientas, a quién se consulta y cómo se pide una excepción.
• Incidentes: qué hacer si se ha compartido algo que no debía.
• Formación y revisión: cuándo se forma al equipo y cada cuánto se actualiza la política.

Uso de ChatGPT en la empresa: el caso más habitual

El uso de ChatGPT en la empresa merece un apartado propio, porque es la herramienta que más se usa por libre. La regla práctica: permitido con un plan de empresa y prohibido con cuentas personales para cualquier dato de clientes o de la empresa. En los planes ChatGPT Business y Enterprise, OpenAI afirma que no entrena sus modelos con tus datos por defecto. Lo explicamos en ChatGPT para empresas.

Qué datos no se introducen nunca

En una política de uso de IA, una tabla sencilla ayuda más que diez párrafos:

Tipo de información	Herramienta gratuita o personal	Plan de empresa aprobado	IA local o privada
Información pública (web, catálogo)	Sí	Sí	Sí
Documentos internos sin datos personales	No	Sí	Sí
Datos personales de clientes o empleados	No	Solo si es imprescindible y minimizado	Sí, con las medidas del RGPD
Datos de salud, contraseñas, datos bancarios	No	No	Solo con evaluación previa

Si trabajas con información muy sensible, valora modelos que se ejecutan en tus servidores; lo contamos en IA local para empresas.

Qué dice el Reglamento Europeo de IA

El Reglamento Europeo de IA no obliga a tener un documento llamado «política de uso de IA», pero varias de sus exigencias se cumplen mucho más fácilmente con una:

• Alfabetización en IA (artículo 4): proveedores y responsables del despliegue deben adoptar medidas para que su personal tenga conocimientos suficientes sobre IA, y esta parte ya es aplicable. El Ómnibus digital (Reglamento 2026/1744, en vigor desde el 27 de julio de 2026) suavizó la obligación, pero la mantiene para ellos: ya no exige garantizar un nivel concreto, sino adoptar medidas para apoyar la alfabetización en IA. Formar al equipo sigue siendo necesario.
• Transparencia (artículo 50): las personas deben saber que interactúan con un sistema de IA, salvo que resulte evidente. Las normas de transparencia se aplican desde el 2 de agosto de 2026.
• Alto riesgo: usos como la selección de personal tienen obligaciones específicas, cuyo calendario está en revisión.

Para el detalle de plazos y sanciones, consulta nuestra guía de la Ley de Inteligencia Artificial. Y en protección de datos, la AEPD ha publicado un decálogo para personas usuarias de asistentes y agentes de IA que encaja muy bien como anexo de la política.

Plantilla de política de uso de IA: puntos clave

Esta plantilla de política de uso de IA resume lo esencial en diez puntos. Adáptala a tu empresa; no debería ocupar más de dos o tres páginas:

1. Alcance: «Esta política aplica a toda la plantilla y a colaboradores con acceso a sistemas de la empresa».
2. Herramientas aprobadas: «Se permite el uso de [herramienta] con la cuenta corporativa. Cualquier otra requiere aprobación de [responsable]».
3. Cuentas personales: «No se usan cuentas personales para información de la empresa».
4. Datos prohibidos: «Nunca se introducen contraseñas, datos bancarios, datos de salud ni datos personales innecesarios».
5. Revisión humana: «Todo contenido generado con IA se revisa antes de enviarse o publicarse».
6. Transparencia: «Los asistentes que atienden a clientes se identifican como IA».
7. Conexiones y permisos: «Las extensiones y conectores con acceso a correo o archivos requieren aprobación».
8. Incidentes: «Si se comparte información por error, se comunica a [responsable] en 24 horas».
9. Formación: «Toda persona que use IA recibe formación inicial y una actualización anual».
10. Revisión: «La política se revisa cada seis meses o cuando se incorpore una herramienta nueva».

Cómo implantar la política de uso de IA sin frenar al equipo

Una política de uso de IA que nadie lee no sirve. Estos pasos funcionan en pymes:

1. Haz inventario sin reproches. Pregunta qué herramientas usa cada persona y para qué. Te sorprenderá.
2. Ofrece una alternativa aprobada. Si prohíbes sin dar opción, el shadow AI seguirá. Un plan de empresa de ChatGPT, Claude o Copilot suele ser suficiente; tienes una comparativa en Claude vs ChatGPT.
3. Escríbela con casos reales de tu empresa, no con lenguaje jurídico genérico.
4. Preséntala en una sesión de formación y deja que el equipo pregunte.
5. Nombra un responsable y pon en la agenda la primera revisión.

Si estás planteando proyectos de IA con financiación pública, una política de uso de IA bien documentada también suma, como explicamos en la guía de ayudas para implantar IA.

Preguntas frecuentes sobre la política de uso de IA

¿Es obligatorio tener una política de uso de IA?

No existe una norma que obligue a tener un documento con ese nombre. Pero el Reglamento Europeo de IA exige transparencia y pide formación del personal, y el RGPD te hace responsable de los datos que tu equipo comparte con herramientas externas. Una política escrita es la forma más sencilla de demostrar que has puesto medidas razonables.

¿Debemos prohibir ChatGPT en la empresa?

Prohibirlo sin alternativa suele empeorar las cosas: el equipo lo seguirá usando con cuentas personales y sin control. Es más eficaz aprobar un plan de empresa, definir qué datos pueden introducirse y formar a la plantilla. Así aprovechas la productividad de la herramienta y reduces el riesgo de fugas de información.

¿Qué es el shadow AI y cómo se detecta?

Es el uso de herramientas de IA no aprobadas por la empresa. Se detecta con una encuesta sincera al equipo, revisando extensiones instaladas en los navegadores, aplicaciones conectadas a las cuentas corporativas y gastos en suscripciones. Lo importante es no castigar el inventario inicial, sino ofrecer alternativas aprobadas y normas claras.

¿Cada cuánto hay que revisar la política de uso de IA?

Al menos cada seis meses, porque las herramientas, sus planes y la normativa cambian muy rápido. También conviene revisarla cuando se incorpora una herramienta nueva, cuando cambia un proveedor sus condiciones de privacidad o después de cualquier incidente. Fija la fecha de revisión en el propio documento y nombra a un responsable.

Redacta tus normas y forma a tu equipo

Una política de uso de IA clara convierte el uso caótico de la IA en una ventaja: el equipo trabaja más rápido y la empresa sabe qué ocurre con sus datos. Si quieres ayuda para redactarla y, sobre todo, para que tu plantilla la entienda y la aplique, en nuestra formación de IA para equipos trabajamos con casos reales de tu sector, en presencial o en remoto. También puedes escribirnos desde contacto.

Fuentes:

• Comisión Europea: preguntas frecuentes sobre la Ley de IA y el Ómnibus Digital
• Comisión Europea: artículo 50 del Reglamento de IA
• Comisión Europea: normas de transparencia desde el 2 de agosto de 2026
• AEPD: decálogo para personas usuarias de asistentes y agentes de IA
• Pérez-Llorca: políticas de IA generativa, guía práctica