Política de uso de IA en la empresa: qué incluir, ejemplo de redacción y cómo implantarla

Antonio De Haro - DPD y Gestor RGPD — Fri, 16 Oct 2026 09:00:00 +0000

El AI Act obliga a las empresas que usan inteligencia artificial a que su personal tenga formación suficiente (artículo 4). Lo que no dice es cómo se demuestra, y ahí entra la política de uso de IA: el documento donde la empresa fija qué se puede hacer con estas herramientas, qué no y quién responde. No es obligatoria con ese nombre, pero es la prueba más sencilla de que la empresa dio reglas y de que cada persona las conoce.

También es una protección frente a un riesgo que el AI Act no menciona pero que existe: que alguien pegue datos de clientes en una herramienta pública porque nadie le dijo que no lo hiciera.

Qué debe incluir

Sección	Contenido mínimo
Objetivo y alcance	A quién afecta (empleados, colaboradores externos) y qué herramientas cubre
Herramientas autorizadas	Las que la empresa ha aprobado, con su finalidad, y cómo pedir una nueva
Usos prohibidos	Los del artículo 5 del AI Act y los que la empresa decida vetar
Datos que no se pueden introducir	Datos personales de clientes o empleados, información confidencial, credenciales y secretos comerciales
Revisión humana	Qué contenidos generados con IA debe revisar una persona antes de enviarlos o publicarlos
Transparencia	Cuándo hay que avisar a clientes o usuarios de que interactúan con una IA (artículo 50)
Responsables y formación	Quién supervisa el uso y cómo se acredita la formación del equipo
Incumplimiento y revisión	Consecuencias y fecha de actualización de la política

Un ejemplo de redacción

Las cláusulas cortas funcionan mejor que los párrafos largos. Estas servirían como punto de partida:

Solo se pueden usar las herramientas de IA incluidas en el inventario de la empresa. Para incorporar una nueva, hay que solicitarla al responsable de la política antes de usarla.

No se introducirán en ninguna herramienta de IA datos personales de clientes, empleados o proveedores, ni documentos marcados como confidenciales, salvo que la herramienta esté autorizada expresamente para ese fin.

Todo contenido generado con IA que vaya a salir de la empresa será revisado por una persona antes de su envío o publicación.

Cómo implantarla sin que quede en un cajón

Una política que nadie firma no demuestra nada. El proceso que mejor funciona tiene cuatro pasos: redactarla a partir del inventario de sistemas de IA, presentarla en una sesión corta con ejemplos reales del trabajo de cada área, recoger la aceptación de cada persona con fecha y revisarla al menos una vez al año o cuando cambie una herramienta.

Errores frecuentes

El más común es redactar una lista de herramientas permitidas en lugar de criterios: caduca en pocos meses, porque el mercado cambia más rápido que la política. Es mejor fijar reglas por tipo de uso y dejar la lista de herramientas en el inventario, que sí se actualiza.

El segundo es prohibir sin ofrecer alternativa. Si el equipo necesita traducir, resumir o redactar, y la empresa no le da una herramienta aprobada, acabará usando una por su cuenta. Es la llamada IA en la sombra, y es el origen de la mayoría de los incidentes con datos.

El tercero es no vincular la política con la formación. El artículo 4 pide formación suficiente, no una firma. Conviene que la formación obligatoria en IA use los casos de la propia política y que quede registrada.

Qué papel juega tu empresa

Si usas herramientas de terceros como ChatGPT o Copilot, eres desplegador y tienes obligaciones aunque no hayas desarrollado nada. La política es la forma más barata de empezar a cumplirlas.

SIGNA360 genera una política de uso de IA dinámica por cliente, que cambia cuando cambian los sistemas del inventario, y lleva el registro de formación con certificados. Forma parte de nuestra consultoría de cumplimiento del AI Act. Para saber en qué punto está tu empresa, puedes hacer gratis el test del AI Act y, si tu web usa chatbots o contenido con IA, el análisis gratuito de tu web.