Política de uso de IA en la empresa: qué debe incluir

Una norma interna de uso de IA es un documento de una o dos páginas que responde a cuatro preguntas: qué herramientas se pueden usar, con qué información, qué hay que revisar antes de que salga de la empresa y quién responde de lo que sale. No es un texto legal ni un manual de la herramienta: es una decisión de dirección puesta por escrito, para que cada persona no tenga que improvisarla por su cuenta.

Este artículo trae los diez apartados que debería tener, con el texto de partida de cada uno para que puedas copiarlo y adaptarlo. También lo que no debe entrar, que es la parte donde estos documentos se echan a perder.

Qué es y qué no es este documento

Lo primero es acotar. Una norma de uso de IA no es una evaluación de impacto en protección de datos, no es un inventario técnico de sistemas y no es una estrategia de digitalización. Es más pequeña y más útil que todo eso: la lee alguien de administración en cinco minutos y sabe qué puede hacer el lunes.

Y no es un documento exótico. La propia Agencia Española de Protección de Datos tiene la suya y la publica: en diciembre de 2025 difundió un anexo de implementación de su política general interna para el uso de IA generativa, con los casos de uso concretos que admite —gestión documental, traducción, material divulgativo, asistencia en la redacción de informes «siempre bajo supervisión humana y sin contenido vinculante»—, el análisis de riesgos con sus medidas de mitigación y un plan de despliegue por fases de formación, pruebas piloto y monitorización continua. Si el regulador de protección de datos necesita escribirse sus propias reglas de uso, la pregunta de si tu empresa necesita las suyas se responde sola.

Por qué ahora: lo que dice el Reglamento europeo

Desde 2025 hay un motivo normativo, y conviene entenderlo con precisión porque ya circulan ofertas que lo exageran.

El artículo 4 del Reglamento europeo de IA obliga a proveedores y responsables del despliegue de sistemas de IA a «adoptar medidas para apoyar el desarrollo de la alfabetización en materia de IA de su personal y de otras personas que se ocupen del funcionamiento y el uso de sistemas de IA en su nombre». La nota de preguntas y respuestas de la Comisión Europea precisa las fechas: el artículo entró en vigor el 2 de febrero de 2025, así que la obligación ya se aplica, y las normas de supervisión y ejecución se aplican desde el 3 de agosto de 2026.

Ahora la parte que casi nunca se cita. Ese mismo documento dice que «no hay un tamaño único para todos cuando se trata de alfabetización en IA y no se imponen requisitos estrictos o entrenamientos obligatorios», y añade que «no es necesario un certificado», porque «las organizaciones pueden llevar un registro interno de las formaciones y/u otras iniciativas de orientación».

Traducido: nadie te va a pedir un diploma. Lo que se espera es que puedas explicar qué medidas has tomado, proporcionadas a lo que tu empresa hace con la IA. Una norma escrita, comunicada y con el registro de quién ha recibido formación es exactamente eso, y es de lo más barato que hay.

Los diez apartados, con el texto de partida

Lo que sigue es la estructura que uso cuando escribo esto con una dirección. Los párrafos en cita son texto de partida: cópialo, cambia lo que no encaje y borra lo que no aplique. Lo que no se puede copiar son las decisiones, porque son vuestras.

1. Alcance: a quién se aplica

Esta norma se aplica a toda la plantilla, a las personas en prácticas y a los colaboradores externos que trabajen con información de la empresa, en cualquier dispositivo y con cualquier cuenta.

El error habitual es escribirla pensando solo en los empleados de oficina. Los colaboradores externos y los becarios suelen ser quienes más herramientas nuevas prueban y quienes menos contexto tienen sobre qué información es sensible.

2. Herramientas y cuentas autorizadas

Se autoriza el uso de [herramientas] con la cuenta corporativa. No se permite tratar información de la empresa con cuentas personales. Cualquier herramienta nueva se propone a [responsable] antes de usarla con información interna.

Aquí hay que ser concreto y corto: dos o tres herramientas nombradas. Y hay que mirar antes qué tenéis contratado de verdad, porque el tipo de cuenta cambia cómo se tratan los datos y quién administra la configuración. Si la empresa vive en Microsoft 365, ese detalle además condiciona qué puede ver la herramienta; lo desarrollo en ChatGPT o Copilot: cuál enseñar primero.

3. Información que no se introduce nunca

No se introducen en herramientas de IA: datos personales identificables de clientes, empleados o candidatos; documentación sujeta a acuerdo de confidencialidad; credenciales y claves de acceso; información económica no publicada. Antes de pegar un documento, se sustituyen nombres, NIF, direcciones y referencias identificables por marcadores genéricos.

Es el apartado que más se cita internamente y el que mejor funciona cuando es una lista corta y cerrada. Una lista de veinte supuestos no la recuerda nadie; cuatro sí.

4. Usos permitidos, por áreas

Se considera uso ordinario y no requiere autorización: redactar y reescribir borradores internos, resumir documentación propia, preparar guiones y listas de comprobación, traducir textos no contractuales, ordenar notas y extraer información de documentos que ya obran en poder de la empresa.

Este apartado es el que hace que la norma se lea con alivio en lugar de con resistencia. Una norma que solo prohíbe se percibe como un obstáculo y se incumple en silencio; una que dice con claridad qué sí se puede hacer se convierte en permiso, y el permiso se comparte.

5. Usos que requieren revisión previa

Requiere revisión de [responsable] antes de enviarse o publicarse cualquier contenido generado con apoyo de IA que vaya a un cliente, a una administración, a un procedimiento contractual o a un canal público de la empresa.

La frontera práctica es sencilla: mientras el texto se queda dentro, se aplica el criterio de quien lo escribe; cuando sale con el nombre de la empresa, pasa por una segunda lectura. Es la misma regla que ya existía para las propuestas comerciales antes de que hubiera IA.

6. Decisiones sobre personas: aquí no

No se utilizan herramientas de IA para tomar ni para fundamentar decisiones sobre personas: selección y descarte de candidaturas, evaluación del desempeño, medidas disciplinarias, promoción o extinción de contratos. Tampoco para inferir estados emocionales, actitud o rasgos personales de trabajadores.

Este es el apartado que más se olvida y el que tiene consecuencias reales. Hay dos razones para escribirlo.

La primera es laboral. La Ley 12/2021 añadió al artículo 64.4 del Estatuto de los Trabajadores el derecho del comité de empresa a «ser informado por la empresa de los parámetros, reglas e instrucciones en los que se basan los algoritmos o sistemas de inteligencia artificial que afectan a la toma de decisiones que pueden incidir en las condiciones de trabajo, el acceso y mantenimiento del empleo, incluida la elaboración de perfiles». Si la IA entra en ese terreno, hay una obligación de información que conviene no descubrir a posteriori.

La segunda es que hasta el fabricante lo restringe. La documentación de datos, privacidad y seguridad de Microsoft 365 Copilot agrupa bajo el nombre de «daños en el lugar de trabajo» las inferencias, juicios o evaluaciones sobre «el rendimiento, la actitud, el estado interno o emocional de un empleado, o las características personales», y afirma que «se restringe el uso de IA generativa o modelos para estos fines». Que Microsoft lo ponga por escrito ahorra media discusión en el comité de dirección.

7. Revisión humana y responsabilidad

Todo resultado generado con apoyo de IA se revisa antes de usarse. La responsabilidad del contenido es de la persona que lo firma o lo envía, igual que si lo hubiera redactado íntegramente.

Sin esta frase, la norma deja un hueco por el que se cuela el «me lo dio la herramienta». Con ella, la cadena de responsabilidad queda donde estaba.

8. Cuándo hay que decir que se ha usado IA

No es necesario indicarlo en borradores y comunicaciones internas. Sí debe indicarse cuando el contenido se presente como elaboración propia en un ámbito donde esa distinción sea relevante: informes técnicos firmados, documentación para licitaciones y contenidos publicados con la marca de la empresa.

Este apartado da pereza y evita un problema concreto: que alguien externo lo descubra por su cuenta y la empresa quede en la posición de haberlo ocultado. Basta con dos supuestos claros.

9. Formación y registro

La empresa proporciona formación sobre uso de estas herramientas al personal que las utilice y mantiene un registro interno de las sesiones impartidas, los contenidos y las personas asistentes.

Es el apartado que conecta la norma con el artículo 4 del Reglamento y con el registro interno del que habla la Comisión Europea. También es el que decide si la norma se cumple: un documento comunicado por correo y nunca explicado se lee una vez, en diagonal.

Si esa formación la queréis encajar en el crédito de formación de la empresa, te ayudamos a intentar bonificarla preparando la documentación de la acción formativa; el mecanismo completo está en formación bonificada en IA con el crédito de FUNDAE.

10. Responsable de la norma y fecha de revisión

Responsable de esta norma: [nombre y cargo]. Fecha de aprobación: [fecha]. Se revisa cada seis meses o antes si cambian las herramientas autorizadas. Las dudas se resuelven con [nombre], no por criterio propio.

Un documento sin nombre y sin fecha nace muerto. Y el canal para preguntar es más importante de lo que parece: sin él, cada duda se resuelve como se puede y la norma se convierte en una sugerencia.

Los cinco errores que dejan la norma en un cajón

Error	Qué provoca	Cómo se evita
Doce páginas de texto jurídico	Nadie la lee ni la aplica	Dos páginas, lenguaje de oficina
Prohibición general sin excepciones	Uso a escondidas con cuentas personales	Decir primero qué sí se puede
No nombrar responsable ni canal	Cada persona decide por su cuenta	Un nombre y una vía para preguntar
Publicarla sin formación	Se lee una vez y se olvida	Sesión corta y registro de asistentes
Copiar una plantilla sin decidir nada	Reglas que no encajan y no se cumplen	Decidir herramientas, datos y autorizaciones

El más caro es el segundo. Una prohibición general sin alternativa no elimina el uso de la IA: lo saca del control de la empresa y lo traslada a cuentas personales y móviles particulares, que es exactamente el escenario que la norma pretendía evitar.

Qué no cubre esta norma

Conviene decirlo para que nadie espere de este documento algo que no da.

No cubre la parte técnica de un despliegue: permisos, etiquetas de confidencialidad, prevención de pérdida de datos o control de quién accede a qué en vuestros sistemas. Tampoco cubre los proyectos que salen después —conectar dos sistemas, automatizar un flujo de trabajo, montar un asistente que consulte la documentación interna—, que son implantación y llevan su propio análisis. Esa parte no la hago desde aquí: la trabajo desde Meridian Data, la consultora de datos e IA desde la que abordo los proyectos técnicos.

Y no sustituye a la revisión de vuestra asesoría laboral ni de quien lleve la protección de datos. La norma es una decisión de dirección; que esa decisión esté bien encajada en vuestros contratos y en vuestro registro de tratamientos lo tiene que mirar quien lleve esos expedientes.

Cómo se escribe en la práctica

El orden que funciona, y no lleva semanas:

1. Inventario corto. Qué herramientas se están usando ya, con qué cuentas y para qué. Casi siempre aparece alguna que dirección no sabía.
2. Cuatro decisiones. Herramientas autorizadas, información vetada, qué pasa por revisión y quién responde. Son las que no se pueden delegar.
3. Borrador de dos páginas con los diez apartados de arriba, escrito en el lenguaje de la casa.
4. Revisión por asesoría laboral y por quien lleve protección de datos.
5. Comunicación y formación: una sesión corta donde se explique con casos reales del trabajo de cada área, y el registro de quién asistió.
6. Revisión a los seis meses, con lo que haya pasado de verdad.

En la mentoría en IA para directivos este documento es uno de los entregables: sale de las sesiones con dirección, con las decisiones ya tomadas y no como una plantilla rellenada. La formación de los equipos que después la tienen que aplicar está en formación en IA para empresas, y si el punto de partida es un equipo administrativo que ya usa estas herramientas por su cuenta, el más directo es el curso de ChatGPT para empresas.

Si quieres tener las cuatro decisiones claras antes de escribir nada, reserva media hora y las repasamos con tu caso.