La política de uso de IA¶
En resumen
- La política de uso responde a la pregunta que se hace todo el equipo: ¿qué puedo hacer con la IA, con qué herramientas y con qué datos?
- Funciona como un semáforo: permitido, necesita aprobación y prohibido. La clave está en qué datos se usan.
- Tiene que ser corta, conocida y aplicada. Una política larga que nadie ha leído no protege a nadie.
Por qué hace falta ya¶
Aunque no se haya decidido nada, lo más probable es que en vuestra empresa ya se use IA: alguien resume un documento, redacta un correo o traduce un texto con una herramienta gratuita. No es mala fe; es que nadie ha dicho dónde está el límite.
El riesgo principal no es la herramienta, sino lo que se pega en ella: datos de clientes, precios, condiciones con proveedores o información de empleados. Con una herramienta gratuita, esa información puede acabar usándose para entrenar el modelo o ser revisada por el proveedor, y deja de estar bajo vuestro control.
El semáforo¶
| Qué incluye (ejemplos habituales) | |
|---|---|
| 🟢 Permitido | Redactar, corregir, resumir o traducir sin datos confidenciales · Preparar borradores de presentaciones y comunicaciones · Buscar y ordenar información pública |
| 🟡 Necesita aprobación del comité | Usar datos de clientes o información financiera o contractual con herramientas externas · Poner un chatbot o asistente de cara a clientes · Enviar comunicaciones a clientes generadas con IA sin revisión · Usar IA para decisiones sobre personas (selección, evaluación) |
| 🔴 Prohibido | Introducir datos personales sin anonimizar en herramientas no aprobadas · Compartir secretos comerciales o información bajo confidencialidad · Crear contenido falso de personas reales · Dejar que la IA decida sola sobre empleo, crédito o acceso a servicios |
Estos son ejemplos de partida. Cada empresa ajusta el semáforo a su actividad.
La pieza clave: qué datos van a qué herramienta¶
La mayoría de las dudas del día a día se resuelven con una clasificación sencilla de la información:
| Tipo de información | Ejemplos | Con qué herramientas |
|---|---|---|
| Pública | Web, catálogos publicados, normativa | Cualquiera |
| Interna | Procedimientos, documentación interna sin datos personales | Herramientas corporativas con contrato que garantice que no se entrena con vuestros datos |
| Confidencial | Márgenes, precios de coste, contratos, estrategia | Solo herramientas corporativas aprobadas expresamente |
| Datos personales | Nombres, contacto, DNI, datos de salud, de empleados o candidatos | Solo herramientas aprobadas para ello y, si el riesgo es alto, con evaluación previa (ver Datos personales e IA) |
Regla práctica para el equipo: si la tarea se puede hacer sin nombres ni datos identificativos, se hace sin ellos. Ante la duda, se trata como el nivel más restrictivo.
Las herramientas "por libre"¶
Es normal que, al aprobar la política, aparezcan herramientas que el equipo ya usaba por su cuenta. Lo que recomendamos es ofrecer una regularización sin consecuencias: quien use una herramienta no aprobada lo comunica, y el comité decide si se aprueba, se ajusta su uso o se deja de usar.
Castigar desde el primer día solo consigue que el uso se esconda, y lo que no se ve no se puede gestionar. Las consecuencias tienen sentido después, cuando la política ya es conocida.
Los compromisos detrás de la política¶
Una política no es solo una lista de normas; también expresa cómo quiere la empresa usar la IA. Cuatro compromisos resumen lo esencial:
- Siempre hay una persona responsable. Lo que sale de una IA y se usa en el trabajo tiene un responsable con nombre. La responsabilidad nunca es "de la herramienta" ni del proveedor.
- Revisión humana real. Revisar no es leer por encima: es comprobar los datos, que no se cuela información confidencial y que se podría defender el resultado ante un cliente.
- Transparencia. No hacer pasar por humano lo que ha generado una IA cuando eso importa a quien lo recibe (ver Lo que ya es obligatorio).
- No discriminar. Si la IA interviene en algo que afecta a personas, se revisa que no trate de forma injusta a nadie.
Qué decide la dirección¶
La política la redactamos juntos, pero estas decisiones corresponden a vuestra dirección:
- Qué herramientas corporativas se ponen a disposición del equipo (y, por tanto, qué se deja de usar).
- Qué canal se usa para las dudas, las solicitudes de aprobación y la comunicación de incidencias.
- Cómo se comunica la política: una norma que no se explica no se cumple.
- Cada cuánto se revisa: al menos una vez al año, o antes si cambia la normativa o aparece una herramienta relevante.
Qué se espera del comité¶
- ¿Tenemos la política aprobada y comunicada a todo el equipo?
- ¿Sabe el equipo qué herramientas están aprobadas y para qué tipo de información?
- ¿Hay un canal claro para dudas y solicitudes?
- ¿Hemos abierto la regularización de las herramientas que se usaban por libre?
- ¿Tiene cada empleado la Guía rápida de uso responsable?