En 30 segundos:
- No hay una ley que diga «ten una política de IA», pero el RGPD, el artículo 87 de la LOPDGDD y el artículo 4 del AI Act te piden cosas que una política resuelve de golpe.
- El núcleo son tres decisiones: herramientas aprobadas, qué datos (el semáforo) y a quién avisar si hay un incidente.
- No basta con escribirla: hay que comunicarla y recoger firmas.
Por qué tu empresa la necesita
- RGPD (arts. 5, 28 y 32). Minimizar datos, tener contrato con quien los trata por tu cuenta y que tu personal siga instrucciones.
- LOPDGDD, art. 87. Si fijas criterios de uso de los dispositivos digitales, debes informar de ellos a la plantilla, y si hay representación legal de los trabajadores, deben participar.
- Estatuto de los Trabajadores, art. 20.3. Para poder controlar, primero hay que haber informado.
- AI Act, art. 4. Fomentar la alfabetización en IA de quien la usa. Lo explicamos aquí.
Los 15 apartados de una política completa
| Apartado | Para qué sirve | Qué tienes que decidir |
|---|---|---|
| 1. Objeto y alcance | A quién se aplica y qué herramientas cubre, incluido el móvil personal cuando se usa para trabajar. | Si incluyes a colaboradores externos. |
| 2. Principios | Cinco ideas que resumen la política. | El tono. |
| 3. Herramientas aprobadas | Solo se usan las de la lista; las nuevas, con autorización. | Quién autoriza herramientas nuevas. |
| 4. Cuentas y configuración | Cuenta de empresa, entrenamiento desactivado, verificación en dos pasos. | Si permites cuentas individuales. |
| 5. Semáforo de datos | La regla de qué datos se pueden usar. | Ejemplos de tu sector. |
| 6. Usos permitidos | Que la política no sea solo prohibiciones. | Usos propios de tu negocio. |
| 7. Usos prohibidos | Incluye las prácticas prohibidas por el AI Act y las decisiones automatizadas sobre personas. | Si falta alguna. |
| 8. Revisión humana | Quien usa un resultado de IA responde de él. | Nada. |
| 9. Transparencia | Chatbots y contenido sintético (art. 50 AI Act). | Si tienes chatbot o publicas contenido generado. |
| 10. Confidencialidad | Extiende el deber de confidencialidad al uso de IA. | Nada. |
| 11. Formación | Cumple el artículo 4 del AI Act. | Cuándo harás la sesión. |
| 12. Incidentes | A quién avisar si algo sale mal. | Nombre y contacto del responsable. |
| 13. Supervisión | Informa del posible control (art. 87 LOPDGDD). | Si tienes representación de los trabajadores. |
| 14. Incumplimiento | Conecta con el régimen disciplinario. | Tu convenio colectivo. |
| 15. Vigencia y revisión | Entrada en vigor y revisión anual. | Las fechas. |
Gratis: la checklist «10 reglas para usar IA en tu empresa sin riesgos». Una página para imprimir y pegar junto a la impresora.
Quiero la checklistEjemplo de redacción: el semáforo
El apartado que más riesgo elimina es el de los datos. Así puede quedar:
«Antes de introducir información en una herramienta de IA, clasifícala: VERDE (pública o genérica) puede usarse en cualquier herramienta aprobada; ÁMBAR (interna no personal) solo con cuenta de empresa; ROJO (datos personales, sensibles, credenciales o información confidencial de clientes) nunca, salvo autorización expresa, anonimizando y en una herramienta aprobada para ese uso.»
| Nivel | Qué es | Dónde se puede usar |
|---|---|---|
| 🟢 Verde | Información pública o genérica que no identifica a nadie. | En cualquier herramienta aprobada. |
| 🟡 Ámbar | Información interna no personal: procedimientos, borradores sin nombres, datos agregados. | Solo con cuenta de empresa. |
| 🔴 Rojo | Datos personales o sensibles, credenciales, documentos de clientes, información confidencial. | Nunca, salvo autorización expresa, anonimizando y en una herramienta aprobada para ese uso. |
Ejemplo de redacción: incidentes
«Si introduces por error información ROJA en una herramienta de IA, avisa enseguida a [RESPONSABLE]. Comunicar un error no se sanciona; ocultarlo, sí.»
Esa última frase importa: si hay una brecha de datos personales con riesgo para las personas, tienes 72 horas para notificarla a la AEPD (art. 33 RGPD). Solo llegas a tiempo si el equipo avisa. Tienes el protocolo completo en qué hacer si alguien pega datos en una IA.
Cómo implantarla
- Adapta la plantilla: herramientas, ejemplos del semáforo y responsable.
- Si hay representación de los trabajadores, hazles partícipes.
- Explícala en una sesión de 15 minutos.
- Recoge las firmas con fecha en un registro.
- Revísala una vez al año o cuando cambies de herramienta.
Preguntas frecuentes
¿Qué debe incluir una política de uso aceptable de IA?
Herramientas aprobadas y con qué cuenta, qué datos se pueden introducir (semáforo), usos permitidos y prohibidos, revisión humana de los resultados, confidencialidad, formación, a quién avisar si hay un incidente, supervisión, consecuencias del incumplimiento y fecha de revisión.
¿Es obligatorio tener una política de IA en la empresa?
No hay una ley que la exija literalmente, pero el RGPD, el artículo 87 de la LOPDGDD y el artículo 4 del Reglamento Europeo de IA piden medidas que una política escrita y firmada resuelve.
¿Hay que hacer firmar la política a los empleados?
Es la forma más sencilla de demostrar que les has informado (art. 87 LOPDGDD y art. 20.3 del Estatuto de los Trabajadores) y que les has formado (art. 4 del AI Act).
Pon todo esto por escrito en una tarde
La guía Política de uso de IA para empresas incluye la plantilla en Word para adaptar y firmar, el semáforo de datos imprimible y el registro de formación del artículo 4.
Pago seguro con Stripe · Descarga inmediata · Factura con IVA · Garantía de 14 días
Este artículo es informativo y no constituye asesoramiento jurídico. Las condiciones de los proveedores de IA cambian con frecuencia: verifica la configuración vigente en cada herramienta.