Política de uso de IA para tu empresa
Una política de IA no es un documento legal de veinte páginas. Es una guía corta que cualquier empleado entiende en cinco minutos: qué herramientas puede usar, con qué datos y quién revisa.
Actualizado el · Equipo de RuleAI
Una política de uso de IA debe incluir: las herramientas aprobadas, un semáforo de datos (qué se puede, qué no y qué con permiso), la obligación de revisar lo que genera la IA, quién es el responsable, cómo pedir una herramienta nueva y cómo informar de un incidente.
Estructura recomendada
Para qué sirve
Una frase: queremos usar la IA, con seguridad y con criterio.
Herramientas aprobadas
Lista de herramientas y planes de empresa autorizados. Las cuentas personales, fuera para datos de trabajo.
Semáforo de datos
Verde: información pública. Ámbar: información interna, solo en herramientas aprobadas. Rojo: datos personales de clientes o empleados, secretos y datos de salud, salvo autorización expresa.
Revisión humana
Todo lo que genera la IA se revisa antes de enviarse o publicarse. La persona que lo usa es responsable del resultado.
Transparencia
Cuándo hay que indicar que un contenido o una interacción se ha hecho con IA.
Pedir una herramienta nueva
A quién se pide, qué se revisa (datos, contrato, coste) y en cuánto tiempo se responde.
Incidentes
Qué hacer si se han usado datos que no se debían: a quién avisar y en qué plazo.
El semáforo de datos, explicado
Es la parte más útil de la política, porque responde a la pregunta que todo el mundo se hace: ¿puedo pegar esto? Funciona mejor con ejemplos de cada color que con definiciones.
- Verde: una nota de prensa publicada, una ficha de producto pública.
- Ámbar: un informe interno o un acta, solo en la herramienta de empresa aprobada.
- Rojo: nóminas, datos de salud, listados de clientes con datos personales, contraseñas.
Errores que hacen que nadie la cumpla
- Prohibir sin ofrecer una alternativa aprobada.
- Escribirla en lenguaje jurídico.
- No decir a quién preguntar.
- No revisarla cuando cambian las herramientas.
Relación con el RGPD y la ley europea de IA
La política no sustituye al análisis de protección de datos ni a las obligaciones del Reglamento Europeo de IA, pero las aterriza en el día a día. Si tratas datos personales con IA, revisa con tu delegado de protección de datos o asesor la base legal, los contratos con el proveedor y las transferencias internacionales.
Cómo te ayuda RuleAI
En RuleAI la política no es un PDF olvidado: las normas viven junto a las herramientas aprobadas, con un semáforo de datos claro, y la IA de tu empresa las consulta por MCP antes de proponer nada. Los cambios en las normas se revisan y aprueban con historial de versiones.
Preguntas frecuentes
¿Es obligatorio tener una política de uso de IA?
No hay una norma que exija un documento con ese nombre, pero es la forma más sencilla de cumplir con la formación, la transparencia y la protección de datos al usar IA, y de demostrarlo.
¿Pueden los empleados usar ChatGPT con datos de la empresa?
Solo si la empresa lo ha aprobado y con un plan de empresa que garantice que los datos no se usan para entrenar modelos. Con cuentas personales, la recomendación es no usar datos internos ni personales.
¿Cada cuánto hay que revisar la política de IA?
Cuando cambien las herramientas aprobadas o la normativa, y como mínimo una vez al año.