Una política de uso de IA en la empresa solo sirve si la entiende quien, un martes a las cuatro, está a punto de pegar un contrato en ChatGPT. Por eso esta es corta y sin jerga. Aquí tienes si es obligatoria, las ocho cláusulas que necesita una pyme con el porqué de cada una, la plantilla para copiar, un prompt para adaptarla en una tarde y cómo conseguir que se cumpla.
¿Es obligatoria una política de uso de IA en la empresa?
Como documento con ese nombre, no. Lo que sí es obligatorio es lo que esa política ordena: tres cosas que ya te tocan si alguien en tu empresa usa Claude, ChatGPT o Copilot:
- Formar a quien la usa. El artículo 4 del Reglamento europeo de IA (la primera de las cuatro normas de la normativa de IA para empresas) pide adoptar medidas para apoyar la alfabetización en IA de tu gente. No exige un nivel concreto por persona, pero sí hacer algo y poder enseñarlo.
- Avisar de que es IA cuando toca, desde el 2 de agosto de 2026: en un chatbot con clientes o en imágenes realistas que publicáis.
- Cuidar los datos personales, como pide el RGPD de siempre.
La política es la forma más barata de cumplir las tres. Pasa como con las normas de la cocina compartida de la oficina: ninguna ley obliga a colgarlas, pero sin ellas cada uno hace lo que le parece y el lunes nadie sabe quién dejó la nevera así. La lista completa, en obligaciones de IA para pymes.
Antes de escribirla: saber qué se usa
¿Por qué no empezar directamente por la plantilla? Porque una política escrita a ciegas prohíbe cosas que nadie hace y se olvida de las que hace todo el mundo. Media hora preguntando quién usa IA, cuál y con qué cuenta lo evita. Cómo hacerlo, en inventario de IA en la empresa.
Seguramente aparezcan cuentas gratuitas y personales. Es normal: la gente las usa porque le ahorran tiempo. Prohibirlas sin dar alternativa solo consigue que se usen a escondidas, lo que se conoce como shadow AI en la empresa.
Las ocho cláusulas de una política de uso de IA, con su porqué
Estas son las normas de uso de IA para empleados que necesita una empresa de cinco a cuarenta personas (hay quien lo llama política de uso aceptable de la IA; es lo mismo). Cada una va con su motivo, porque una norma que se entiende se cumple más que una que solo se firma.
1 · A quién se aplica. A toda tu plantilla y a quien trabaje con tus datos desde fuera, como el autónomo que te lleva las redes. Si él pega la lista de clientes en su cuenta, el problema también es tuyo.
2 · Qué herramienta y con qué cuenta. La empresa elige una o dos herramientas y da cuentas de empresa. El motivo es el contrato: en un plan de empresa, el proveedor firma un contrato de encargado (el papel que le obliga a usar tus datos solo para lo que le pides). En una cuenta personal, ese contrato no existe.
Hay un segundo motivo. En una cuenta personal, que las conversaciones sirvan para entrenar al modelo depende de lo que cada persona haya aceptado. En Claude, los planes gratuito, Pro y Max solo las usan si el usuario lo permite, y los de empresa no lo hacen por defecto. Con cuentas de empresa, esa decisión es tuya.
3 · Qué se puede pegar. Casi todo, si va sin datos que identifiquen a nadie: el correo sin el nombre del cliente, el contrato con las partes tachadas. La pregunta que lo resuelve: «¿necesita la IA saber quién es esta persona?». Casi nunca. Caso a caso, en datos confidenciales e IA en la empresa.
4 · Qué no se pega nunca. Datos personales con nombre, datos de salud, contraseñas y lo que hayáis firmado como confidencial con un cliente. Corta a propósito: veinte cosas no se recuerdan a las cuatro de la tarde.
5 · Quién revisa antes de que salga. Lo que va a un cliente, se publica o tiene efectos legales lo lee una persona, y cada cifra o fecha se comprueba contra el original. ¿Por qué? Porque la IA se inventa datos con la misma seguridad con la que acierta.
6 · Qué no decide la IA. Nada sobre personas (a quién se contrata, a quién se evalúa) ni sobre dinero sin que alguien firme. Desde el 2 de diciembre de 2027, además, decidir sobre personas con IA será alto riesgo en el Reglamento. Más, en qué no delegar a la IA.
7 · Cuándo se avisa de que es IA. Si un cliente habla con un asistente automático, tiene que saberlo. Una imagen realista hecha con IA se etiqueta. El correo de impago que os ayudó a redactar Claude no lleva aviso. Qué debe decir el del chatbot, en chatbot con IA en tu web.
8 · Formación, dudas y errores. Cada persona recibe formación para su puesto y queda constancia. Las dudas van a una persona con nombre. Y quien pega algo que no debía lo cuenta sin miedo: un error contado en diez minutos se arregla; uno escondido, no.
La plantilla de política de uso de IA para copiar
Esta es la plantilla de política de IA para la empresa. Cambiad lo que va entre corchetes:
Política de uso de inteligencia artificial de [empresa]. Versión de [fecha].
1. Alcance. Toda la plantilla y quien trabaje con información de [empresa] desde fuera.
2. Herramientas. Usamos [herramienta] con cuenta de empresa. No se usan cuentas personales de ninguna IA para trabajar.
3. Qué se puede usar. Documentos de la empresa sin datos que identifiquen a nadie. Si la IA no necesita saber quién es alguien, no se le dice.
4. Qué no se introduce nunca. Datos personales sin anonimizar, datos de salud, contraseñas e información confidencial de clientes.
5. Revisión. Lo que sale a un cliente o se publica lo revisa una persona. Cifras y fechas, contra el original.
6. Decisiones. La IA prepara; contrataciones, evaluaciones y pagos los decide y firma una persona.
7. Transparencia. Los asistentes que hablan con clientes se identifican como IA. Las imágenes o vídeos realistas generados que publiquemos se etiquetan.
8. Formación y dudas. Quien usa IA recibe la formación de su puesto. Dudas e incidencias, a [nombre y correo].
Leído y aceptado: [nombre, fecha].
La firma se guarda con la constancia de la formación: son las dos piezas que os pedirían si alguien pregunta. La segunda, en registro de formación en IA.
Cómo adaptarla a tu empresa en una tarde
Una plantilla genérica habla de «datos personales», y tu gente piensa en nóminas, expedientes o historias clínicas, según el sector. Para aterrizarla, pídeselo a Claude con tu contexto. Este prompt se copia tal cual:
Te paso la política de uso de IA que queremos aprobar. Somos [a qué os dedicáis], [número] personas, y quienes más usan IA son [puestos]. Adapta cada cláusula con ejemplos de nuestro trabajo: qué documentos nuestros se pueden pegar y cuáles no. No añadas cláusulas nuevas. Si no sabes algo de nuestra empresa, pregúntamelo en lugar de suponerlo.
¿Por qué «no añadas cláusulas nuevas»? Porque si no, la alarga con apartados que una empresa de doce no necesita. Y «pregúntamelo» evita que rellene huecos con algo que suena bien pero no es tu caso. Hazlo con datos de la empresa, nunca de un cliente.
Hay políticas de IA de veinte páginas, con comité de ética incluido. En una empresa de doce, el comité de ética es la gerente, y los veinte folios acaban en un cajón.
Cómo hacer que se cumpla
La firma no hace que una política se cumpla. Lo que falla suele ser una de estas cuatro cosas (y la segunda es la que más pesa):
| Lo que falla | Por qué | Qué hacer |
|---|---|---|
| Se firma y se guarda | Nadie recuerda lo que leyó una vez | Explicarla en la formación con ejemplos de la casa |
| Prohíbe sin dar alternativa | La gente sigue con su cuenta, ahora a escondidas | Dar cuenta de empresa antes de prohibir la personal |
| Es demasiado larga | Si no cabe en dos folios, no se consulta | Ocho cláusulas y ni una más |
| Nadie la actualiza | Cambian la herramienta o la norma | Fecha en el título y revisión anual |
La política que se cumple es la que cabe en dos folios y se explica con ejemplos de la casa. La que se firma y se guarda solo sirve para decir que existía.
Lo que hacemos
La plantilla resuelve el papel; la formación hace que la gente la aplique. Formamos a equipos de pymes en Claude, puesto a puesto, y la política se trabaja en las sesiones con tus documentos. Cada persona sale con su certificado y la empresa con el registro. Contadnos cuántos sois en la página de empresas. Si quieres empezar por tu cuenta, Claude para principiantes.
Qué pide la ley en formación está en el artículo 4 del Reglamento de IA, con el texto vigente tras la reforma de julio en el BOE.
Esta plantilla vale para una pyme que usa IA para escribir, resumir y ordenar. Si tratáis datos de salud a gran escala, decidís sobre personas con IA o la vendéis, necesitáis más cláusulas y una revisión legal. Un punto de partida es la guía de la AEPD sobre RGPD e IA (es de 2020 y la agencia la tiene en revisión). Esto es orientación práctica, no asesoramiento legal.
Preguntas frecuentes
¿Es obligatorio tener una política de uso de IA en la empresa?
Como documento con ese nombre, no. Pero es la forma más sencilla de cumplir y poder demostrar lo que sí es obligatorio: formar a quien usa IA, avisar de que es IA cuando toca y cuidar los datos personales según el RGPD.
¿Qué debe incluir una política de uso de IA?
En una pyme bastan ocho cláusulas: a quién se aplica, qué herramienta y con qué cuenta, qué se puede pegar, qué no se pega nunca, quién revisa, qué no decide la IA, cuándo se avisa de que es IA, y formación y dudas. Caben en dos folios.
¿Se puede prohibir que los empleados usen ChatGPT con su cuenta personal?
Sí, y es recomendable para tareas de trabajo, porque en una cuenta personal no hay contrato con el proveedor que cubra los datos de la empresa. Pero antes hay que darles una cuenta de empresa; si no, se sigue usando la personal a escondidas.
¿Qué hago si alguien ya ha pegado datos de clientes en una IA?
Primero, sin castigo: averiguar qué se pegó, en qué herramienta y con qué cuenta. Si eran datos personales y hay riesgo para esas personas, es una brecha de seguridad que puede haber que notificar a la AEPD en 72 horas. Después, formación y la cláusula que faltaba.
¿Cada cuánto hay que revisar la política de uso de IA?
Cuando cambie la herramienta, cuando cambie la norma (como la reforma europea de julio de 2026) y, como mínimo, una vez al año. Poned la fecha en el título y guardad las versiones anteriores.