Índice del artículo
- En 30 segundos
- Un borrador para un cliente, con límites claros
- Del documento al envío
- Las cinco reglas de casa
- Quitar nombres no resuelve el uso de datos
- Transparencia: qué debes distinguir
- Cómo llevar las reglas al trabajo diario
- El error típico: escribir «pide permiso» y dar acceso a enviar
- No lo confundas con
- Dudas sobre uso responsable de IA, respuestas cortas
En 30 segundos
El uso responsable de la inteligencia artificial consiste en limitar datos y permisos, comprobar resultados y mantener personas responsables de las decisiones.
Las reglas de casa concretan qué se puede preparar, quién aprueba la salida y cuándo hay que informar de que se usa IA. Deben aplicarse en las herramientas y en las tareas del equipo.
Un borrador para un cliente, con límites claros
Ejemplo ilustrativo: un despacho de arquitectura de Valladolid quiere explicar opciones de acabado a un cliente. Entrega a la IA una ficha pública de materiales que puede reutilizar y le pide una comparación sencilla. El arquitecto contrasta especificaciones, adecuación y advertencias con el original. Quien atiende al cliente valida los compromisos y envía el texto. No hay resultados medidos.
La comparación útil es la autorización de un presupuesto: preparar el documento y permitir su envío son tareas distintas. El despacho no entrega contratos, planos privados ni datos del cliente a una cuenta cuyo uso no haya autorizado. Tampoco presenta el borrador como un dictamen técnico. Así puedes definir el encargo antes de abrir la herramienta, en lugar de decidir sus límites cuando el resultado ya está listo.
Del documento al envío
- Material autorizado
- Borrador
- Contraste con el original
- Corrección y aprobación
- Envío
Si falta información o una persona deniega la salida, el recorrido se detiene y vuelve al responsable. Este esquema describe cómo debe funcionar el proceso; comprueba que ocurre así en tu herramienta.
Las cinco reglas de casa
Concreta estas reglas según las tareas de tu negocio y las obligaciones que te correspondan.
Revisión humana
Contrasta los datos antes de enviar. Quien firma o envía comprueba hechos, referencias y compromisos con el documento original o una fuente autorizada. Debe poder corregir el resultado y detener la salida.
Datos mínimos
Usa lo necesario y permitido. El responsable del proceso comprueba qué información admite la herramienta y para qué tarea. Para aprender, utiliza situaciones ficticias que no permitan identificar a nadie.
Transparencia
Explica cuándo interviene IA. Presenta el asistente de atención como IA desde el principio. El responsable del canal comprueba qué información ve el cliente y si el contenido publicado requiere una advertencia específica.
Personas al decidir
Reserva las decisiones importantes. No dejes que la IA rechace por sí sola a un candidato. Asigna a una persona competente que revise los criterios, pueda cambiar el resultado y atienda una impugnación cuando corresponda.
Registro y responsable
Anota quién responde. Mantén una lista de herramienta, uso autorizado y responsable. Añade los cambios e incidencias necesarios y limita quién puede consultarla.
Quitar nombres no resuelve el uso de datos
Una persona puede seguir siendo identificable aunque sustituyas su nombre. La combinación de detalles puede permitir reconocerla. Anonimizar significa que no exista una probabilidad razonable de identificar a alguien en el conjunto de datos. Antes de utilizar un expediente, comprueba la finalidad, qué información necesita realmente la tarea y las condiciones del servicio. La autorización interna y el pago de una suscripción no sustituyen los requisitos del Reglamento general de protección de datos, el RGPD.
El consentimiento tampoco es un permiso universal para cualquier uso posterior. Debes determinar qué fundamento legal permite tratar esos datos y respetar la finalidad y la conservación limitada. Si el trabajo necesita información personal, resuelve esa evaluación antes de incorporarla. Si todavía no puedes hacerlo, practica con material ficticio. Para separar ambos conceptos, lee qué es el consentimiento en IA. El criterio depende de la información y del tratamiento concreto.
Transparencia: qué debes distinguir
El artículo 50 del Reglamento de IA diferencia las obligaciones del proveedor del sistema y las de la empresa que lo utiliza. Estas son las distinciones que afectan a las reglas de casa.
- Interacción
- La información debe ser clara y accesible desde la primera interacción o exposición. El proveedor debe diseñar el aviso de que se interactúa con IA, salvo que resulte evidente por las circunstancias. Al implantar un asistente de atención, comprueba qué ve realmente el cliente en ese canal.
- Marcado técnico
- El marcado detectable por máquina es una señal que un programa puede detectar en el contenido generado por IA. Corresponde al proveedor y tiene excepciones. Determinados sistemas comercializados antes del 2 de agosto de 2026 tienen una transición hasta el 2 de diciembre de 2026; esto no aplaza todas las obligaciones de transparencia. No equivale a que tu equipo añada manualmente la misma etiqueta a cada correo, borrador o imagen. Distingue ese marcado de los avisos visibles para quien recibe el contenido.
- Publicaciones
- Quien utiliza el sistema debe revelar las ultrafalsificaciones: imágenes, audios o vídeos manipulados que aparentan autenticidad. Ciertos textos sobre asuntos de interés público también tienen reglas de transparencia, con una excepción por revisión o control editorial y responsabilidad editorial. Las obras claramente creativas tienen un tratamiento específico; identifica el supuesto antes de publicar.
Cómo llevar las reglas al trabajo diario
Parte de los usos reales
Habla con el equipo sobre las tareas que ya hace con IA. Identifica herramientas, canales y accesos, y concreta qué uso autorizas en una política de uso de IA. Una lista de herramientas previstas no demuestra que incluya todo lo que se utiliza. Puedes empezar por una página para que las instrucciones sean fáciles de consultar. Adapta la extensión al proceso: una página no es un máximo ni una exigencia legal. Amplíala si necesitas más detalle.
Practica una revisión
Haz un ejercicio con material ficticio. Introduce un dato deliberadamente incorrecto y comprueba si quien revisa lo detecta, puede corregirlo y puede detener la salida. Acompaña las reglas con orientación adaptada al trabajo: reconocer una respuesta inventada, distinguir información permitida y saber cuándo consultar. Deja constancia de esa orientación y de las dudas pendientes. Puedes apoyarte en la formación de Ciade para aprender a trabajar con IA. La prueba sirve para encontrar fallos en el procedimiento.
Prepara la respuesta a fallos
Detén la acción afectada y avisa al responsable cuando aparezca un error o un uso no autorizado. Conserva solo la evidencia necesaria para valorar qué ha pasado. No todo error es una brecha de datos personales notificable. Si lo es, evalúa las obligaciones del RGPD y la notificación cuando corresponda; el aviso interno no debe esperar al plazo legal. Revisa las reglas cuando cambie la herramienta, el uso o las condiciones que habías permitido.
El error típico: escribir «pide permiso» y dar acceso a enviar
Un prompt, el encargo escrito que das a la IA, expresa lo que quieres. La aprobación debe configurarse sobre la acción que necesita revisión. Imagina una empresa de mantenimiento de Zaragoza que prepara respuestas desde su catálogo autorizado: el responsable necesita ver texto y destinatario antes de permitir el envío. Una frase prudente en el encargo no sustituye esa parada. El mismo criterio sirve si la herramienta puede modificar registros o comprar material.
La documentación de n8n, una herramienta para conectar aplicaciones y encadenar tareas, describe revisión humana para herramientas de un agente, una IA que realiza una tarea usando esas herramientas. Prueba también el rechazo: deniega una solicitud y comprueba que el mensaje no se envía. No hemos probado ese flujo; verifica la configuración antes de confiarle una salida real. Instalar n8n en tu servidor tampoco demuestra que todos los datos se queden allí: debes revisar los servicios que conectes.
No lo confundas con
Cumplimiento legal
Las reglas no acreditan cumplimiento. Una política explica cómo trabajas, pero no sustituye la evaluación de las obligaciones de tu negocio. La política interna de la AEPD sirve de referencia organizativa, no de mandato para toda pyme.
Solo privacidad
También importa lo que decides. La revisión y los permisos cubren más que los datos. La intervención humana puede ser, además, una garantía de protección de datos; no queda fuera de la privacidad.
Guardar todos los chats
Inventariar no es archivar todo. La lista de usos no sustituye el registro de actividades del RGPD. Para concretar la trazabilidad de un proceso, consulta qué es un registro de auditoría.
Dudas sobre uso responsable de IA, respuestas cortas
¿Qué datos puedo introducir en una herramienta de IA?
Usa solo información necesaria y permitida para la tarea. Comprueba las condiciones del servicio y las políticas de tu empresa antes de introducir datos personales o información confidencial. Quitar nombres no garantiza anonimización. Para aprender, trabaja con situaciones ficticias que no permitan identificar a nadie; pagar una suscripción no sustituye estas comprobaciones.
¿Qué debo revisar antes de enviar un resultado?
Contrasta hechos, referencias y compromisos con el documento original o una fuente autorizada. Quien revisa debe poder corregir el resultado y detener la salida. Si un agente dispone de una herramienta de envío, configura la aprobación sobre esa acción y prueba que al rechazarla el mensaje no se envía.
¿La IA puede tomar decisiones sobre personas?
El artículo 22 del RGPD se refiere a decisiones exclusivamente automatizadas con efectos jurídicos o similares significativos, con excepciones y garantías. No prohíbe toda automatización. Cuando corresponda intervención humana, debe ser efectiva: alguien con competencia y autoridad para cambiar la decisión. Lee persona en el circuito.
¿Quién responde si el resultado está mal?
Asigna un responsable del proceso que gestione errores e incidencias, y define quién puede detenerlo. Pulsar enviar no traslada automáticamente toda responsabilidad a esa persona. Las reglas escritas ayudan a explicar la gestión, pero no deciden por sí solas las responsabilidades legales ni sustituyen el análisis del caso concreto.
Fuentes
Fuentes oficiales, consultadas el 4 de noviembre de 2026
- AEPD · Decálogo de privacidad al utilizar IA
- BOE · Reglamento general de protección de datos
- AEPD · Derecho frente a decisiones automatizadas
- AEPD · Adecuación de tratamientos con IA al RGPD
- Comisión Europea · Transparencia, artículo 50
- AEPD · Política interna de IA generativa
- AEPD · Cuándo los datos están anonimizados
- n8n · Revisión humana de herramientas
- n8n · Alojamiento propio y mantenimiento
- BOE · Reforma del Reglamento de IA
- Comisión Europea · Calendario del Reglamento de IA
Cómo lo comprobamos. Fuentes consultadas el 4 de noviembre de 2026. Revisa cómo se aplican estas reglas al uso concreto de tu negocio.
Qué ha cambiado.
- 4 de noviembre de 2026: Reescritura con bloques v2. Matizadas anonimización, transparencia y decisiones automatizadas; eliminados los resultados ficticios y la idea de que una página acredita cumplimiento.
Términos relacionados
Aprende a usar la IA en tu trabajo, con criterio.
El nivel 0 es gratis: cuarenta minutos para entender qué pedirle a la IA y qué revisar. El programa completo enseña a implementarla en tu propio negocio, tarea a tarea.
