Tu equipo ya usa ChatGPT, lo apruebes o no. La pregunta no es si permitirlo, sino con qué reglas. Una política de uso de IA de una sola página resuelve dos cosas a la vez: protege a la empresa de los errores más caros (filtrar datos de clientes) y documenta la diligencia que el Reglamento europeo de IA espera de ti. Aquí tienes qué debe incluir y una estructura lista para adaptar.
Por qué la necesitas, más allá del cumplimiento
El riesgo más real de una pyme con IA no es una multa del Reglamento: es que alguien pegue en una IA pública una base de datos de clientes, un contrato confidencial o una nómina. Eso es una posible brecha de datos personales, y ahí sí hay un régimen sancionador vigente: el RGPD, que aplica la AEPD.
Una política clara reduce ese riesgo a casi cero por la vía más barata que existe: decirle a la gente, por escrito, qué puede y qué no puede hacer.
Además, el artículo 4 del Reglamento de IA pide que quienes usan IA en tu nombre tengan un nivel de alfabetización suficiente. Una política escrita, más una breve sesión donde la expliques, es la forma más simple de dejar constancia de que cumples ese deber.
Qué debe incluir la política
1. Alcance y herramientas permitidas
Di qué herramientas están aprobadas (por ejemplo, ChatGPT, Copilot, Gemini) y cuáles no. Deja claro que usar una IA no aprobada para tareas de trabajo va contra la norma interna. Esto ataca el shadow AI, el uso invisible que nadie controla.
2. La regla de oro sobre los datos
Es el corazón de la política. Una formulación clara:
No se introducen en herramientas de IA públicas datos personales de clientes, empleados o terceros, ni información confidencial de la empresa (contratos, credenciales, código propietario, datos financieros no públicos), salvo en herramientas contratadas con garantías de confidencialidad y tratamiento de datos.
Si tienes una versión de empresa con acuerdo de tratamiento de datos, dilo y marca la frontera entre la cuenta corporativa y las cuentas gratuitas personales.
3. Revisión humana obligatoria
La IA se inventa datos, cita leyes que no existen y comete errores con seguridad aparente. La política debe exigir que una persona revise y se responsabilice de cualquier resultado antes de usarlo con un cliente, publicarlo o tomar una decisión. La IA propone, una persona decide.
4. Transparencia
Anticipa el artículo 50, que se aplica desde el 2 de agosto de 2026: si publicáis contenido generado con IA que pueda confundirse con real, o si tenéis un chatbot de atención, fijad cómo se avisa de que hay IA detrás.
5. Responsable y revisión
Nombra a una persona responsable de la política y pon una fecha de revisión (por ejemplo, cada seis meses). Sin dueño, ninguna política sobrevive.
Estructura lista para adaptar
- Objeto y alcance
- Herramientas de IA aprobadas
- Datos que nunca se introducen en IA pública
- Obligación de revisión humana
- Usos prohibidos (decisiones automatizadas sobre personas sin supervisión, generación de contenido engañoso)
- Transparencia y avisos de IA
- Formación y alfabetización del personal
- Responsable, incumplimientos y fecha de revisión
Cómo dejarlo documentado de verdad
Una política solo cumple si la gente la conoce. El circuito mínimo: publicar el documento, hacer una sesión de 20 minutos para explicarlo, y guardar una hoja de firmas o un acuse de lectura. Ese trío (documento, formación, evidencia) es lo que demuestra diligencia si algún día te lo preguntan.
Si prefieres no partir de cero, el Kit de cumplimiento de Reglia incluye la política de uso de IA, el plan de formación con hoja de firmas y el registro de sistemas, todo listo para poner tus datos. Y si quieres el análisis completo de qué te aplica y qué no según tus herramientas concretas, ese es el dossier.
Este contenido es información general y no constituye asesoramiento jurídico.