Blog
Política de uso de IA en la empresa: qué debe incluir
Una política de uso de IA es el documento que les dice a los colaboradores qué herramientas de inteligencia artificial pueden usar, qué información no deben compartir con ellas, qué usos necesitan aprobación previa y qué hacer si algo sale mal. Es la forma más rápida de pasar de un uso espontáneo de la IA a un uso con reglas comunes, sin prohibirla.
Por qué hace falta
En la mayoría de las organizaciones, los equipos ya usan asistentes de IA generativa para redactar, resumir o analizar, muchas veces con cuentas personales. Nada de eso es negativo en sí mismo. El problema aparece cuando nadie sabe qué información está saliendo de la organización ni quién revisa lo que la IA produce.
Prohibir la IA tampoco funciona: los equipos la siguen usando, ahora sin visibilidad, y la organización renuncia a mejoras de productividad. Una política clara resuelve las dos cosas.
Política de IA y política de uso responsable: no son lo mismo
En un sistema de gestión basado en ISO/IEC 42001 conviene distinguir dos documentos:
| Política de IA | Política de uso responsable | |
|---|---|---|
| Para quién | La dirección y los responsables de los sistemas. | Todos los colaboradores. |
| Qué define | Para qué usa la organización la IA, con qué principios, qué compromisos asume y quién responde por qué. | Qué puede y qué no puede hacer cada persona al usar herramientas de IA en su trabajo. |
| Quién la aprueba | La dirección. | La dirección o el responsable del sistema de gestión de IA. |
| Tono | Estratégico. | Práctico y concreto, con ejemplos. |
Este artículo se centra en la segunda: la que leen y aplican todos los días los equipos.
Los diez puntos que debe cubrir
1. Propósito y alcance
Para qué existe la política y a quién aplica: colaboradores, contratistas y cualquier persona que use herramientas de IA en nombre de la organización.
2. Herramientas autorizadas
Una lista de las herramientas de IA aprobadas, con la versión o el tipo de cuenta permitida (por ejemplo, la cuenta corporativa y no la personal). También el camino para solicitar una herramienta nueva.
3. Información que no se comparte
El punto más importante. Debe decir con claridad qué tipo de información no se ingresa en herramientas de IA externas, por ejemplo:
- Datos personales de clientes o colaboradores, protegidos por la Ley 8968 de protección de datos personales.
- Información financiera no pública, estratégica o contractual.
- Código fuente, credenciales y contraseñas.
- Información recibida de terceros bajo confidencialidad.
Funciona mejor si se apoya en la clasificación de información que la organización ya usa.
4. Usos que requieren aprobación previa
No todos los usos tienen el mismo riesgo. Los que intervienen en decisiones sobre personas (selección de personal, crédito, atención de reclamos), los que se comunican directamente a clientes o los que automatizan procesos críticos deben pasar por una evaluación antes de usarse.
5. Supervisión humana y validación de resultados
La IA apoya las decisiones; no las sustituye. La política debe dejar claro que quien usa una herramienta de IA es responsable del resultado y debe verificar su exactitud antes de usarlo en un informe, una respuesta a un cliente o una decisión.
6. Transparencia
Cuándo hay que informar que un contenido o una respuesta fue generada con apoyo de IA, sobre todo frente a clientes.
7. Propiedad intelectual y confidencialidad
Qué pasa con lo que se produce con IA, cómo se respetan los derechos de terceros y qué condiciones de uso de los proveedores hay que tener en cuenta.
8. Reporte de incidentes e inquietudes
Un canal claro para reportar errores, filtraciones de información o usos indebidos, y para hacer preguntas. Sin culpas: el objetivo es enterarse a tiempo.
9. Formación
Qué formación recibe cada perfil. La dirección, los usuarios de negocio y los equipos técnicos necesitan conocimientos distintos.
10. Responsables y revisión
Quién es el dueño de la política, cada cuánto se revisa y cómo se comunican los cambios. Las herramientas de IA cambian rápido; la política también debe hacerlo.
Errores comunes
- Copiar una plantilla genérica sin adaptarla a las herramientas y los datos reales de la organización.
- Escribirla solo en tono legal. Si los equipos no la entienden, no la aplican. Los ejemplos concretos ayudan más que las cláusulas.
- Publicarla y olvidarla. Sin comunicación ni formación, la política queda en un archivo que nadie abre.
- Hacerla sin saber qué IA se usa. Antes de escribir reglas, conviene hacer un inventario de las herramientas y funciones de IA presentes en la organización.
Cómo encaja en un sistema de gestión de IA
La política de uso responsable es una de las primeras piezas de un sistema de gestión basado en ISO/IEC 42001. En la metodología IA con Criterio se trabaja en la fase de liderazgo y política, junto con la política de IA y la asignación de responsables, y se acompaña de un taller de uso responsable para los equipos.
Es también una de las respuestas más directas a las cinco preguntas que toda dirección debería poder responder sobre su uso de la IA.
Este artículo tiene fines informativos y no sustituye la asesoría legal.