Índice del artículo
- En 30 segundos
- Una tienda de Valladolid
- Del catálogo al texto publicado
- No lo confundas con
- El error típico: un documento que nadie puede usar
- Cómo ponerla en práctica con tu equipo
- Usos que necesitan otra revisión
- Si alguien envía datos por error
- Por dónde seguir
- Dudas sobre la política de uso de IA, respuestas cortas
En 30 segundos
Una política de uso de IA es el documento interno que fija qué herramientas y datos usa tu equipo, qué revisa una persona y quién autoriza acciones y atiende incidentes.
Sirve para resolver dudas del trabajo diario: desde adjuntar un documento hasta decidir quién puede enviar el resultado a un cliente.
Su utilidad está en llevar las reglas a la práctica. Adáptalas a las tareas de tu empresa, explícalas al equipo y comprueba cómo se aplican.
Una tienda de Valladolid
Una tienda de material eléctrico de Valladolid quiere preparar una ficha comercial con IA. Tiene un catálogo público que puede reutilizar y un archivo con compras de clientes. Ambos hablan de los mismos productos, pero no son materiales intercambiables. Antes de empezar, la persona que redacta necesita saber cuál puede adjuntar y qué hacer si falta información. La política le da una respuesta común para esa situación, en lugar de dejar la decisión al criterio de quien tenga el chat abierto. Los casos de Valladolid y Zaragoza de este artículo son ficticios.
Piensa en las reglas que ya tienes para firmar un presupuesto o entregar documentación a un proveedor. Una política de uso de IA cumple una función parecida: ordena quién puede hacer qué. No necesita explicar cómo se construye el programa. Necesita que alguien del equipo pueda leerla, reconocer su tarea y saber cómo seguir. Si el documento solo dice «usa la IA con responsabilidad», todavía falta concretar la decisión que esa persona tiene delante.
Adapta las reglas internas a tus tareas y a la información que manejas. Distingue las decisiones de organización de los deberes que aparecen al tratar datos personales. Aprobar una herramienta no resuelve por sí solo ambos asuntos.
Qué debe poder decidir tu equipo
Herramientas
Regla propuesta: Dirección mantiene la lista de herramientas, cuentas y usos permitidos. Consulta antes de añadir otra aplicación o conexión.
Alcance en España: Organización interna recomendada; pagar una cuenta no demuestra que sea adecuada para la tarea.
Datos
Regla propuesta: Empieza con información pública autorizada o ejemplos ficticios. Consulta antes de adjuntar datos de clientes, nóminas o documentos confidenciales.
Alcance en España: Si hay datos personales, hay que justificar para qué se usan, con qué base jurídica y qué protección necesitan.
Revisión
Regla propuesta: Comercial contrasta importes, condiciones y destinatario de un presupuesto con la documentación aprobada antes de enviarlo.
Alcance en España: Control propuesto para ese trabajo; no es una obligación universal de aprobar cada texto generado.
Acciones
Regla propuesta: Al probar la IA para preparar una ficha comercial, limita su trabajo a los borradores. Deja el envío, la publicación y los cambios definitivos a una persona.
Alcance en España: La separación debe existir en los permisos y en el funcionamiento, también con una instalación propia.
Registro
Regla propuesta: Anota tarea, herramienta, responsable y aprobación cuando sean necesarios. Limita quién consulta esas notas.
Alcance en España: Si contienen datos personales, recoge solo los necesarios y define cuánto tiempo conservarlos.
Dudas e incidentes
Regla propuesta: Indica a quién consultar y a quién avisar si se envía información indebidamente.
Alcance en España: Proceso interno; enviar datos personales a quien no debía recibirlos puede ser una brecha de datos personales. El responsable valora si corresponde avisar a la autoridad o a las personas afectadas.
Responsable
Regla propuesta: Dirección aprueba la política y nombra a quien la mantiene. Revisa las reglas al cambiar herramientas, usos o tras un incidente.
Alcance en España: Medida organizativa recomendada; no se fija una periodicidad legal común a todas las pymes.
Del catálogo al texto publicado
- Material autorizado
- Borrador de IA
- Contraste
- Aprobación
- Publicación
En la tienda, producto comprueba referencias y compatibilidades; comercial valida el precio vigente y el texto. Si aparece una certificación que no consta en el catálogo, no se da por cierta. Aplica este reparto al redactar la política: indica quién contrasta el borrador y quién autoriza su publicación.
No lo confundas con
Condiciones del servicio
Las condiciones fijan la relación con el proveedor. Tu política organiza al equipo. Si el proveedor trata datos personales por tu cuenta, comprueba además el contrato de encargo: el acuerdo que regula ese tratamiento.
Consentimiento
El consentimiento es una posible base jurídica, una razón legal para tratar datos personales. Autorizar una aplicación dentro de la empresa no sustituye esa justificación ni convierte cualquier uso en permitido.
Permisos técnicos
Los permisos determinan qué puede tocar la herramienta. Escribir «no envíes correos» no demuestra que el programa lo impida. Los accesos y la aprobación deben configurarse y comprobarse.
El error típico: un documento que nadie puede usar
El error típico es dar por buena una regla abstracta. Una referencia general a la confidencialidad no aclara si puedes adjuntar un contrato ni a quién preguntar. También falla una prohibición que no ofrece un procedimiento autorizado para las tareas previstas. Si el texto no resuelve esas dudas, necesita concretarse.
Puedes empezar con una página de reglas, pero la extensión no demuestra cumplimiento. El tamaño adecuado depende del negocio y sus usos. Las obligaciones concretas tampoco desaparecen porque todo el equipo firme el documento. La política de IA de la Agencia Española de Protección de Datos (AEPD) puede servir de referencia organizativa, pero se aplica a la propia Agencia: no es una plantilla obligatoria para tu empresa. Usa esas referencias para ordenar decisiones, no para presentar tu documento como una certificación legal.
Cómo ponerla en práctica con tu equipo
Redacta desde una tarea
Elige un trabajo concreto del puesto y escribe las reglas que necesita. Puede ser la ficha comercial de la tienda o la explicación de una norma para el boletín de una asesoría de Zaragoza. En la asesoría, el profesional contrasta referencias, alcance y conclusiones. La persona responsable autoriza el envío. Evita empezar por un catálogo de expresiones jurídicas: primero tiene que verse qué tarea estás organizando. Después contrasta que las reglas propuestas encajan con las obligaciones de ese uso.
Explícala y practica
La alfabetización en IA consiste en entender sus usos y riesgos para trabajar con criterio. Las organizaciones deben adoptar medidas que apoyen esa preparación de las personas que usan IA en su nombre. Adapta las explicaciones a sus conocimientos, herramientas y tareas; incluye cómo contrastar una respuesta convincente que puede estar equivocada.
Comprueba que orienta
Haz un ejercicio con materiales ficticios: un catálogo autorizado, un expediente simulado con datos personales y un borrador pendiente de envío. Pide a la persona que explique qué puede usar, qué debe consultar y quién autoriza la salida. Si no encuentra la respuesta, corrige ese apartado antes de dar la política por terminada. El ejercicio comprueba si las instrucciones se entienden. Verifica también que los controles se aplican y guarda las dudas que obligan a aclarar las reglas.
Usos que necesitan otra revisión
Decisiones sobre personas
Antes de puntuar candidaturas o conceder crédito, revisa el caso. El Reglamento general de protección de datos (RGPD) limita ciertas decisiones solo automatizadas con efectos relevantes. Puede haber deberes de información laboral.
Información al público
Avisar del uso de IA depende del contenido y de tu papel. Comprueba las obligaciones de transparencia cuando corresponda. No equivalen a etiquetar todos los correos o textos empresariales retocados con IA.
Si alguien envía datos por error
Avisa al responsable
La persona que lo detecta avisa de inmediato a quien indique la política. No debe esperar a resolver por su cuenta si el incidente tiene consecuencias legales. Describe qué ha ocurrido para que el responsable pueda actuar. Para entender el problema, consulta qué es una fuga de datos con IA.
Contén y valora
El responsable se ocupa de contener el problema y valorar las comunicaciones necesarias. No todo error de IA es una brecha que deba notificarse a la autoridad. Si hay una brecha de datos personales, hay que documentarla y valorar el riesgo para las personas. La comunicación a los afectados depende del alto riesgo y de las excepciones previstas.
Por dónde seguir
Al concretar los controles, distingue qué debe quedar registrado de guardar toda la conversación. Un registro de auditoría ayuda a ordenar la información necesaria sobre una acción y su aprobación. Copiar expedientes completos al registro puede añadir datos que no necesitas. Define su finalidad y quién lo consulta antes de decidir qué conservar. Si necesitas desarrollar otra parte de la política, puedes seguir con la verificación de respuestas o con el consentimiento en IA.
Para aprender a valorar las tareas que vas a permitir, tienes el registro en la formación de Ciade. Formarte ayuda a tomar decisiones: revisa tus usos con quien configure la herramienta y con quien se ocupe de los datos. Un curso no sustituye esa revisión.
Dudas sobre la política de uso de IA, respuestas cortas
¿Qué debe incluir una política de uso de IA?
Debe permitir decidir qué herramientas y datos se usan, qué resultados se contrastan, quién autoriza acciones y a quién consultar. Añade responsables, orientación al equipo y respuesta a incidentes. Adapta las reglas a las tareas, la información y los riesgos de tu empresa.
¿Es obligatorio tener una política con ese nombre?
La obligación no se decide por el nombre del documento. Depende del uso, los datos y tu papel como empresa. Puede haber exigencias contractuales o sectoriales adicionales. Tener una política firmada no demuestra por sí solo que se cumplan las obligaciones de protección de datos o del Reglamento de IA.
¿Puedo permitir documentos con los nombres borrados?
No necesariamente. Otros detalles pueden identificar a una persona, aunque hayas sustituido su nombre. Anonimizar exige que no exista una probabilidad razonable de identificarla. Para practicar, utiliza situaciones ficticias sin detalles identificativos. No des por autorizado un contrato o una nómina solo porque hayas borrado el encabezado.
¿Qué formación debe acompañar a la política?
Adapta la formación a las tareas y riesgos de quienes usan IA en tu nombre. Explica las reglas y cómo contrastar respuestas; conserva un registro interno de las orientaciones realizadas. La Comisión Europea no exige un certificado universal ni garantizar un nivel específico a cada individuo.
¿También necesito reglas si la IA funciona en mi servidor?
Sí. Tener el servidor no elimina los deberes sobre datos personales. También necesitas medidas de seguridad adecuadas, accesos limitados y una finalidad justificada para su tratamiento. La política debe abarcar esas instalaciones. Que una herramienta se ejecute en tu equipo no autoriza por sí solo cualquier uso de información.
Fuentes
Fuentes oficiales, consultadas el 4 de noviembre de 2026
- AEPD · Política general de uso de IA generativa
- AEPD · Cuidado con lo que le confIAs
- BOE · Reglamento general de protección de datos
- Comisión Europea · Preguntas sobre alfabetización en IA
- BOE · Reforma del artículo 4 del Reglamento de IA
- AEPD · Contenido del contrato de encargo del tratamiento
- INCIBE · Aplicaciones permitidas en una pyme
- INCIBE · Ciberseguridad para directivos no técnicos
- AEPD · Datos anonimizados e identificación
- BOE · Información sobre algoritmos en el trabajo
- Comisión Europea · Transparencia según el uso de IA
Cómo lo comprobamos. Fuentes oficiales consultadas el 4 de noviembre de 2026. La AEPD aporta recomendaciones y un ejemplo organizativo propio; el RGPD y el Reglamento de IA fundamentan las obligaciones según cada uso. Los permisos y el proceso de aprobación de los ejemplos no se han probado en una empresa real.
Qué ha cambiado.
- 4 de noviembre de 2026: Reescritura v2: reglas aplicables al trabajo diario, distinción entre documentos, formación, incidentes y obligaciones condicionadas. Se conserva la definición y se concreta su aplicación en la empresa.
Términos relacionados
Aprende a usar la IA en tu trabajo, con criterio.
El nivel 0 es gratis: cuarenta minutos para entender qué pedirle a la IA y qué revisar. El programa completo enseña a implementarla en tu propio negocio, tarea a tarea.
