Política de uso de IA en la empresa: qué debe incluir

Una política de uso de IA en la empresa es un documento interno, de dos a cuatro páginas, que dice qué herramientas de inteligencia artificial puede usar el equipo, con qué cuentas, qué datos no se introducen nunca, quién revisa lo que sale y cómo se forma a la gente. No es un trámite: es la forma de que diez personas usen la IA con el mismo criterio en lugar de con diez criterios distintos. Y sirve, además, para dejar constancia de las medidas de alfabetización en IA que pide el Reglamento europeo.

Esta guía va del documento en sí: qué apartados lleva, qué se escribe en cada uno y qué errores evitar. Si lo que buscas es el repaso de obligaciones de la normativa, está en Ley de IA en Europa: qué obliga ya a tu pyme.

¿Qué es una política de uso de IA y para qué sirve en una pyme?

Una política de uso de IA es la norma escrita que fija cómo se usa la inteligencia artificial en el trabajo diario. Responde a preguntas que hoy cada persona contesta a su manera: ¿puedo pegar este contrato en un chat de IA? ¿Puedo usar mi cuenta personal? ¿Hace falta que alguien revise este correo antes de enviarlo?

En muchas pymes la IA entra por la puerta de atrás: cada persona con su cuenta gratuita, para redactar correos o resumir PDF, sin que nadie sepa qué datos han salido de la empresa. La política no prohíbe eso: lo ordena.

Sirve para tres cosas:

• Proteger datos. De clientes, de la plantilla y de la propia empresa: precios, márgenes, contratos.
• Evitar errores caros. La IA se equivoca con aplomo; la política dice qué se revisa y quién lo revisa.
• Dejar constancia. Qué se ha explicado al equipo y cuándo, algo que encaja con la alfabetización en IA del Reglamento europeo (lo vemos más abajo).

¿Qué apartados debe incluir una política de uso de IA?

Una política de uso de IA para una pyme debe incluir ocho apartados: objetivo y alcance, herramientas autorizadas, usos permitidos y prohibidos, datos que no se introducen, revisión humana, transparencia con clientes, formación y un responsable con fecha de revisión. Cada uno cabe en uno o dos párrafos.

1. Objetivo y alcance. A quién se aplica (plantilla, colaboradores externos, personas en prácticas) y a qué herramientas: chats de IA, funciones de IA dentro de los programas que ya usáis, extensiones del navegador, transcriptores de reuniones.
2. Herramientas autorizadas. Una lista cerrada, con la cuenta que se usa (de empresa, no personal) y quién la gestiona. Lo que no está en la lista se pide antes de usarlo.
3. Usos permitidos y prohibidos. Ejemplos concretos de vuestro trabajo, no principios generales.
4. Datos que no se introducen. La parte más importante; la desarrollamos más abajo.
5. Revisión humana. Qué resultados revisa siempre una persona antes de usarlos y qué decisiones no se dejan nunca a la IA.
6. Transparencia. Cuándo se dice a un cliente que un texto o una respuesta los ha preparado una IA.
7. Formación. Qué se explica, a quién, cada cuánto y dónde queda apuntado.
8. Responsable y revisión. Una persona con nombre que resuelve dudas, aprueba herramientas nuevas y revisa el documento cada seis o doce meses.

Lo que más ayuda es concretar los usos con ejemplos del día a día. Una tabla como esta, adaptada a tu empresa, vale más que tres páginas de principios. Es un ejemplo: cada empresa la rellena con sus tareas reales.

Uso	¿Permitido?	Condición
Redactar el borrador de un correo a un cliente	Sí	Sin datos personales en la petición; lo revisa quien lo envía
Resumir el PDF técnico de un proveedor	Sí	Solo documentos sin datos personales ni cláusulas confidenciales
Traducir fichas de producto	Sí	Revisión de los términos técnicos antes de publicar
Transcribir una reunión interna	Con condiciones	Herramienta autorizada y aviso previo a los asistentes
Pegar nóminas, contratos o datos de salud	No	Sin excepciones en herramientas externas
Cribar currículums o puntuar a empleados	No	Requiere un análisis previo con un profesional: afecta a personas

Si al hacer la tabla aparecen tareas repetitivas que podrían hacerse de principio a fin sin copiar y pegar en un chat, eso ya no es una cuestión de política sino de automatización de procesos.

¿Qué herramientas se autorizan y con qué cuentas?

Se autorizan las herramientas que la empresa ha revisado y contratado con cuenta de empresa, y ninguna más. Con una cuenta de empresa cambia quién controla los datos, quién puede retirar el acceso cuando alguien se va y qué condiciones de uso se aplican.

Antes de autorizar una herramienta, conviene mirar tres cosas en sus condiciones:

• Si los datos que se introducen se usan para entrenar el modelo y si eso se puede desactivar.
• Dónde se procesan los datos y cuánto tiempo se guardan.
• Si el proveedor firma un contrato de encargado del tratamiento.

Este último punto no es un detalle. Cuando un servicio externo trata datos personales por cuenta de tu empresa, el artículo 28 del Reglamento General de Protección de Datos (texto publicado en el BOE) establece que ese tratamiento se rija por un contrato u otro acto jurídico que fije, entre otras cosas, el objeto, la duración, la naturaleza y la finalidad del tratamiento. Si una herramienta no ofrece ese contrato, una opción prudente es autorizarla solo para tareas sin datos personales. Esto es información general; para tu caso concreto, consulta con un profesional (tu asesoría, un abogado o tu delegado de protección de datos).

Las cuentas de empresa se protegen igual que el correo: contraseña única y segundo factor de autenticación. Una cuenta de IA suele guardar el historial de lo que el equipo le ha preguntado; quien entre en ella puede leerlo. Una llave de seguridad física es una forma sencilla de añadir ese segundo factor.

Un caso que conviene regular aparte son las transcripciones de reuniones. La política tiene que decir con qué herramienta se hacen, que se avisa antes a los asistentes y cuánto tiempo se guardan la grabación y el texto. Con un micrófono de sala que capte bien a todos, la transcripción sale con menos huecos y hay menos que corregir a mano.

¿Qué datos no se deben meter nunca en una herramienta de IA?

No se deben introducir en una herramienta de IA externa los datos personales que la tarea no necesita ni la información confidencial de la empresa. En la práctica, la política lo resume en una lista de «nunca» que cualquiera entiende sin leer el resto del documento.

La Agencia Española de Protección de Datos va en esa línea en su decálogo «Cuidado con lo que le confIAs», presentado en enero de 2026: recomienda no compartir con la IA datos personales ni información delicada (médica, financiera, contractual o de geolocalización) y, en el ámbito laboral, seguir las políticas de información y seguridad de cada organización y no incluir información que revele datos confidenciales de la entidad, de su personal o de sus clientes. La recomendación remite, por tanto, a que cada organización tenga sus propias normas.

Una lista de partida, para adaptar:

• DNI, direcciones, teléfonos y correos de clientes particulares.
• Nóminas, bajas médicas, evaluaciones y cualquier dato de salud de la plantilla.
• Contratos, ofertas y precios pactados con clientes o proveedores.
• Datos bancarios, contraseñas y claves de acceso.
• Documentos recibidos bajo un acuerdo de confidencialidad.

El criterio de fondo es la minimización: el artículo 5.1.c) del RGPD establece que los datos personales serán «adecuados, pertinentes y limitados a lo necesario» en relación con los fines para los que se tratan. Aplicado a la IA: si la tarea se puede hacer sin el nombre, se quita el nombre. Un correo de queja se puede resumir hablando de «el cliente A» en lugar de con nombre y apellidos.

La lista de «nunca» también vale para lo que se ve. Quien trabaja con un portátil en el tren o en una cafetería enseña la pantalla a quien tenga al lado; un filtro de privacidad limita lo que se ve desde los lados.

Para tareas que sí necesitan datos sensibles, la alternativa es que no salgan de la empresa: un modelo de IA que funcione en un equipo propio, con los límites que explicamos en IA local frente a la nube. También ayuda separar antes lo que la tarea necesita de lo que no, como contamos en preparar los datos de tu empresa antes de usar IA.

¿Quién revisa lo que produce la IA y qué decisiones no se le dejan?

Lo que produce la IA lo revisa siempre la persona que lo va a usar, y la política dice con qué nivel de detalle según lo que esté en juego. Un borrador de nota interna se lee por encima; un presupuesto, un texto con datos técnicos o la respuesta a un cliente que reclama se revisan línea a línea.

Una forma práctica de escribirlo es por niveles:

• Revisión ligera: textos internos, ideas, resúmenes para uso propio.
• Revisión completa antes de enviar: todo lo que sale de la empresa, como correos a clientes, publicaciones, fichas de producto o traducciones.
• Decisión siempre humana: lo que afecta a personas o a dinero, como contratar o evaluar a alguien, conceder un aplazamiento de pago o aceptar una reclamación.

El tercer nivel tiene base legal. El artículo 22 del Reglamento General de Protección de Datos reconoce el derecho de las personas a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en ellas o les afecte significativamente de modo similar, salvo en los supuestos que el propio artículo prevé. Si la empresa se plantea usar IA para seleccionar personal o evaluar a la plantilla, conviene analizarlo antes con un profesional; no es algo que una política genérica pueda resolver.

Como referencia de cómo se escribe esto en una organización, la AEPD publicó en diciembre de 2025 el desarrollo práctico de su política interna de uso de IA generativa, con casos de uso como la gestión documental, la traducción de textos públicos o la asistencia en la redacción de informes, siempre bajo supervisión humana y sin contenido vinculante. Una pyme necesita bastante menos, pero la estructura sirve de guía.

Lo mismo vale cuando la IA no es un chat sino un sistema que trabaja solo. Un agente de IA bien montado para y avisa a una persona cuando duda; la política debe decir quién recibe ese aviso y en cuánto tiempo lo atiende.

¿Cómo encaja la política con la alfabetización en IA que pide la ley?

La política de uso es la base más práctica para la alfabetización en IA que pide el artículo 4 del Reglamento europeo de IA, en su redacción actual: explica al equipo qué hace cada herramienta, dónde falla y qué datos no se le dan, y deja constancia de que se ha explicado.

Ese artículo cambió este verano. El Reglamento (UE) 2026/1744, el «Ómnibus digital sobre IA», publicado en el DOUE el 24 de julio de 2026 y en vigor a los tres días, sustituyó el artículo 4 del Reglamento (UE) 2024/1689. El texto vigente dice que los proveedores y responsables del despliegue de sistemas de IA «adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA» de su personal y de las demás personas que se encarguen en su nombre del funcionamiento y la utilización de esos sistemas, y aclara que la obligación no exige garantizar un nivel específico de alfabetización de ninguna persona en particular. La redacción anterior hablaba de garantizar, en la mayor medida posible, un nivel suficiente. La obligación sigue ahí; lo que cambia es que se mide por las medidas que se toman.

¿Qué medidas valen? La Comisión Europea indica en sus preguntas y respuestas sobre alfabetización en IA que no hace falta ningún certificado, que las medidas se adaptan al riesgo de los sistemas, al papel de la organización y a los conocimientos del personal, y que se puede llevar un registro interno de las formaciones y otras iniciativas. Para una pyme, eso se traduce en algo así:

• Una sesión corta al aprobar la política, con ejemplos de vuestras tareas.
• Una explicación para cada persona que se incorpora.
• Una actualización cuando se autoriza una herramienta nueva.
• Una hoja con la fecha, los asistentes y el material usado.

El resto del Reglamento lo repasamos en la guía sobre la Ley de IA en Europa para pymes. Esto es información general; para tu caso concreto, consulta con un profesional (tu asesoría, un abogado o tu delegado de protección de datos).

Qué errores evitar y cuándo no compensa complicarlo

Una política de IA no sirve de nada cuando se escribe para archivarla y no para usarla. Los errores más frecuentes son estos:

• Copiar una plantilla genérica. Si no menciona vuestras herramientas ni vuestras tareas, nadie la reconoce como suya.
• Prohibirlo todo. La IA no desaparece: pasa a usarse a escondidas, con cuentas personales y sin ningún control.
• Hacerla demasiado larga. Si una empresa de veinte personas necesita más de cuatro páginas, probablemente sobra texto.
• No nombrar un responsable ni revisarla. Las herramientas cambian sus condiciones y, sin alguien que lo vigile, la lista de autorizadas se queda vieja.

Y unos límites que conviene tener claros. La política no hace que la IA acierte: la IA no garantiza cero errores, no decide lo que no se le ha definido y no sustituye el criterio de quien conoce a los clientes. Tampoco protege por sí sola: si nadie la explica, es papel. En una empresa de tres personas que usa una sola herramienta puede bastar con una página y una conversación.

Por dónde empezar: un borrador en una semana

Un primer borrador útil se puede tener en una semana, en cuatro pasos y sin comprar nada:

1. Pregunta qué se usa ya. Una lista de herramientas y tareas, incluidas las cuentas personales: también cuentan.
2. Decide la lista de autorizadas y pasa a cuentas de empresa lo que se vaya a seguir usando.
3. Escribe la tabla de usos y la lista de datos que no se introducen, con ejemplos vuestros.
4. Explícala en una sesión y apunta la fecha y los asistentes.

Si la empresa tiene representantes de los trabajadores, conviene contar con ellos desde el principio. El artículo 87.3 de la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales, en el BOE, prevé que los empleadores establezcan criterios de utilización de los dispositivos digitales y que en su elaboración participen los representantes de los trabajadores; si la política fija normas sobre el uso de los ordenadores y móviles de la empresa, puede tocar ese terreno. Esto es información general; para tu caso concreto, consulta con un profesional (tu asesoría, un abogado o tu delegado de protección de datos).

Con la política en marcha, el paso siguiente suele ser pasar de usos sueltos a procesos: lo que hoy cada persona hace a mano con un chat puede convertirse en una tarea montada sobre vuestros programas, con sus controles y su revisión humana. Lo explicamos en qué puede y qué no puede hacer la inteligencia artificial en una pyme.

Si quieres ver por dónde empezar en tu caso, puedes contarnos cómo trabajáis y lo vemos en un diagnóstico gratuito de una hora, sin compromiso.