Política de uso de IA en la empresa: ejemplo y contenidos clave
Una política de uso de la IA en la empresa fija cómo pueden usar los empleados las herramientas de inteligencia artificial: cuáles están aprobadas, qué información no se introduce nunca, cómo se revisan los resultados, qué usos están prohibidos y cómo se comunican incidentes. Abajo tiene un ejemplo de estructura en doce apartados con cláusulas modelo para adaptar.
Lo esencial en breve
- La política de uso es el documento sobre IA que la mayoría de los empleados leerá. Tiene que ser breve, concreta y verificable.
- El núcleo son cinco apartados: herramientas aprobadas, clasificación de la información, revisión humana de resultados, usos prohibidos y comunicación de incidentes.
- El Reglamento de IA no exige un documento llamado «política de IA», pero la política es donde se aterrizan el artículo 4 (alfabetización), el artículo 5 (prácticas prohibidas) y el artículo 50 (transparencia).
- En España conviene coordinarla con el RGPD y, si la IA afecta a decisiones sobre la plantilla, con el derecho de información del comité de empresa.
- Una política sin formación ni lista de herramientas actualizada se queda en papel.
Por qué una política de uso de IA y qué debe resolver
La IA generativa entró en muchas empresas españolas por la puerta de atrás. Alguien en ventas pidió a un chatbot un borrador de oferta, alguien instaló una extensión que transcribe reuniones de Teams, y en atención al cliente se empezaron a pegar consultas en un asistente para resumirlas. Nada pasó por compras ni por sistemas, y parte de esa información eran datos personales o secretos comerciales.
La política cierra ese hueco. Da a la plantilla un sí claro y un no claro, y le da a usted algo que enseñar cuando un cliente, un auditor o un supervisor pregunte cómo controla el uso de la IA. Tres obligaciones del Reglamento de IA que ya se aplican se cumplen mejor con una política:
- Alfabetización en IA (artículo 4), desde el 2 de febrero de 2025. Tras el Ómnibus Digital, proveedores y responsables del despliegue deben adoptar medidas para fomentarla. Lo habitual es combinar política y formación; lo desarrollamos en la formación en IA que exige la ley.
- Prácticas prohibidas (artículo 5), también desde febrero de 2025, con nuevas prohibiciones desde el 2 de diciembre de 2026.
- Transparencia (artículo 50), desde el 2 de agosto de 2026: entre otras cosas, quien publica una ultrasuplantación (deepfake) debe indicarlo.
Puede redactar la política usted mismo con la estructura de abajo. O puede obtener su política de uso de la IA redactada a partir de sus respuestas: el diagnóstico gratuito de Opsio dura unos 40 minutos y, al enviarlo, genera la política de uso aceptable junto con otros tres documentos de gobernanza. Las preguntas están en español; los documentos se entregan en inglés como Word editable.
¿Necesitan ayuda experta con política de uso de ia en la empresa?
Nuestros arquitectos cloud les ayudan con política de uso de ia en la empresa — desde la estrategia hasta la implementación. Reserven una consulta gratuita de 30 minutos sin compromiso.
Ejemplo de política de uso de IA: estructura en doce apartados
Los apartados siguen el orden habitual en este tipo de documentos. Para cada apartado indicamos qué debe cubrir y, en los más delicados, una cláusula modelo. Sustituya lo que va entre corchetes por sus datos.
1. Objeto y ámbito de aplicación
Explique para qué existe la política y a quién se aplica: empleados, becarios, personal cedido por ETT, consultores y cualquier persona que use IA por cuenta de la empresa. Incluya todas las herramientas: asistentes conversacionales, asistentes de código, transcripción, generación de imágenes y funciones de IA dentro de programas que ya usan.
Cláusula modelo: «Esta política se aplica a todas las personas que utilicen herramientas de inteligencia artificial en el desarrollo de su actividad para [Empresa], con independencia del área y de que la herramienta la proporcione [Empresa], esté integrada en un software licenciado o se use a través de una cuenta personal».
2. Herramientas aprobadas
Enumere las herramientas permitidas y para qué tipo de información, o remita a una lista en la intranet que se mantenga al día. Indique la versión corporativa (por ejemplo, Microsoft 365 Copilot con la cuenta de la empresa, no la versión gratuita). Explique cómo se solicita una herramienta nueva y quién la aprueba. La lista debe salir del inventario de IA para que no diverjan; lo explicamos en shadow AI e inventario de IA.
Cláusula modelo: «Solo pueden utilizarse las herramientas incluidas en la Lista de herramientas de IA aprobadas. Las solicitudes de nuevas herramientas se dirigen a [responsable de gobernanza de la IA] mediante [formulario] y se aprueban tras la revisión de seguridad, protección de datos y proveedor».
3. Clasificación de la información: qué no se introduce nunca
Es el apartado que evita más incidentes. Vincule sus niveles de clasificación (pública, interna, confidencial, restringida) con reglas de IA y enumere lo que está vetado en herramientas no aprobadas expresamente para ello.
Cláusula modelo: «No se introducirá en ninguna herramienta de IA que no haya sido aprobada por escrito para ese nivel de información: contraseñas, claves o credenciales; datos personales de clientes, empleados o candidatos; categorías especiales de datos (salud, afiliación sindical, ideología, etc.); información financiera no publicada; código fuente propietario; ni documentos marcados como confidenciales o restringidos».
4. Revisión humana de los resultados
Deje claro que la IA se equivoca y que la persona que usa el resultado responde de él. Fije qué revisión es exigible según el destino: un borrador interno no es lo mismo que una respuesta a un cliente o un informe a un regulador.
Cláusula modelo: «Todo contenido generado con IA que se envíe a terceros, se publique o sirva de base a una decisión sobre personas será revisado por una persona con conocimiento suficiente del tema, que verificará datos, cifras, citas y referencias antes de su uso».
5. Usos prohibidos
Traduzca el artículo 5 del Reglamento y sus propias líneas rojas a ejemplos que entienda cualquiera. Incluya los usos que, sin estar prohibidos por la ley, su empresa no quiere. El detalle legal está en qué IA está prohibida por riesgo inaceptable.
Cláusula modelo: «Queda prohibido utilizar IA para: inferir emociones de compañeros o candidatos; clasificar a personas por su origen, opiniones políticas, religión u orientación sexual; generar imágenes íntimas o sexuales de personas reales; suplantar la identidad de una persona; o tomar decisiones automatizadas sobre empleados o clientes sin el proceso de aprobación previsto en el apartado 7».
6. Transparencia y etiquetado
Indique cuándo hay que avisar de que algo lo ha hecho una IA: chatbots con clientes, imágenes o vídeos sintéticos, textos publicados sobre asuntos de interés público. Defina el formato de la etiqueta.
7. Casos de uso que requieren aprobación previa
Algunos usos no deben depender de la iniciativa individual: IA en selección o evaluación de personal, decisiones de crédito o precio, atención automatizada a clientes, IA que actúa sobre sistemas (agentes). Exija una evaluación de riesgos antes de empezar; puede usar la plantilla de evaluación de riesgos de IA. Si afecta a la plantilla, prevea la información al comité de empresa (artículo 64.4 d) del Estatuto de los Trabajadores).
8. Protección de datos
Recuerde que introducir datos personales en una herramienta de IA es un tratamiento: necesita base jurídica, contrato de encargado con el proveedor, control de transferencias internacionales y, si el riesgo es alto, evaluación de impacto. Remita a su política de privacidad y al delegado de protección de datos.
9. Seguridad
Cuentas corporativas con autenticación multifactor, prohibición de extensiones no aprobadas, cuidado con documentos y enlaces que contengan instrucciones ocultas (inyección de instrucciones) y reglas para agentes que pueden ejecutar acciones.
10. Propiedad intelectual y confidencialidad
Quién es titular de lo generado, cómo se evita reproducir contenido protegido y qué compromisos de confidencialidad se mantienen con clientes.
11. Incidentes y shadow AI
Cláusula modelo: «Si ha introducido por error información no permitida en una herramienta de IA, o detecta un resultado que puede causar daño, comuníquelo de inmediato a [canal]. La comunicación de buena fe no tendrá consecuencias disciplinarias. Si utiliza una herramienta que no está en la lista, solicite su revisión en lugar de seguir usándola».
12. Formación, responsables y revisión
Quién es el responsable de la política, qué formación es obligatoria para usar las herramientas, cómo se registra, cada cuánto se revisa y qué consecuencias tiene incumplirla.
Qué se puede y qué no: tabla para los empleados
| Sí | No |
|---|---|
| Redactar un borrador de correo con Copilot corporativo y revisarlo | Pegar la base de clientes en un chatbot gratuito para segmentarla |
| Resumir un documento interno en una herramienta aprobada para ese nivel | Subir un contrato confidencial a una web de traducción con IA |
| Generar ideas para una campaña y etiquetar las imágenes sintéticas | Publicar un vídeo con la voz clonada de un directivo sin indicarlo |
| Pedir ayuda con una fórmula de Excel sin datos reales | Usar una IA para puntuar la «actitud» de candidatos por vídeo |
| Consultar dudas al responsable de gobernanza de la IA | Instalar extensiones de IA en el navegador corporativo por su cuenta |
Cómo implantarla en una empresa española
- Apruébela al nivel adecuado, normalmente en el comité de dirección, y comuníquela como norma interna.
- Acompáñela de la lista de herramientas y de un canal para pedir nuevas. Si solo prohíbe, la gente usará cuentas personales.
- Forme antes de exigir. Una sesión práctica de una hora con ejemplos reales vale más que un PDF largo.
- Informe a la representación legal de los trabajadores si la política o las herramientas afectan a la organización del trabajo o a decisiones sobre personas.
- Revísela al menos una vez al año y cuando cambien las herramientas, las guías de la AESIA o la ley.
Preguntas frecuentes sobre la política de uso de IA
¿Es obligatorio tener una política de uso de IA?
El Reglamento de IA no exige un documento con ese nombre. Sí exige medidas de alfabetización en IA, no usar prácticas prohibidas y transparencia en ciertos usos. Una política escrita, acompañada de formación, es la forma más práctica de demostrar esas medidas y la que más esperan clientes y auditores.
¿Hay un buen ejemplo de política de uso de IA para empezar?
La estructura de este artículo, con sus cláusulas modelo, es un punto de partida completo. Adáptela a sus herramientas, a su clasificación de la información y a su apetito de riesgo. No copie la política de otra organización tal cual: refleja sus herramientas y contratos, no los suyos.
¿Prohibimos ChatGPT y herramientas similares?
Prohibir del todo rara vez funciona: la gente acaba usando cuentas personales y móviles, y el riesgo aumenta sin ningún control. Suele funcionar mejor aprobar versiones corporativas con condiciones contractuales adecuadas, fijar reglas claras sobre la información y bloquear solo lo que no puede hacerse seguro.
¿Cada cuánto hay que revisar la política?
Como mínimo una vez al año y siempre que cambie algo relevante: un tipo de herramienta nuevo, un cambio de proveedor, nuevas guías de la Comisión, la AESIA o la AEPD, o un incidente que revele una laguna. Mientras el uso de IA crece rápido, muchas empresas la revisan cada seis meses.
¿Qué relación tiene con la política de protección de datos?
Son complementarias. La política de protección de datos regula cualquier tratamiento de datos personales; la de IA concreta cómo se aplican esas reglas al usar herramientas de IA y añade lo específico: herramientas aprobadas, revisión de resultados, usos prohibidos y etiquetado. Lo razonable es que se citen mutuamente.
Tenga su política lista sin empezar de cero
Con la estructura anterior puede redactarla usted. Si prefiere partir de un borrador que ya refleje sus herramientas, su información y su apetito de riesgo, el diagnóstico gratuito de Opsio con plantillas de política y gobernanza de IA le plantea catorce pasos de preguntas en español, unos 40 minutos, y al enviarlo redacta a partir de sus respuestas cuatro documentos: la política de uso aceptable de la IA, un marco de gobernanza de la IA, un checklist para proveedores de IA y una plantilla de evaluación de riesgos, más una foto de madurez en diez áreas. Se entregan en inglés como archivos Word editables y son suyos. Gratis y sin compromiso.
Este artículo es información general y no constituye asesoramiento jurídico. Consulte el texto consolidado del Reglamento (UE) 2024/1689 en su versión modificada por el Reglamento (UE) 2026/1744. Fechas y autoridades, a octubre de 2026.
Sobre el autor
Director de Innovación
Jacob lidera la innovación en Opsio, especializándose en transformación digital, IA, IoT y soluciones impulsadas por la nube que convierten tecnología compleja en valor empresarial medible. Con casi 15 años de experiencia, trabaja estrechamente con los clientes para diseñar soluciones escalables de IA e IoT, optimizar procesos de entrega y crear estrategias tecnológicas que impulsen un crecimiento sostenible y un impacto empresarial a largo plazo.
Normas editoriales: Este artículo lo ha escrito un profesional certificado y lo ha revisado nuestro equipo de ingeniería. Lo actualizamos cuando cambia la tecnología o la normativa que trata; las fechas de arriba indican la última actualización. Opsio mantiene su independencia editorial: recomendamos soluciones por su mérito técnico, no por relaciones comerciales.