Política interna de uso de ChatGPT y Copilot en empresas: cláusulas mínimas y errores a evitar
Muchas empresas ya usan ChatGPT, Copilot, Gemini, Claude u otras herramientas de IA generativa aunque todavía no tengan una norma interna clara. El riesgo no está solo en “usar IA”, sino en no saber qué datos se introducen, qué contenidos se generan, quién valida los resultados y qué evidencias quedan.
Una política interna útil no debe ser un PDF decorativo. Debe servir para que los equipos trabajen con IA sin improvisar, sin bloquear la productividad y sin convertir cada prompt en una decisión jurídica distinta.
El objetivo práctico es sencillo: que cualquier empleado sepa qué puede hacer, qué no debe hacer, cuándo pedir revisión y qué rastro debe conservar si el uso de IA afecta a clientes, empleados, terceros o comunicaciones externas.
1. Por qué la política interna de IA ya no puede esperar
La IA generativa ya está integrada en tareas cotidianas: redacción de textos, análisis de documentos, soporte a ventas, atención al cliente, recursos humanos, programación, presentaciones, resúmenes de reuniones, generación de imágenes y revisión de contratos o propuestas.
El problema aparece cuando cada departamento usa herramientas distintas, con cuentas personales, sin autorización previa y sin criterios comunes sobre datos personales, confidencialidad, propiedad intelectual o revisión humana.
Además, el marco regulatorio europeo ya exige más control. El AI Act aplica de forma progresiva y las obligaciones de transparencia del artículo 50 son aplicables desde el 2 de agosto de 2026 según las guías publicadas por la Comisión Europea. También siguen en juego las obligaciones del RGPD cuando se introducen, analizan o generan datos personales con una herramienta de IA.
Por eso la pregunta ya no debería ser si la empresa “permite o prohíbe la IA” en abstracto. La pregunta correcta es: qué usos concretos se permiten, bajo qué condiciones y con qué controles.
2. Qué debe cubrir una política interna de ChatGPT, Copilot y otras IA generativas
Una buena política no tiene que ser enorme. Tiene que ser clara y accionable. Como mínimo, debería cubrir estos bloques:
- Herramientas autorizadas, herramientas prohibidas y herramientas pendientes de validación.
- Tipos de datos que no pueden introducirse en sistemas de IA.
- Usos permitidos sin autorización especial.
- Usos que requieren revisión previa de legal, compliance, IT, seguridad o dirección.
- Reglas para contenidos que se publican o envían fuera de la empresa.
- Revisión humana obligatoria antes de tomar decisiones relevantes.
- Evidencias que deben conservarse en usos sensibles.
- Procedimiento para aprobar nuevas herramientas o integraciones.
- Formación mínima para empleados.
- Canal interno para dudas, incidentes o usos no previstos.
La clave es adaptar la política a los usos reales. No es lo mismo usar IA para mejorar el estilo de un correo interno que usarla para analizar CV, priorizar leads, responder a clientes o resumir expedientes con datos personales.
3. Datos que no deberían introducirse sin validación previa
La política debe explicar con ejemplos qué información no puede copiarse en herramientas de IA no autorizadas o no configuradas para uso empresarial.
Como regla general, deberían quedar prohibidos o sujetos a validación previa:
- Datos de salud, biométricos, ideología, afiliación sindical, religión, orientación sexual u otras categorías especiales de datos.
- Credenciales, contraseñas, claves API, tokens, códigos de acceso o información de seguridad.
- Secretos empresariales, información estratégica, ofertas confidenciales o documentación no pública.
- Expedientes completos de clientes, empleados, candidatos, proveedores o usuarios.
- Datos personales introducidos sin base jurídica, sin necesidad clara o sin control del proveedor.
- Información protegida por deber de secreto profesional o contractual.
- Documentos de terceros sujetos a propiedad intelectual cuando no exista permiso o encaje claro.
Esto no significa que toda IA quede descartada para trabajar con datos. Significa que antes hay que revisar proveedor, contrato, configuración, finalidad, base jurídica, minimización, conservación y transferencias internacionales cuando proceda.
4. Usos permitidos, limitados y prohibidos
La política debe separar tres niveles: usos permitidos, usos limitados y usos prohibidos.
Los usos permitidos suelen ser aquellos de bajo riesgo y con revisión humana: generar ideas, mejorar estilo, preparar borradores internos, resumir información no confidencial, crear esquemas, explicar conceptos o ayudar a redactar una primera versión que luego revisa una persona.
Los usos limitados requieren condiciones adicionales. Por ejemplo:
- Preparar comunicaciones externas a clientes o proveedores.
- Analizar documentación con datos personales.
- Generar textos legales, financieros, laborales o técnicos que puedan producir consecuencias relevantes.
- Usar IA en marketing, segmentación, scoring o automatizaciones comerciales.
- Utilizar asistentes integrados en CRM, ERP, herramientas de productividad o plataformas de recursos humanos.
Los usos prohibidos deberían quedar descritos de forma concreta. Por ejemplo: introducir secretos o credenciales, pedir a una IA que tome decisiones sobre personas sin revisión, usar herramientas no autorizadas para datos de clientes, publicar contenido generado sin revisión o hacer pasar como verificado un resultado que no se ha comprobado.
5. Cláusulas mínimas recomendadas
Una política interna de IA generativa para empresa debería incluir, al menos, estas cláusulas:
- Objeto y ámbito de aplicación: a quién se aplica y qué herramientas cubre.
- Herramientas aprobadas: listado, responsable de autorización y condiciones de uso.
- Datos personales y confidenciales: qué datos no pueden introducirse y cuándo se necesita revisión.
- Propiedad intelectual: reglas sobre documentos de terceros, contenidos generados y materiales protegidos.
- Transparencia: cuándo debe informarse de que se ha usado IA o de que un contenido ha sido generado o manipulado artificialmente.
- Supervisión humana: obligación de revisar resultados antes de publicarlos, enviarlos o usarlos para decidir.
- Evidencias: qué registros, prompts, versiones, aprobaciones o capturas conviene conservar en usos relevantes.
- Alta de nuevas herramientas: circuito para pedir revisión antes de contratar, instalar o activar una IA.
- Formación: conocimientos mínimos para empleados y responsables.
- Incidencias: canal para errores, filtraciones, resultados problemáticos o usos no autorizados.
Conviene evitar el lenguaje excesivamente genérico. Una frase como “usa la IA con responsabilidad” no sirve como control. La política debe convertir ese principio en reglas aplicables.
6. Cómo coordinar la política con RGPD y AI Act
La política interna no sustituye al análisis RGPD si hay tratamientos de datos personales. Tampoco sustituye al inventario de sistemas de IA ni a la revisión de proveedores. Debe conectarse con ambos.
Desde la perspectiva RGPD, habrá que revisar al menos:
- Finalidad del tratamiento.
- Base jurídica.
- Minimización de datos.
- Información a interesados.
- Encargado del tratamiento y contrato con proveedor.
- Transferencias internacionales si existen.
- Plazos de conservación.
- Medidas de seguridad.
- Necesidad de evaluación de impacto si el riesgo lo exige.
Desde la perspectiva del AI Act, la política ayuda a detectar obligaciones de transparencia, deberes de alfabetización en IA, posibles usos de alto riesgo y necesidades de documentación. Si la herramienta interactúa con personas, genera contenido externo, manipula imagen, audio o vídeo, o se usa en ámbitos sensibles como empleo, educación, servicios esenciales o evaluación de personas, no debería tratarse como un uso menor.
La Comisión Europea ha publicado guías sobre transparencia para proveedores y deployers de sistemas de IA bajo el artículo 50 del AI Act. También ha aclarado obligaciones para proveedores de modelos de IA de propósito general, aplicables desde el 2 de agosto de 2025, con poderes de enforcement desde el 2 de agosto de 2026. Para una empresa usuaria, esto no elimina la necesidad de gobierno interno: la refuerza.
7. Evidencias que conviene conservar
La política debería explicar qué evidencias deben conservarse cuando el uso de IA sea relevante. No todo prompt merece archivo, pero algunos usos sí deberían dejar rastro.
Puede ser razonable conservar:
- Herramienta utilizada y versión o configuración relevante.
- Responsable interno del uso.
- Finalidad.
- Tipo de datos introducidos.
- Resultado generado.
- Revisión humana realizada.
- Decisión final adoptada por una persona.
- Contrato, condiciones o política del proveedor.
- Capturas o registros de configuración.
- Aprobación previa cuando el uso sea sensible.
Estas evidencias ayudan a demostrar responsabilidad activa, detectar errores y responder ante clientes, empleados, auditores o autoridades.
8. Errores frecuentes al redactar una política de IA
Los errores más habituales no son técnicos. Son de diseño interno.
El primero es copiar una política genérica sin mirar usos reales. Cada empresa usa la IA de forma distinta. Una consultora, una clínica, una agencia de marketing, un despacho, una industria y una empresa de selección no tienen el mismo mapa de riesgos.
El segundo es prohibir todo. Esa vía puede parecer prudente, pero suele provocar usos ocultos con cuentas personales y sin control.
El tercero es permitir todo con una frase ambigua. “Usa tu criterio” no protege a la empresa ni ayuda al empleado.
También es frecuente olvidar herramientas ya integradas en software contratado. La IA no siempre aparece como una aplicación nueva; muchas veces llega como una función activada dentro de una plataforma que la empresa ya utiliza.
Y otro error importante es no formar a los equipos que más usan IA: marketing, ventas, atención al cliente, recursos humanos, IT, administración y dirección.
9. Modelo práctico de implantación en 30 días
Una política interna de IA puede implantarse sin paralizar la empresa si se trabaja por fases.
Semana 1: inventario rápido. Identificar herramientas, departamentos, finalidades, datos introducidos, proveedores y salidas generadas.
Semana 2: clasificación. Separar usos de bajo riesgo, usos con datos personales, usos externos, usos con impacto en personas y usos que requieren revisión legal o técnica.
Semana 3: redacción. Preparar una política breve, un anexo de herramientas autorizadas y reglas prácticas por departamento.
Semana 4: formación y puesta en marcha. Explicar la política a los equipos, abrir un canal de dudas, revisar los casos más sensibles y fijar una revisión trimestral.
Lo importante es que la política no quede aislada. Debe conectarse con compras, IT, seguridad, protección de datos, compliance y dirección.
10. Checklist rápido para empresas
Antes de dar por buena la política, conviene responder a estas preguntas:
- ¿Sabemos qué herramientas de IA usa cada equipo?
- ¿Existe una lista de herramientas autorizadas?
- ¿Está claro qué datos no pueden introducirse?
- ¿Hay reglas distintas para uso interno, uso externo y decisiones con impacto en personas?
- ¿Los resultados se revisan antes de enviarse o publicarse?
- ¿Está previsto cuándo informar del uso de IA?
- ¿Se conservan evidencias en usos relevantes?
- ¿Hay un procedimiento para aprobar nuevas herramientas?
- ¿Los equipos han recibido formación mínima?
- ¿Existe un canal interno para dudas e incidencias?
Si varias respuestas son “no lo sé”, el riesgo no es teórico. Significa que la empresa ya está usando IA, pero sin gobierno interno suficiente.
Conclusión
Una política interna de uso de ChatGPT, Copilot y otras herramientas de IA generativa no debería plantearse como un freno. Bien diseñada, permite usar IA con más seguridad, más coherencia y menos improvisación.
El primer paso no es escribir un documento largo. Es mapear usos reales, detectar riesgos y convertirlos en reglas claras para los equipos.
Si tu empresa ya usa IA generativa y necesita ordenar su uso, podemos ayudarte a preparar una política interna conectada con RGPD, AI Act, inventario de herramientas, revisión de proveedores y formación práctica.
Fuentes consultadas
- Comisión Europea: guías sobre obligaciones de transparencia del artículo 50 del AI Act, aplicables desde el 2 de agosto de 2026: `https://digital-strategy.ec.europa.eu/en/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems`
- Comisión Europea: guías sobre proveedores de modelos de IA de propósito general y aplicación progresiva desde el 2 de agosto de 2025 y enforcement desde el 2 de agosto de 2026: `https://digital-strategy.ec.europa.eu/en/policies/guidelines-gpai-providers`
- AEPD: requisitos para auditorías de tratamientos de datos personales que incluyan inteligencia artificial: `https://www.aepd.es/prensa-y-comunicacion/notas-de-prensa/aepd-publica-guia-requisitos-auditorias-tratamiento-ia`