Política de uso de IA en la empresa: guía completa y plantilla lista para copiar

Una política de uso de inteligencia artificial es el documento interno que fija qué herramientas puede usar tu equipo, con qué información, con qué supervisión y qué ocurre cuando alguien se lo salta. No necesita veinte páginas ni un despacho de abogados para la primera versión: necesita existir, estar firmada y ser tan concreta que cualquiera sepa si lo que está a punto de pegar en un chatbot está permitido o no. En esta guía tienes las dos cosas: los criterios para decidir cada punto y una plantilla de 14 cláusulas que puedes copiar y adaptar en una tarde.

Por qué necesitas una política aunque «solo uséis ChatGPT»

Porque tu equipo ya usa IA generativa, con o sin permiso. Si en tu empresa hay ordenadores con navegador, alguien está resumiendo actas, redactando correos o depurando una fórmula de Excel con un chatbot ahora mismo. La pregunta no es si regular un uso futuro, sino si el uso que ya existe pasa por cuentas corporativas controladas o por cuentas personales gratuitas que nadie supervisa.

Los precedentes no son teóricos. En 2023 la prensa tecnológica documentó cómo empleados de un gran fabricante de semiconductores pegaron código fuente confidencial y actas de reuniones internas en un chatbot público para corregir errores y resumir notas; la información acabó en los servidores de un tercero y la compañía terminó vetando esas herramientas para toda la plantilla. Varios bancos internacionales restringieron el acceso por la misma razón. En todos los casos el problema fue idéntico: nadie había dicho por escrito qué se podía introducir en un prompt y qué no.

El riesgo tiene tres caras:

• Confidencialidad. Lo que se pega en una herramienta gratuita con cuenta personal puede almacenarse en servidores fuera de tu control y, según la configuración, usarse para entrenar futuros modelos. Un prompt con la oferta que preparas para un concurso es una fuga, aunque nadie la vea nunca.
• Datos personales. Introducir datos de clientes o empleados en una herramienta de IA es un tratamiento sujeto al RGPD. Sin base jurídica y sin garantías sobre el proveedor, es el tipo de brecha que acaba en la Agencia Española de Protección de Datos, con multas que en los tramos altos llegan a los 20 millones de euros o el 4 % de la facturación global.
• Resultados falsos. Estas herramientas producen cifras, citas y referencias con apariencia impecable y contenido inventado. Si nadie revisa antes de enviar, el error sale con tu firma.

Hay además una razón legal directa. Desde el 2 de febrero de 2025, el artículo 4 del Reglamento (UE) 2024/1689 obliga a las empresas que usan sistemas de IA a adoptar medidas de alfabetización para su personal. El Ómnibus digital sobre IA (Reglamento (UE) 2026/1744, publicado el 24 de julio de 2026 y en vigor desde el 27) reformuló ese artículo: ya no exige «garantizar» un nivel suficiente de alfabetización «en la mayor medida posible», sino «adoptar medidas para apoyar la promoción» de esa alfabetización, y aclara que no hay que asegurar un nivel concreto a ninguna persona en particular. La obligación de mover ficha sigue viva; lo que se suavizó es el estándar. Una política escrita con su plan de formación es la manera más simple de acreditar que la cumples. El detalle de esa obligación lo tienes en la guía del artículo 4 sobre alfabetización en IA; esta pieza se centra en el documento interno.

Y una advertencia de alcance: esta política cubre el uso cotidiano de herramientas generativas. Si tu empresa despliega sistemas que deciden sobre personas —filtrar currículums, conceder créditos, controlar accesos—, puedes estar ante un sistema de alto riesgo con obligaciones adicionales propias, las del artículo 26 para desplegadores de IA. Ante la duda, pasa cada uso por el clasificador de riesgo del AI Act antes de darlo por inocuo; el mapa completo de obligaciones del reglamento, por rol y por calendario, está en la guía de cumplimiento del AI Act.

Qué debe cubrir tu política

Da igual el formato mientras respondas con claridad a estos siete bloques:

1. Herramientas permitidas. Una lista cerrada, con nombre, usos autorizados y tipo de cuenta. Todo lo que no está en la lista está prohibido hasta que alguien lo autorice. Sin lista cerrada no hay política: hay una recomendación.

2. Datos que nunca se pegan. El corazón del documento. Datos personales, información de clientes bajo confidencialidad, secretos de negocio, credenciales, código propio. Redactado con ejemplos, porque «información sensible» no le dice nada a quien tiene prisa.

3. Revisión humana. Nada generado sale hacia un cliente, se publica o fundamenta una decisión sin que una persona competente lo revise y lo asuma como propio. Quien revisa, responde.

4. Transparencia y atribución. Quién firma el trabajo, cuándo hay que declarar que un contenido se generó con IA y qué exige cada contrato con cada cliente.

5. Registro de usos. No un diario de cada prompt: un inventario vivo de qué herramientas se usan, para qué y con qué información. Es lo que te permitirá contestar con hechos cuando un cliente, un auditor o la administración pregunte. La plantilla de inventario de sistemas de IA te da ese registro ya estructurado.

6. Formación. La pieza que conecta con el artículo 4: sesiones iniciales y periódicas, adaptadas al puesto, con asistencia documentada.

7. Consecuencias. Qué pasa si alguien incumple, con proporcionalidad y con una vía clara para reconocer errores sin miedo. Una política sin consecuencias es un póster.

Plantilla de política de uso de IA (lista para copiar)

Copia la plantilla completa —de la cláusula 1 a la 14—, sustituye los corchetes y adapta lo que no encaje con tu actividad. Dos avisos honestos antes: esta plantilla es orientativa y no constituye asesoramiento jurídico —si tratas datos de salud, operas en sectores regulados o despliegas sistemas de alto riesgo, revísala con un profesional—. Y no cites herramientas concretas a la ligera: la lista de la cláusula 4 es tuya y debe reflejar lo que tu empresa haya contratado de verdad.

Política de uso de inteligencia artificial de [NOMBRE EMPRESA]

Versión: 1.0 · Aprobada por: [ÓRGANO O CARGO] · En vigor desde: [FECHA] · Próxima revisión: [FECHA]

1. Objeto

Esta política regula el uso de herramientas de inteligencia artificial, en particular de IA generativa, en la actividad profesional de [NOMBRE EMPRESA]. Su finalidad es aprovechar estas herramientas protegiendo la información de la empresa y de sus clientes, cumpliendo la normativa aplicable y garantizando la calidad del trabajo.

2. Ámbito de aplicación

Se aplica a toda la plantilla de [NOMBRE EMPRESA], con independencia del tipo de contrato, y a los colaboradores externos que traten información de la empresa. Cubre cualquier dispositivo, corporativo o personal, desde el que se acceda a herramientas de IA por motivos de trabajo.

3. Definiciones

• Herramienta de IA generativa: aplicación capaz de producir texto, imágenes, audio, vídeo o código a partir de instrucciones del usuario.
• Prompt: instrucción, pregunta o contenido que el usuario introduce en la herramienta, incluidos los archivos adjuntos.
• Resultado: cualquier contenido producido por la herramienta.

4. Herramientas autorizadas

Solo pueden usarse con información de la empresa las herramientas de esta lista:

El uso de cualquier otra herramienta con información de la empresa queda prohibido hasta su autorización conforme a la cláusula 5.

5. Alta de nuevas herramientas

Cualquier persona puede proponer una herramienta nueva a [CARGO RESPONSABLE]. Antes de autorizarla se comprobará, como mínimo: dónde se alojan los datos, si los prompts se usan para entrenar modelos y cómo desactivarlo, sus condiciones de servicio y si el uso previsto implica datos personales. La decisión y sus condiciones se incorporan a la lista de la cláusula 4.

6. Información que está prohibido introducir en una herramienta de IA

No se introducirá en ningún prompt, adjunto ni configuración:

• Datos personales de clientes, empleados o terceros (nombres, correos, teléfonos, documentos de identidad, datos de salud, nóminas), salvo autorización expresa y por escrito de [CARGO RESPONSABLE] con una base jurídica documentada.
• Información sujeta a acuerdos de confidencialidad con clientes o proveedores.
• Secretos de negocio: precios no públicos, estrategia, ofertas en curso, código fuente propio, credenciales y claves de acceso.
• Documentación financiera, fiscal o legal no publicada.

En caso de duda, la información se trata como prohibida y se consulta antes.

7. Revisión humana de los resultados

Ningún resultado de una herramienta de IA se envía a un cliente, se publica ni fundamenta una decisión con efectos sobre personas sin la revisión previa de una persona competente en la materia. Quien revisa responde del contenido igual que si lo hubiera redactado. Las cifras, citas y referencias se verifican siempre contra su fuente original: estas herramientas pueden producir datos falsos con apariencia verosímil.

8. Transparencia y atribución

Los trabajos de [NOMBRE EMPRESA] los firman las personas que los realizan y revisan, que asumen su autoría. Se informará del uso de herramientas de IA generativa cuando lo exija la normativa aplicable o el contrato con el cliente, y siempre que un contenido se difunda sin revisión sustancial, algo que requiere autorización previa de [CARGO RESPONSABLE].

9. Registro de usos

[NOMBRE EMPRESA] mantiene un registro de los usos relevantes de IA: herramienta, finalidad, tipo de información empleada y persona responsable. No se registra cada prompt, sino cada tipo de uso (p. ej., «borradores de propuestas comerciales con [HERRAMIENTA 1]»). El registro lo mantiene [CARGO RESPONSABLE] y se revisa junto con esta política.

10. Cuentas y configuración

El trabajo con IA se realiza siempre desde cuentas corporativas contratadas por la empresa, nunca desde cuentas personales. En cada herramienta autorizada se desactivará, cuando la opción exista, el uso de los prompts para entrenar modelos, y se activarán las medidas de seguridad disponibles (verificación en dos pasos y control de acceso por perfiles).

11. Formación

Toda persona que use herramientas de IA recibirá formación inicial y periódica adecuada a su puesto: qué herramientas están autorizadas, qué información no puede introducirse, cómo revisar los resultados y cómo comunicar incidentes. Esta formación da cumplimiento a las medidas de alfabetización en materia de IA del artículo 4 del Reglamento (UE) 2024/1689. La asistencia queda documentada.

12. Comunicación de incidentes

Quien detecte un uso contrario a esta política, una fuga de información o un resultado erróneo ya entregado lo comunicará de inmediato a [CARGO O CANAL]. Comunicar pronto un error es exactamente lo que esta política pide y no acarreará represalias. Si el incidente afecta a datos personales, [NOMBRE EMPRESA] evaluará si procede notificarlo a la Agencia Española de Protección de Datos en el plazo de 72 horas.

13. Incumplimiento

El incumplimiento de esta política podrá dar lugar a las medidas disciplinarias previstas en [CONVENIO COLECTIVO O RÉGIMEN INTERNO APLICABLE], proporcionadas a la gravedad y a la reincidencia. La empresa priorizará la corrección y la formación frente a la sanción en los incumplimientos leves comunicados por la propia persona.

14. Vigencia y revisión

Esta política entra en vigor el [FECHA] y se revisará al menos una vez al año, y siempre que cambien la normativa o las herramientas autorizadas. Cada persona confirma su lectura y aceptación mediante [FIRMA O REGISTRO EN LA INTRANET].

Cómo implantarla en una semana

No hace falta un proyecto de tres meses. Con dedicación parcial de una persona con mandato de dirección, una pyme la deja funcionando en cinco días laborables:

Día 1 — Averigua qué se usa de verdad. Encuesta anónima de cinco preguntas: qué herramientas usa cada uno, para qué, con qué cuenta, qué información ha llegado a pegar y qué le gustaría poder hacer. El anonimato importa: sin él, la gente calla y la política nace ciega.

Día 2 — Clasifica y decide. Con los resultados delante, separa los usos inocuos de los que tocan datos personales o decisiones sobre personas —el clasificador de riesgo te resuelve esa criba en minutos— y decide la lista inicial de herramientas autorizadas con sus cuentas corporativas.

Día 3 — Adapta la plantilla. Sustituye los corchetes, ajusta la cláusula 6 a tu sector y decide quién será el cargo responsable. Si algo de lo que hacéis roza el alto riesgo, este es el día de consultar a un asesor.

Día 4 — Aprueba y comunica. Firma de dirección y comunicación a toda la plantilla explicando el porqué, no solo el qué. El mensaje que funciona no es «queda prohibido», sino «esto es lo que sí podéis usar con tranquilidad».

Día 5 — Forma y recoge aceptaciones. Una sesión de una hora cubre la primera formación del artículo 4: herramientas autorizadas, datos vetados con ejemplos reales de vuestro trabajo diario y el canal de incidentes. Se documenta la asistencia y cada persona firma la aceptación.

A partir de ahí, el mantenimiento es liviano: registro de usos al día, altas de herramientas por el cauce de la cláusula 5 y una revisión anual. La reforma del artículo 4 en julio de 2026 es el recordatorio perfecto de por qué la fecha de «próxima revisión» no es decorativa.

Preguntas frecuentes

Fuentes

• Reglamento (UE) 2024/1689, artículo 4 (alfabetización en materia de IA) — aplicable desde el 2 de febrero de 2025.
• Reglamento (UE) 2026/1744, «Ómnibus digital sobre IA» (DOUE 24-jul-2026) — en vigor desde el 27 de julio de 2026; su artículo 1, punto 5, da nueva redacción al artículo 4.
• Reglamento (UE) 2016/679 (RGPD) — régimen sancionador, artículo 83.