El AI Act obliga a las empresas que usan inteligencia artificial a que su personal tenga formación suficiente (artículo 4). Lo que no dice es cómo se demuestra, y ahí entra la política de uso de IA: el documento donde la empresa fija qué se puede hacer con estas herramientas, qué no y quién responde. No es obligatoria con ese nombre, pero es la prueba más sencilla de que la empresa dio reglas y de que cada persona las conoce.
También es una protección frente a un riesgo que el AI Act no menciona pero que existe: que alguien pegue datos de clientes en una herramienta pública porque nadie le dijo que no lo hiciera.
Qué debe incluir
| Sección | Contenido mínimo |
|---|---|
| Objetivo y alcance | A quién afecta (empleados, colaboradores externos) y qué herramientas cubre |
| Herramientas autorizadas | Las que la empresa ha aprobado, con su finalidad, y cómo pedir una nueva |
| Usos prohibidos | Los del artículo 5 del AI Act y los que la empresa decida vetar |
| Datos que no se pueden introducir | Datos personales de clientes o empleados, información confidencial, credenciales y secretos comerciales |
| Revisión humana | Qué contenidos generados con IA debe revisar una persona antes de enviarlos o publicarlos |
| Transparencia | Cuándo hay que avisar a clientes o usuarios de que interactúan con una IA (artículo 50) |
| Responsables y formación | Quién supervisa el uso y cómo se acredita la formación del equipo |
| Incumplimiento y revisión | Consecuencias y fecha de actualización de la política |
Un ejemplo de redacción
Las cláusulas cortas funcionan mejor que los párrafos largos. Estas servirían como punto de partida:
Solo se pueden usar las herramientas de IA incluidas en el inventario de la empresa. Para incorporar una nueva, hay que solicitarla al responsable de la política antes de usarla.
No se introducirán en ninguna herramienta de IA datos personales de clientes, empleados o proveedores, ni documentos marcados como confidenciales, salvo que la herramienta esté autorizada expresamente para ese fin.
Todo contenido generado con IA que vaya a salir de la empresa será revisado por una persona antes de su envío o publicación.
Cómo implantarla sin que quede en un cajón
Una política que nadie firma no demuestra nada. El proceso que mejor funciona tiene cuatro pasos: redactarla a partir del inventario de sistemas de IA, presentarla en una sesión corta con ejemplos reales del trabajo de cada área, recoger la aceptación de cada persona con fecha y revisarla al menos una vez al año o cuando cambie una herramienta.
Errores frecuentes
El más común es redactar una lista de herramientas permitidas en lugar de criterios: caduca en pocos meses, porque el mercado cambia más rápido que la política. Es mejor fijar reglas por tipo de uso y dejar la lista de herramientas en el inventario, que sí se actualiza.
El segundo es prohibir sin ofrecer alternativa. Si el equipo necesita traducir, resumir o redactar, y la empresa no le da una herramienta aprobada, acabará usando una por su cuenta. Es la llamada IA en la sombra, y es el origen de la mayoría de los incidentes con datos.
El tercero es no vincular la política con la formación. El artículo 4 pide formación suficiente, no una firma. Conviene que la formación obligatoria en IA use los casos de la propia política y que quede registrada.
Qué papel juega tu empresa
Si usas herramientas de terceros como ChatGPT o Copilot, eres desplegador y tienes obligaciones aunque no hayas desarrollado nada. La política es la forma más barata de empezar a cumplirlas.
SIGNA360 genera una política de uso de IA dinámica por cliente, que cambia cuando cambian los sistemas del inventario, y lleva el registro de formación con certificados. Forma parte de nuestra consultoría de cumplimiento del AI Act. Para saber en qué punto está tu empresa, puedes hacer gratis el test del AI Act y, si tu web usa chatbots o contenido con IA, el análisis gratuito de tu web.
