Política de uso de IA para empleados: qué debe incluir y cómo implantarla

Por qué una política (y por qué ahora)

Una política de uso de IA es como las normas de uso del correo corporativo: no impiden trabajar, evitan que un gesto cotidiano acabe en un problema. El riesgo real casi nunca es la IA en sí, sino que alguien pegue en una herramienta pública datos de clientes, contratos o código sin saber qué pasa con ellos. Si quieres ver cuánta IA hay ya en tu empresa sin que nadie la haya aprobado, lee nuestra guía sobre shadow AI.

Además, el AI Act pide a quien usa sistemas de IA que adopte medidas de alfabetización del personal (art. 4, en la redacción vigente tras el Digital Omnibus), y el RGPD exige que sepas qué datos personales se comunican a proveedores. La política es el documento que reúne ambas cosas.

Qué debe incluir: diez apartados

1. Objetivo y alcance: a quién aplica (plantilla, colaboradores externos) y qué cubre (IA generativa, asistentes integrados en software, herramientas de traducción o transcripción…).
2. Herramientas aprobadas: lista corta de herramientas autorizadas, con su versión de empresa si existe, y qué se hace con las no listadas (pedir autorización, no prohibir en silencio).
3. Clasificación de datos: qué categorías pueden introducirse en cada herramienta (por ejemplo: públicos sí; internos solo en herramientas aprobadas; confidenciales y datos personales no, salvo autorización expresa). Se apoya en tu clasificación de datos.
4. Datos personales: regla simple de «no personales salvo herramienta aprobada con contrato de encargado del tratamiento» y a quién consultar en caso de duda.
5. Revisión humana: toda salida de IA que se use en un documento, decisión o comunicación externa la revisa y la firma una persona, que responde del resultado.
6. Usos prohibidos o con autorización previa: decisiones sobre personas (selección, evaluación, despidos), contenido que pueda engañar y cualquier uso que pueda ser de alto riesgo según el AI Act.
7. Transparencia: cuándo hay que indicar que un contenido o una interacción se generó con IA (por ejemplo, las obligaciones del artículo 50 si tu caso encaja).
8. Propiedad intelectual y confidencialidad: no introducir material de terceros sin derecho a ello y comprobar los términos de la herramienta sobre uso de los datos.
9. Formación y soporte: quién enseña, con qué frecuencia y a quién se pregunta.
10. Incidentes y consecuencias: cómo comunicar un uso erróneo sin miedo a represalias en una primera ocasión, y qué ocurre en caso de incumplimiento reiterado.

Implantarla en cuatro pasos

1. Mapea el uso real: pregunta a los equipos qué herramientas usan y para qué. Una encuesta anónima de diez minutos basta para empezar.
2. Redacta una política corta: dos páginas que se lean. Si nadie la entiende, nadie la cumple.
3. Forma y comunica: sesión de 45 minutos con ejemplos de «sí» y «no» de su trabajo diario, y un lugar fijo donde consultarla.
4. Mide y ajusta: revisa cada trimestre las consultas, los incidentes y las herramientas nuevas; actualiza la lista.

Aspectos laborales y de privacidad

Si la política va acompañada de controles (por ejemplo, registros de uso de herramientas o bloqueos), conviene comprobar con tu asesoría laboral qué información o consulta a la representación de las personas trabajadoras corresponde, y cómo se compatibiliza con su derecho a la intimidad en el uso de dispositivos digitales en el ámbito laboral. Y si algún uso implica tratar datos de empleados con IA, es un tratamiento más que debe constar en tu registro de actividades.

Errores habituales

• Prohibirlo todo: el uso se desplaza a móviles personales y deja de ser visible.
• Un texto jurídico ilegible que nadie lee.
• No nombrar a un responsable de mantener la lista de herramientas.
• No formar: la política sin formación es papel.

Preguntas frecuentes

¿Es obligatorio tener una política de uso de IA?

No hay una norma general que exija un documento con ese nombre, pero sirve para demostrar las medidas de alfabetización en IA y el control de datos personales.

¿Qué datos no deben introducirse nunca?

Como mínimo, datos personales sin contrato con el proveedor, secretos comerciales, credenciales e información confidencial de clientes.

¿Cada cuánto se revisa?

Al menos una vez al año y cuando cambie una herramienta aprobada o la normativa.

Contenido informativo y orientativo; no constituye asesoramiento jurídico. Revisa tu caso con un profesional cualificado.