Política de IA en la empresa: una ficha para decidir antes de usar una herramienta
Tu empresa puede tener una política de IA bien redactada y seguir sin responder a la pregunta que aparece cada día ante un documento de cliente: «¿Puedo pegar esto aquí?». El problema no siempre es que falten principios. A menudo falta traducirlos en una decisión para una tarea concreta.
La [política interna de uso de ChatGPT y Copilot](/politica-interna-chatgpt-copilot-empresa/) define el marco general. Esta ficha no pretende sustituirla: sirve para aplicarla antes de abrir una herramienta, conectar una fuente de datos o enviar un resultado.
Una ficha por tarea, no un permiso genérico para «usar IA»
Toma una tarea real —por ejemplo, resumir un contrato de un cliente— y anota siete decisiones. Si una queda sin respuesta, no improvises con el documento abierto en el chat.
### 1. Qué se quiere hacer
Describe la tarea y su resultado esperado. No es lo mismo obtener ideas para un borrador interno que enviar una respuesta al cliente o usar el resultado para decidir sobre personas. El riesgo depende del uso, no solo de la marca de la herramienta.
### 2. Qué herramienta y cuenta se autorizan
Identifica el servicio, la modalidad y la cuenta. Una cuenta personal y una corporativa pueden tener condiciones y controles diferentes. Si la herramienta aún no está aprobada, utiliza el [procedimiento de evaluación](/procedimiento-aprobar-herramientas-ia-empresa/) antes de activarla para todo el equipo.
### 3. Qué datos pueden entrar
Separa información pública, datos personales, documentos de clientes y secretos empresariales. Pregunta si puedes cumplir la tarea sin subir el archivo completo o con menos información. Quitar nombres no garantiza anonimato cuando el contexto permite identificar a alguien.
### 4. Qué límites no deben cruzarse
Anota usos prohibidos o que requieren autorización adicional: conectar repositorios completos, introducir información confidencial, automatizar un envío externo o apoyar una decisión sensible, según el caso. No conviertas la aprobación de una herramienta en aprobación de cualquier uso.
### 5. Quién revisa el resultado y cómo
«Revisión humana» no es pulsar aceptar. En un texto jurídico puede exigir comprobar normas, citas y adecuación al caso; en una propuesta comercial, las afirmaciones y los compromisos. Designa a alguien con competencia, tiempo y capacidad real para rechazar el resultado.
### 6. Qué se sabe del proveedor
Para este uso concreto, revisa conservación, accesos, subcontratación, ubicación del tratamiento y salida del servicio. Cuando el proveedor actúe como encargado del tratamiento, habrá que atender a los requisitos aplicables del RGPD. La [evaluación de proveedores de IA](/evaluacion-proveedores-ia-rgpd-ai-act/) desarrolla esta revisión.
### 7. A quién se avisa si algo sale mal
Define un canal para comunicar un envío indebido, una respuesta problemática o un uso no autorizado. La primera reacción debe permitir contener nuevos envíos y evaluar los hechos, no fomentar el silencio. Una incidencia con IA no equivale automáticamente a una brecha notificable.
Ejemplo: resumir un contrato de cliente
La ficha debería indicar el servicio y la cuenta autorizados, si el contrato puede introducirse íntegro o debe reducirse la información, qué partes del resumen requieren contraste con el original, quién lo revisa antes de utilizarlo y a quién consultar ante una duda. Si no puede responder a eso, la política todavía no ha llegado al trabajo cotidiano.
Puedes empezar con una tabla sencilla: tarea, herramienta, datos permitidos, límites, revisor, criterio de revisión y canal de incidencias. Revísala cuando cambien la herramienta, sus condiciones, los datos o la finalidad. Evita conservar en la propia ficha datos sensibles que no necesita.
Esta ficha no sustituye el análisis jurídico ni acredita por sí sola el cumplimiento del RGPD o del Reglamento de IA. Su valor es más modesto y más útil: que una persona pueda decidir bien mañana sin interpretar veinte páginas de política interna.
**Revisa una tarea real de tu equipo con estas siete preguntas. Las respuestas que falten son tu primer plan de trabajo.**