Uso responsable de la inteligencia artificial: política para pymes

En una empresa de 5 a 200 personas, una política de uso responsable de la inteligencia artificial debe resolver las dudas del día a día: qué cuentas puede usar el personal, qué datos deben quedar fuera y quién revisa el resultado. Empieza con una política de una página, acceso autorizado a cuentas empresariales y una persona designada para responder preguntas. Todo trabajo realizado con ayuda de IA debe seguir siendo un borrador hasta que lo revise alguien que se haga responsable.

Uso responsable de la inteligencia artificial: plantilla de política

Copia esta política en el manual de la empresa o en un documento compartido. Sustituye los campos entre corchetes, incluye únicamente las cuentas que hayas autorizado y asegúrate de que todos puedan consultarla antes de su entrada en vigor. La plantilla está pensada para ocupar una página; revisa el formato después de añadir los datos de tu empresa.

Antes de adoptarla, pide a tu asesoría jurídica que compruebe que se ajusta a tus contratos y obligaciones.

Uso de IA en [Empresa]

Entrada en vigor: [fecha]. Responsable: [nombre y cargo]. Consultas o incidentes: [contacto]. Próxima revisión: [fecha]. Cuentas autorizadas y datos permitidos: [enlace a nuestra lista vigente].

1. A quién se aplica. Estas reglas son obligatorias para todas las personas que trabajan para nosotros, incluidos empleados, directivos y contratistas. Abarcan las herramientas de IA para conversar, redactar, programar, crear imágenes, gestionar reuniones y buscar información, así como las funciones de IA integradas en otros programas.

2. Usa cuentas autorizadas. Utiliza únicamente las herramientas, los planes y los espacios de trabajo de la empresa que figuren en nuestra lista de autorizaciones. Tener una suscripción personal o usar un correo del trabajo no equivale a tener autorización. No añadas conexiones con otras aplicaciones, extensiones del navegador, grabación de reuniones, acciones automatizadas ni opciones para compartir datos sin la aprobación de la persona responsable. Nunca compartas credenciales de acceso.

3. Qué trabajos puedes realizar. En las cuentas autorizadas, puedes usar información pública y material interno permitido para generar ideas, redactar borradores, resumir o preparar trabajos. Usa solo material que tengas autorización para compartir. Debe haber una persona responsable de cada tarea. No utilices IA para engañar, acosar, discriminar ni eludir controles de acceso.

4. Qué datos nunca debes introducir. Esta política prohíbe introducir en estas herramientas contraseñas, tokens de acceso, claves privadas, datos completos de tarjetas de pago, números de documentos oficiales de identidad, historiales médicos o expedientes confidenciales de empleados. No subas secretos comerciales, información financiera aún no publicada ni código fuente privado, salvo que la lista de autorizaciones permita expresamente ese material. Las mismas reglas se aplican a archivos, capturas de pantalla, grabaciones y carpetas conectadas.

5. Datos de clientes. Siempre que sea posible, usa ejemplos inventados o elimina los datos que permitan identificar a las personas. Antes de utilizar información de clientes identificables, obtén una autorización por escrito para esa tarea, herramienta, cuenta y conjunto de datos. La persona responsable debe revisar nuestros compromisos con el cliente, el permiso para compartir la información, las condiciones del proveedor y la configuración de acceso y conservación de datos. Envía solo lo necesario para la tarea. Si falta la autorización o no está clara, detente y consulta.

6. Revisa antes de usar. Antes de basarte en un resultado, enviarlo o publicarlo, comprueba los hechos, las fuentes, los cálculos, la confidencialidad y los derechos de uso del material; revisa también si contiene elementos injustos o engañosos. Quien lo envía sigue siendo responsable. El código debe pasar las revisiones y pruebas habituales. No permitas que la IA envíe mensajes, gaste dinero, modifique registros ni tome decisiones sobre contratación, remuneración, crédito u otros asuntos de importancia por su cuenta. Esos usos requieren un proceso autorizado por separado.

7. Explica cuándo interviene la IA. Informa a quien revise el trabajo internamente si la IA ha contribuido de forma sustancial a su redacción o análisis. Informa a los clientes cuando lo exija nuestro acuerdo, cuando interactúen directamente con una IA o cuando ocultar su intervención pueda inducirlos a error. No presentes un resultado de IA como una entrevista realizada por una persona, una investigación original o un trabajo verificado personalmente, salvo que lo sea. Si tienes dudas, consulta a la persona responsable.

8. Consulta y comunica los problemas de inmediato. Solicita autorización a la persona responsable antes de usar una herramienta nueva o aplicar una excepción. Comunica de inmediato cualquier sospecha de exposición de datos, acción insegura o resultado perjudicial a través del contacto indicado arriba, sin copiar contenido sensible en un canal abierto. Detén la actividad afectada y sigue las instrucciones de la persona responsable. Confirma que has leído y aceptado esta política; los incumplimientos se gestionan mediante nuestros procedimientos vigentes para empleados o contratistas. La persona responsable la revisa cada trimestre y cuando cambian las herramientas, las condiciones o los flujos de trabajo.

Para mantener la política breve, lleva la lista de cuentas autorizadas en un documento aparte. Cada entrada debe indicar el producto y el plan exactos, el espacio de trabajo de la empresa, los datos permitidos, la tarea autorizada, la persona responsable y la fecha de aprobación. Una entrada vacía significa que la herramienta está pendiente de autorización.

Por qué importan los planes empresariales al usar IA en el trabajo

Autoriza la cuenta y revisa sus condiciones de tratamiento de datos antes de que el personal la utilice con material privado de la empresa. Que un proveedor se comprometa a no usar los datos empresariales para entrenar modelos es valioso, pero ese compromiso no te autoriza por sí solo a compartir los registros de un cliente.

Verificado en la documentación vigente de los fabricantes el 19 de octubre de 2026: los servicios empresariales que se describen a continuación se comprometen a no entrenar modelos con los datos de clientes cubiertos por sus condiciones, ya sea de forma predeterminada o sin permiso. El alcance y las excepciones varían. Entrenar un modelo significa usar datos para mejorar la IA subyacente; es distinto de guardar una conversación o procesarla para responder a una solicitud.

OpenAI ChatGPT: usa el espacio empresarial autorizado

OpenAI ChatGPT, un asistente de IA conversacional, excluye de forma predeterminada del entrenamiento de modelos el contenido de los clientes de ChatGPT Business y ChatGPT Enterprise. La documentación de OpenAI sobre gobernanza de datos confirma ese compromiso y trata por separado el almacenamiento del historial de conversaciones. Al autorizar una cuenta, revisa tanto las condiciones de entrenamiento como las de conservación de datos.

Reembolsar una suscripción personal y autorizar un espacio de trabajo de la empresa son decisiones distintas. La lista de cuentas debe identificar el espacio permitido, y el personal debe saber reconocerlo antes de pegar cualquier información interna.

La guía de ChatGPT para empresas aborda con más detalle la elección de la cuenta.

Anthropic Claude: incluye una regla sobre el envío de comentarios

Anthropic Claude, un asistente de IA para redacción y análisis, no entrena de forma predeterminada con las entradas y salidas de sus productos comerciales. Para el personal que usa Claude Team o Enterprise, hay una excepción importante: el envío de comentarios. Anthropic indica que los comentarios o errores comunicados expresamente, así como otras formas de compartir contenido de manera voluntaria, pueden permitir que las conversaciones y sesiones de programación se utilicen para entrenar modelos. La política de Anthropic sobre datos comerciales explica tanto la regla como la excepción.

La decisión de compartir comentarios debe corresponder a la persona responsable. Anthropic documenta un control para propietarios en Organization settings > Data and Privacy > Rate chats que permite desactivar los comentarios con pulgar arriba o abajo para los miembros de Team y Enterprise. Esa configuración debe ir acompañada de una regla para el personal: «no compartas conversaciones de la empresa como comentarios».

Microsoft Copilot: confirma la protección de datos empresariales

Microsoft Copilot, el asistente de trabajo de Microsoft antes llamado Microsoft 365 Copilot, y Microsoft Copilot Chat cuentan con protecciones para los datos de las organizaciones. Microsoft afirma que no utiliza para entrenar modelos fundacionales los prompts, las respuestas ni los datos a los que accede a través de Microsoft Graph, su conexión con la información de trabajo. Su documentación advierte que los nombres anteriores de los productos pueden seguir apareciendo durante la transición. La página de Microsoft sobre protección de datos empresariales detalla su alcance.

Pide al administrador que confirme la cuenta de la empresa y el servicio cubierto. Microsoft documenta la presencia de un escudo verde en Copilot Chat cuando se aplica la protección de datos empresariales. También documenta el registro de conversaciones, por lo que el personal no debe interpretar la restricción de entrenamiento como «no se guarda nada». La documentación sobre privacidad y protecciones de Copilot Chat explica estas comprobaciones.

Las consultas de búsqueda web que se envían a Bing tienen condiciones de tratamiento de datos propias, y también hay que revisar las condiciones de cada agente. Deja constancia de si esas funciones están permitidas en cada flujo de trabajo autorizado. Aprobar el asistente principal no debe implicar, de forma tácita, la aprobación de todos los servicios conectados.

Google Gemini: revisa la edición de Workspace

Google Gemini, el asistente de IA de Google, ofrece protecciones empresariales cuando se utiliza a través de los servicios adecuados de Google Workspace. Google afirma que no utiliza los datos de clientes de Workspace para entrenar modelos de IA generativa sin el permiso o las instrucciones previas del cliente. Esto incluye los prompts y el contenido cubiertos por su centro de privacidad de IA generativa en Google Workspace.

En el caso de la aplicación Gemini, confirma que la licencia de Workspace la incluye como servicio principal, es decir, un servicio cubierto por las condiciones correspondientes de Workspace. La lista actual de Google incluye Business Starter, Business Standard y Business Plus. Otras modalidades de cuenta pueden tener protecciones distintas; consulta la tabla de ediciones para cuentas de trabajo, en lugar de autorizar cualquier acceso con una cuenta de Google.

Si todavía estás decidiendo qué servicio adoptar en toda la empresa, la comparativa de Gemini y Claude y la comparativa de Copilot y Gemini analizan las opciones. La política para el personal debe remitir a las que ya hayas autorizado.

¿Cómo funciona una política de uso aceptable de IA generativa?

Una política de uso aceptable de IA reúne las reglas de la empresa para trabajar con ayuda de estas herramientas. «IA generativa» se refiere a las herramientas que crean texto, imágenes, código u otros contenidos a partir de instrucciones. Piensa en las normas de una cocina compartida: todos pueden tener acceso al equipo, mientras ciertos ingredientes permanecen bajo llave y alguien revisa lo que sale de la cocina.

Quien dirige la empresa debe autorizar las herramientas y designar a la persona que toma las decisiones. Quien lleva operaciones debe convertir esa decisión en una lista de cuentas fácil de usar y resolver las dudas. Cada empleado debe revisar lo que introduce y hacerse responsable de lo que obtiene.

Distingue entre material público, interno y restringido

Da al personal ejemplos que pueda reconocer. La descripción publicada de un producto es información pública. Una lista de comprobación operativa que aún no se ha publicado es material interno y solo debe introducirse en una cuenta autorizada para ese tipo de contenido. Una exportación de nóminas contiene información confidencial de empleados y queda fuera de lo permitido por la política básica.

Revisa también los archivos adjuntos. La captura de pantalla de un error inofensivo puede incluir la dirección de correo de un cliente o un token de acceso. Subir la imagen también supone compartir esos datos. Una regla que solo contempla los prompts escritos deja fuera buena parte del trabajo real.

Los datos de clientes requieren autorización para cada tarea

«Quitar el nombre» es un primer paso útil, pero pueden quedar una dirección, un número de pedido, una reclamación singular o una combinación de detalles que permita identificar a la persona. Si la identidad del cliente no importa para la tarea, es preferible usar un ejemplo ficticio.

Para responder a un retraso en una entrega, la persona responsable de soporte puede pedir ayuda con la redacción usando «un cliente cuya entrega se ha retrasado» y la política de entregas publicada. Después añade los datos correctos del cliente en el sistema habitual de soporte. Subir el hilo completo de la reclamación es otro uso y requiere autorización expresa.

Cuando la identidad sea necesaria, la persona responsable debe registrar qué campos se pueden compartir, con qué fin, en qué cuenta, quién tendrá acceso y durante cuánto tiempo se conservarán. El permiso existente para conservar datos de clientes no debe interpretarse como una autorización automática para un nuevo flujo de trabajo con IA.

La revisión humana exige comprobar el trabajo

Quien revise el resultado necesita el material original y conocimientos suficientes para cuestionar la respuesta. Una contestación bien redactada puede prometer un reembolso que la empresa no ofrece; un resumen convincente de una hoja de cálculo puede usar la columna equivocada.

Antes de dar salida al trabajo, contrasta las afirmaciones con la fuente, vuelve a calcular los totales importantes y comprueba los destinatarios finales y los archivos adjuntos. Si el trabajo tiene consecuencias importantes, designa a una persona cualificada para revisarlo. Si nadie puede evaluar el resultado, mantenlo como borrador y remítelo a la persona responsable.

Para comunicar el uso de IA, emplea una frase clara como «La IA ayudó a redactar este resumen; lo contrasté con los documentos originales», pero solo si eso describe lo que ocurrió. Una pequeña corrección ortográfica y un análisis redactado por IA requieren distintos niveles de transparencia. Los acuerdos con el cliente y el riesgo de inducir a error al destinatario determinan qué se debe comunicar fuera de la empresa.

Ejemplos de una política de IA para empresas en el trabajo diario

Puedes empezar con tareas habituales de redacción cuando estén claros la cuenta, los datos y la persona que revisa. Espera a contar con autorizaciones expresas antes de subir información de clientes identificables o permitir acciones autónomas. Estos ejemplos muestran cómo aplicar la plantilla:

• Una persona que dirige la empresa prepara un anuncio: usa el asistente autorizado para reformular información de un producto que ya sea pública. Comprueba cada promesa y fecha antes de publicar. No hace falta subir el presupuesto confidencial del lanzamiento.
• Una persona de operaciones atiende una consulta de soporte: redacta una respuesta a partir de una situación ficticia y la política de servicio aprobada. Mantén el expediente del cliente en el sistema de soporte, salvo que un flujo de trabajo específico permita utilizarlo.
• Un responsable de cuentas de una agencia: informa a quien revise internamente el informe para el cliente de que la IA ayudó a redactarlo. Revisa el acuerdo con el cliente antes de procesar su material o decidir cómo comunicar el uso de IA en la entrega.
• Una persona que desarrolla software: utiliza únicamente un flujo de programación autorizado para los datos del repositorio. Revisa los cambios y ejecuta las comprobaciones habituales del proyecto. El permiso para redactar código no autoriza al asistente a desplegarlo.

Una persona que investiga un tema público dentro de las reglas autorizadas puede seguir trabajando. Quien esté a punto de conectar la carpeta compartida de clientes debe consultar primero. La política debe hacer evidente esa diferencia.

Presenta la política de uso de IA al equipo en 20 minutos

Dedica una reunión breve a practicar las decisiones que el personal tendrá que tomar. La siguiente agenda propone un formato de 20 minutos; no afirma que comprar cuentas, revisar contratos y configurar accesos lleve ese tiempo.

Antes de la reunión, la persona responsable completa la política, confirma las cuentas autorizadas, designa un contacto suplente y publica la lista de cuentas. El administrador comprueba los accesos y las opciones pertinentes para compartir datos. Los responsables de equipo determinan quién revisa el trabajo dirigido a clientes y el que tiene consecuencias importantes.

1. 1

   5 minutos: explica las reglas

   Muestra la política y aclara qué puede hacer el personal desde hoy. Señala la lista de datos prohibidos e indica quién puede autorizar un uso nuevo o desconocido. Para explicar el límite con un ejemplo concreto, compara un párrafo público sobre un producto con una exportación de datos de clientes.

2. 2

   5 minutos: confirma las cuentas

   Pide a todos que localicen el espacio de trabajo o servicio autorizado de la empresa. Muestra dónde está la lista de autorizaciones. Anota los problemas de acceso para darles seguimiento; indica a quienes no tengan acceso que esperen antes de realizar tareas que requieran esa cuenta.

3. 3

   7 minutos: practica las decisiones

   Repasa tres casos: un anuncio público, una reclamación de un cliente y una exportación de nóminas. Pregunta qué se puede utilizar, qué debe eliminarse o quedar fuera y quién revisa el resultado. Con esta política básica, la exportación de nóminas queda fuera. Demuestra cómo usar un prompt con datos inventados.

4. 4

   3 minutos: confirma responsables y vías de aviso

   Pide a cada persona que confirme que ha leído y aceptado la política y que localice el contacto para consultas e incidentes. Confirma quién revisa su trabajo habitual. Explica que avisar pronto de un error ayuda a contener sus efectos; ocultarlo dificulta la respuesta.

Al terminar la primera semana, revisa las preguntas que hayan surgido. Corrige las frases ambiguas, elimina las autorizaciones que no se usen y añade buenos ejemplos. Mantén la revisión trimestral prevista y vuelve a examinar la política cada vez que una integración o un flujo de trabajo nuevos cambien los datos que el asistente puede ver o las acciones que puede realizar.

¿Qué se suele exagerar sobre las políticas de uso aceptable de IA?

Firmar una política no configura una cuenta, revoca un conector ni detiene un envío automatizado. Encarga a alguien que ajuste la configuración y los permisos a lo que dice el documento.

Las promesas sobre datos empresariales tampoco significan que sea «seguro usar cualquier dato para cualquier cosa». El entrenamiento, el almacenamiento, el acceso, los servicios de terceros y tu permiso para compartir el material son cuestiones distintas. Los planes empresariales son un punto de partida útil; después hace falta autorizar la tarea concreta.

Evita medir el uso aceptable por la cantidad de texto que escribió la IA. Un borrador basado en información pública, elaborado con mucha ayuda de IA, puede ser adecuado tras una revisión cuidadosa; un prompt breve que contenga un secreto puede incumplir la política de inmediato. Evalúa los datos, la acción y quién se hace responsable.

Preguntas frecuentes

¿Qué es la regla del 30% en la IA?

Esta política no adopta un límite del 30%. El porcentaje de texto escrito por IA no determina si se pueden compartir datos de clientes ni si un resultado es correcto. Aplica las reglas sobre cuentas autorizadas, datos permitidos y revisión humana.

¿Cuáles son algunos usos aceptables de la IA?

Por ejemplo, generar ideas con información pública, redactar borradores a partir de material interno permitido y resumir documentos autorizados para esa cuenta. Una persona responsable debe revisar el resultado antes de usarlo.

¿Cuánto uso de IA es aceptable?

Tanto como permita la tarea autorizada y pueda verificar una persona de forma responsable. Detente cuando los datos estén prohibidos, la acción no esté autorizada o nadie pueda evaluar el resultado.

¿Cuál es un ejemplo de política de uso aceptable?

«Usa las cuentas de IA autorizadas por la empresa para los trabajos permitidos, no introduzcas datos restringidos y revisa cada resultado antes de basarte en él o compartirlo». La plantilla anterior añade las reglas sobre responsables, transparencia y comunicación de incidentes necesarias para aplicar esa instrucción.

¿Qué prohíbe la política de uso aceptable?

La plantilla prohíbe introducir credenciales y los demás registros sensibles indicados, subir datos de clientes sin autorización, usar la IA para engañar o discriminar y permitir acciones autónomas con consecuencias importantes fuera de un proceso autorizado por separado. Que una herramienta figure en la lista no anula estas restricciones.

¿Cuáles son las cinco reglas más habituales en las políticas de uso aceptable?

Aquí no se utiliza una clasificación universal. Para esta política dirigida a pequeñas empresas, prioriza cinco instrucciones: usar cuentas autorizadas, proteger los datos, revisar los resultados, comunicar de forma adecuada la intervención sustancial de la IA e informar de los problemas de inmediato.

¿Cuáles son los tres elementos clave de una política de uso aceptable eficaz?

Usos permitidos bien definidos, límites concretos sobre los datos y una persona responsable de revisar el trabajo o recibir las consultas que requieran una decisión. Los empleados deben poder aplicar cada elemento a una tarea que realizan.

¿Puedes darme un ejemplo de una regla de la política?

Una regla práctica sería: «Los hilos de reclamaciones de clientes solo pueden introducirse en una herramienta de IA cuando la persona responsable haya autorizado la tarea, la cuenta y los datos; en caso contrario, usa un ejemplo ficticio». Copia la plantilla completa de arriba para incluir las demás reglas que la acompañan.

¿Cómo puedo obtener un ejemplo en PDF de una política de uso aceptable de TI?

Si necesitas un documento específico sobre IA, copia la plantilla anterior en tu editor de documentos, sustituye los campos entre corchetes y expórtala como PDF. Esta plantilla cubre el uso de IA y debe complementar la política general de TI sobre dispositivos, correo electrónico, acceso y seguridad.

Para descubrir formas prácticas de usar la IA en una pequeña empresa, suscríbete al boletín.