Transformación Digital
¿Cómo crear una política de uso de inteligencia artificial en una empresa?
Respuesta directa
Una política de uso de IA es el documento que fija, en lenguaje claro, qué herramientas están autorizadas, qué datos pueden o no compartirse, qué usos están permitidos o restringidos, cuándo se exige revisión humana y qué pasa ante un incidente. Se construye con participación de negocio, TI y legal, se comunica y capacita, y se revisa periódicamente; nunca debe copiarse de una plantilla genérica sin adaptarla a la empresa, su industria y su jurisdicción.
Cuando una empresa decide formalizar el uso de inteligencia artificial, el primer instinto suele ser buscar una plantilla en línea y adaptarla en una tarde. El resultado casi siempre es un documento genérico que nadie lee, que no refleja las herramientas reales que usa el equipo y que no resuelve las dudas concretas que surgen en el trabajo diario: ¿puedo pegar datos de un cliente en un asistente de IA?, ¿puedo usar una respuesta generada por IA sin revisarla?, ¿qué pasa si el modelo se equivoca? Este artículo se enfoca en el documento en sí: qué secciones debe contener una política de uso de IA, cómo redactarlas con lenguaje operativo y no legal genérico, y qué proceso de aprobación, comunicación, capacitación y revisión la mantiene viva. No sustituye asesoría legal ni pretende ser un modelo universal: cada política debe adaptarse a la empresa, su industria y su jurisdicción.
Para qué sirve el documento (y qué no es)
La política de uso de IA es el instrumento que traduce las decisiones de gobernanza en reglas concretas que cualquier colaborador puede entender y seguir sin ambigüedad. Si la gobernanza es el sistema que decide qué IA se usa y quién responde por ella —tema abordado en otro artículo de este Knowledge Center—, la política es el documento que comunica esas decisiones hacia adentro de la organización, en un lenguaje directo y accionable.
Una política de uso no es un manual técnico de seguridad ni un contrato legal con terceros; tampoco es lo mismo que abordar el fenómeno de Shadow AI, el uso de herramientas no aprobadas que ocurre precisamente cuando no existe una política clara o accesible. Una buena política reduce el Shadow AI porque da a los colaboradores una alternativa legítima y comprensible, en lugar de dejarlos improvisar.
Relacionado: ¿Cómo hacer una evaluación de riesgos de inteligencia artificial?
Las secciones que debería contener toda política de uso de IA
Una política de uso efectiva no necesita ser extensa; necesita ser específica. La siguiente lista describe los bloques de contenido que, en la práctica, resuelven la mayoría de las dudas operativas de los equipos, y que conviene redactar con ejemplos concretos de la empresa en lugar de lenguaje abstracto.
- Herramientas autorizadas: lista explícita de asistentes de IA, plataformas o agentes aprobados para uso corporativo, y el proceso para solicitar la evaluación de una herramienta nueva.
- Datos permitidos: qué tipo de información puede introducirse en herramientas de IA (por ejemplo, texto genérico, borradores internos) y bajo qué condiciones.
- Datos prohibidos: categorías que nunca deben compartirse con herramientas de IA no aprobadas expresamente para ese fin, como datos personales de clientes, información financiera sensible, credenciales o secretos comerciales.
- Usos permitidos: tareas donde la IA puede usarse con libertad razonable, como redacción de borradores, resúmenes o investigación preliminar.
- Usos restringidos o prohibidos: decisiones que no pueden delegarse a la IA sin supervisión, como evaluaciones de desempeño, decisiones de contratación o comunicaciones legales sin revisión.
- Revisión humana: en qué casos un resultado de IA debe ser validado por una persona antes de convertirse en una acción o comunicación externa.
- Propiedad intelectual: quién es dueño del contenido generado con IA y qué cuidado debe tenerse con material protegido de terceros usado como insumo.
- Seguridad: requisitos mínimos de acceso, autenticación y manejo de cuentas al usar herramientas de IA corporativas.
- Registro y trazabilidad: qué usos deben quedar documentados (logging) para auditoría posterior, especialmente en casos de mayor riesgo.
- Manejo de incidentes: a quién reportar un error, una filtración de datos o un uso indebido detectado, y qué pasos siguen después del reporte.
Relacionado: ¿Qué riesgos tiene usar inteligencia artificial en una empresa?
Si estás evaluando cómo ordenar esta transformación dentro de tu empresa, así trabajamos la arquitectura de ecosistemas digitales.
Checklist para verificar que la política está completa
Antes de publicar una versión de la política, conviene contrastarla contra una lista de verificación simple que confirme que cubre lo esencial sin volverse un documento inmanejable.
Checklist de contenidos mínimos
- Nombra explícitamente las herramientas autorizadas, no solo categorías genéricas.
- Distingue con ejemplos concretos qué datos sí y qué datos no pueden compartirse.
- Especifica en qué procesos se requiere revisión humana obligatoria.
- Incluye un canal claro y accesible para reportar incidentes o dudas.
- Indica quién aprobó la versión vigente y cuándo se revisará de nuevo.
- Fue redactada o revisada con participación de legal, no solo de TI o negocio.
Una política que cumple este checklist en dos páginas es más útil que una de veinte páginas que nadie termina de leer.
Relacionado: ¿Cómo construir una estrategia de inteligencia artificial para una empresa?
El proceso: aprobación, comunicación, capacitación y revisión
El contenido de la política importa tanto como el proceso que la sostiene. Una política aprobada en silencio y publicada en una carpeta compartida que nadie visita tiene el mismo efecto práctico que no tener política. El proceso siguiente busca que el documento se convierta en comportamiento real dentro de la empresa.
Del borrador a la práctica diaria
1. Redacción conjunta
Redactar con al menos tres voces: negocio (qué se necesita hacer), TI o seguridad (qué es técnicamente viable y seguro) y legal (qué riesgos contractuales o normativos aplican). Un borrador redactado solo por una de estas áreas suele quedar incompleto.
2. Revisión legal formal
Antes de publicar cualquier versión, someterla a revisión de un asesor legal que conozca la industria y la jurisdicción de la empresa, ya que las obligaciones de protección de datos y contratos con clientes varían de un caso a otro.
3. Aprobación formal
Obtener una aprobación explícita de dirección o del comité de gobernanza de IA, con fecha y responsable identificado, para que la política tenga respaldo cuando se necesite invocarla.
4. Comunicación activa
Comunicar la política de forma activa —no solo publicarla— en reuniones de equipo, con ejemplos reales de la empresa y un resumen de una página para quienes no leerán el documento completo.
5. Capacitación práctica
Ofrecer una capacitación breve pero obligatoria, con casos concretos (qué datos sí, qué datos no, cuándo pedir revisión) en lugar de una lectura pasiva del texto legal.
6. Revisión periódica
Revisar la política al menos una vez al año, o antes si cambian las herramientas usadas, el marco regulatorio aplicable o si un incidente revela un vacío. Documentar cada revisión con fecha y cambios realizados.
Relacionado: ¿Qué es la gobernanza de inteligencia artificial en una empresa?
Por qué no debe copiarse una plantilla genérica
Existen numerosas plantillas de política de IA disponibles en línea, y usarlas como punto de partida es razonable siempre que se entienda su límite: ninguna plantilla conoce las herramientas reales que usa la empresa, la industria en la que opera, los contratos que tiene con sus clientes ni las obligaciones normativas específicas de su jurisdicción.
Una empresa que maneja datos de salud, por ejemplo, necesita restricciones distintas a una agencia de marketing; una empresa con clientes en varios países debe considerar marcos de protección de datos distintos según cada mercado. Por eso este artículo no ofrece un texto de política 'listo para copiar': ofrece la estructura y el proceso, y recomienda expresamente que la versión final se valide con asesoría legal propia antes de publicarse.
Relación con el uso no aprobado de IA (Shadow AI)
Una política de uso bien diseñada es una de las herramientas más efectivas contra el uso no aprobado de IA, ese fenómeno donde colaboradores adoptan asistentes de IA por su cuenta sin que la empresa lo sepa ni lo autorice. Sin embargo, la política por sí sola no elimina ese fenómeno: si las herramientas autorizadas son lentas, limitadas o inexistentes para tareas reales, los equipos seguirán buscando alternativas por fuera.
Por eso la política de uso funciona mejor cuando se acompaña de una oferta real de herramientas aprobadas que resuelvan las necesidades del trabajo diario. El diagnóstico específico de por qué ocurre el uso no autorizado y cómo detectarlo y reducirlo se desarrolla con detalle en otro artículo de este Knowledge Center dedicado a Shadow AI.
Preguntas frecuentes
- ¿Puedo usar una plantilla gratuita de política de IA que encontré en internet?
- Puede usarse como punto de partida para no empezar en blanco, pero nunca debe publicarse sin adaptarla a las herramientas reales de la empresa, su industria y su jurisdicción, y sin la revisión de un asesor legal propio. Una plantilla genérica no conoce los contratos ni las obligaciones específicas de tu negocio.
- ¿Quién debe aprobar la política de uso de IA en una empresa mediana?
- Idealmente la dirección general o el comité responsable de gobernanza de IA, con participación previa de legal y de las áreas operativas afectadas. La aprobación debe quedar documentada, con fecha y nombre del responsable, para que la política tenga respaldo formal si necesita invocarse ante un incidente.
- ¿Cada cuánto debe actualizarse la política de uso de IA?
- Como mínimo una vez al año, y de inmediato si cambian las herramientas de IA autorizadas, el proveedor de un modelo clave, la regulación aplicable en la jurisdicción de la empresa o si un incidente revela un vacío en las reglas vigentes. Cada actualización debe quedar registrada con fecha y motivo del cambio.
- ¿La política de uso de IA sustituye a la gobernanza de IA?
- No. La política es el documento que comunica reglas concretas a los colaboradores; la gobernanza es el sistema de decisiones, roles y controles que sostiene esas reglas y las mantiene vigentes. Una empresa puede tener una política redactada y aun así carecer de gobernanza real si nadie la revisa ni la hace cumplir.
- ¿Qué pasa si un colaborador usa una herramienta de IA no autorizada por la política?
- La política debe indicar un canal de reporte y un proceso de respuesta proporcional al riesgo, priorizando la corrección y la capacitación sobre la sanción cuando no hubo intención de dañar a la empresa. Este tipo de uso no autorizado, conocido como Shadow AI, suele señalar que las herramientas aprobadas no cubren una necesidad real del equipo.