Política de uso de IA en la empresa: plantilla en ocho cláusulas

Una política de uso de IA en la empresa es un documento corto —dos o tres páginas, no veinte— que responde a cuatro preguntas que tu equipo ya se está haciendo cada día: qué herramientas puedo usar, qué información puedo pegar en ellas, quién revisa lo que producen y qué pasa si me equivoco. Si tu empresa no la tiene escrita, no significa que no haya política: significa que cada persona ha decidido la suya en privado.

Este artículo trae la plantilla completa, en cláusulas que puedes copiar y adaptar, más la parte que suele faltar: cómo se implanta para que no acabe en un PDF que nadie ha leído. Y hay un motivo adicional para hacerlo ahora, más allá del sentido común: la normativa europea de IA ya obliga a las empresas que usan sistemas de IA a asegurar un nivel adecuado de alfabetización en IA de su personal, y esa obligación está en vigor desde el 2 de febrero de 2025 (dato verificado en agosto de 2026).

¿Qué debe incluir una política de uso de IA?

Ocho secciones, y ni una más. Las políticas largas no se leen, y una política que no se lee no protege de nada: su única función real es que la persona que duda a las ocho de la tarde sepa qué hacer sin preguntar a nadie.

1. Alcance: a quién aplica (plantilla, becarios, freelance, proveedores) y a qué usos.
2. Herramientas aprobadas y cómo se pide el alta de una nueva.
3. Clasificación de datos: qué se puede pegar en una IA y qué nunca.
4. Revisión humana: qué salidas necesitan validación antes de salir de la empresa.
5. Transparencia: cuándo hay que decir que algo se ha hecho con IA, dentro y fuera.
6. Propiedad intelectual y confidencialidad de lo que entra y lo que sale.
7. Formación obligatoria y quién la recibe.
8. Incumplimientos: qué pasa cuando alguien se salta la política, y cómo se reporta un error sin miedo.

Plantilla: la política en ocho cláusulas

Lo que sigue es un texto base real, redactado para una pyme española. Adáptalo a tu contexto, revísalo con tu asesoría laboral antes de publicarlo y fecha la versión.

1. Alcance. Esta política aplica a toda persona que trabaje para [EMPRESA] —plantilla, prácticas, colaboradores externos y proveedores con acceso a nuestros sistemas— y a cualquier uso de herramientas de inteligencia artificial en el desempeño de su trabajo, se hayan contratado por la empresa o no.

2. Herramientas aprobadas. Solo pueden usarse con información de la empresa las herramientas incluidas en la lista de herramientas aprobadas, publicada en [UBICACIÓN] y revisada trimestralmente. Para proponer una nueva herramienta se abre una solicitud a [RESPONSABLE] indicando finalidad, tipo de datos implicados y proveedor. El uso de cuentas personales o gratuitas con información de la empresa no está permitido, porque en la mayoría de planes gratuitos el proveedor puede usar el contenido para entrenar sus modelos.

3. Qué información puede introducirse. Se clasifica en tres niveles: pública, interna y restringida. La información pública puede usarse con cualquier herramienta aprobada. La interna, solo con herramientas aprobadas con contrato empresarial. La restringida no se introduce en ninguna herramienta de IA sin autorización expresa de [RESPONSABLE]. La tabla de clasificación forma parte de esta política.

4. Revisión humana. Toda salida de una herramienta de IA que vaya a un cliente, a un proveedor, a una administración pública o a publicación externa debe ser revisada por una persona responsable antes de enviarse. La responsabilidad del contenido es siempre de quien firma, nunca de la herramienta. En materias con efecto legal, económico o sanitario, la revisión la hace un profesional cualificado.

5. Transparencia. Internamente, se indica cuándo un documento se ha elaborado con asistencia de IA si eso es relevante para quien lo recibe. Externamente, cuando un cliente interactúe con un asistente automático, se le informará de que está hablando con un sistema de IA y se le ofrecerá siempre acceso a una persona.

6. Confidencialidad y propiedad intelectual. No se introducen datos personales de clientes, empleados o candidatos sin base legal y sin que la herramienta cuente con el contrato de encargo de tratamiento correspondiente. No se introduce código, documentación o material sujeto a acuerdos de confidencialidad con terceros. Antes de publicar o comercializar material generado con IA, se verifica que no reproduce obra ajena.

7. Formación. Toda persona con acceso a herramientas de IA recibe formación inicial antes del alta y una actualización anual, con contenido adaptado a su función. La formación cubre capacidades y límites de las herramientas, riesgos de error y esta política. La asistencia se registra.

8. Incumplimientos y reporte de errores. El incumplimiento de esta política se trata conforme al régimen disciplinario aplicable, con proporcionalidad: no es lo mismo un descuido que una fuga deliberada de información. Reportar de buena fe un error propio cometido usando IA no será sancionado; ocultarlo, sí. Los incidentes se comunican a [RESPONSABLE] en un plazo máximo de 24 horas.

¿Qué datos se pueden pegar en una IA y cuáles no?

Esta es la tabla que más se consulta de toda la política, así que conviene que quepa en una pantalla y no admita interpretación.

Dos aclaraciones que evitan la mayoría de las dudas reales. Primera: anonimizar mal no convierte un dato restringido en interno; si el texto permite reidentificar a la persona por contexto, sigue siendo restringido. Segunda: las credenciales y claves de API no se pegan nunca, en ninguna herramienta y bajo ninguna circunstancia, ni siquiera "para depurar un momento".

¿Qué obliga exactamente el AI Act?

Para una empresa que usa IA —no que la desarrolla— la obligación más directa y ya vigente es la alfabetización: el artículo 4 del Reglamento Europeo de IA exige que proveedores y responsables del despliegue aseguren un nivel suficiente de alfabetización en IA de su personal, y es aplicable desde el 2 de febrero de 2025. El paquete de simplificación conocido como Digital Omnibus sobre IA —Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026— aplazó las obligaciones de los sistemas de alto riesgo del Anexo III hasta diciembre de 2027 y las del Anexo I hasta agosto de 2028, pero no aplazó la obligación de alfabetización, que sigue su calendario original. Datos verificados en agosto de 2026; el calendario ha cambiado ya una vez, así que conviene reconfirmarlo antes de tomar decisiones.

La lectura práctica es cómoda: la formación del punto 7 de la plantilla no es un extra de buena voluntad, es la forma más directa de cumplir. Y la transparencia del punto 5 anticipa las obligaciones de información al usuario. Para el detalle regulatorio completo y su cruce con el RGPD, tenemos el análisis en AI Act y RGPD al automatizar con IA en España.

¿Política represiva o política que se usa?

Aquí está la decisión de fondo, y es de cultura, no de redacción. Una política que solo prohíbe consigue exactamente lo contrario de lo que busca: la gente sigue usando IA porque le resuelve el día, pero deja de contarlo. Eso es shadow AI, y es bastante peor que el uso descontrolado, porque ocurre en cuentas personales, sin contrato empresarial y sin ninguna visibilidad.

La política que funciona hace tres cosas a la vez: prohíbe poco y claro, ofrece alternativa aprobada para casi todo lo que la gente necesita, y no castiga el reporte honesto de errores. Si un comercial necesita resumir llamadas y tu política no le da herramienta para hacerlo, va a usar la suya. La sección de herramientas aprobadas no es burocracia: es el mecanismo por el que la política se cumple sola.

Nosotros operamos así nuestros propios negocios —somos nuestro primer cliente— y el aprendizaje más útil ha sido este: la lista de herramientas aprobadas hay que revisarla de verdad cada trimestre, porque una lista desactualizada empuja a la gente fuera de la política más rápido que cualquier prohibición.

Cómo implantarla sin que acabe en un PDF olvidado

1. Inventaría primero lo que ya se usa. Pregunta sin sanción y con amnistía explícita. La lista real siempre sorprende.
2. Aprueba herramientas para los tres o cuatro usos más frecuentes antes de publicar nada. Publicar prohibiciones sin alternativas quema la política el primer día.
3. Escribe la versión corta con la plantilla de arriba, fechada y con responsable con nombre y apellidos.
4. Forma antes de exigir. Una sesión práctica por área, con ejemplos de su trabajo real, vale más que un curso genérico. Lo desarrollamos en formación en IA para empleados.
5. Revisa cada trimestre la lista de herramientas y los incidentes reportados, y ajusta.

Si además vas a desplegar agentes que actúan sobre tus sistemas —no solo asistentes que redactan—, la política de uso se queda corta y necesitas la capa de permisos y trazabilidad que describimos en gobernanza de agentes de IA y permisos. Y si la duda es dónde se procesan tus datos, la comparación está en IA en local frente a nube.

Preguntas frecuentes

¿Es obligatorio tener una política de uso de IA?

La normativa europea no exige un documento llamado "política de uso de IA", pero sí obliga desde febrero de 2025 a asegurar la alfabetización en IA del personal, y el RGPD obliga a controlar qué datos personales se tratan y dónde. Una política escrita es la forma más eficiente de acreditar ambas cosas, y en la práctica es lo primero que te van a pedir en una auditoría o en un contrato con un cliente grande.

¿Cuánto debe ocupar?

Dos o tres páginas para la política, más una tabla de clasificación de datos y una lista de herramientas aprobadas que vivan aparte, porque cambian mucho más rápido que el texto. Si tu política ocupa quince páginas, lo que has escrito es un manual, y necesitarás además una política de dos páginas para que alguien la lea.

¿Aplica también a proveedores y freelance?

Sí, y conviene que sea explícito en la cláusula de alcance, además de reflejarse en los contratos. El riesgo de que un colaborador externo pegue documentación tuya en una herramienta gratuita es exactamente el mismo que si lo hace un empleado, con la diferencia de que sobre él tienes menos control directo.

¿Qué hago si descubro que ya se está usando IA sin control?

Amnistía y canalización, no expediente. Abre un periodo corto de declaración sin consecuencias, apunta todo lo que aparezca, aprueba deprisa las herramientas que cubran los usos legítimos y cierra el resto con alternativa. Perseguir el uso existente sin ofrecer sustituto solo consigue que se esconda mejor.

¿Cada cuánto se revisa?

La lista de herramientas, cada trimestre. El texto de la política, una vez al año o cuando cambie algo relevante: un nuevo despliegue de agentes, un cambio normativo o un incidente. Ponle fecha de versión visible en la cabecera; una política sin fecha se trata, con razón, como una política dudosa.