Una política de uso de IA existe para responder, con anticipación, a la pregunta que el empleado se hace frente a la pantalla: ¿puedo pegar esto aquí? Toda política que no responde esa pregunta de forma operativa — con ejemplos de dato y de herramienta — se lee una vez y se olvida.
El modelo siguiente tiene diez secciones. Cada una trae un texto sugerido, que puede copiar y adaptar, y un comentario que explica por qué existe la cláusula y qué resuelve. Adáptelo a su sector y valídelo con el área legal antes de publicarlo.
Antes de escribir una sola línea: necesita saber qué ya está en uso. Una política escrita sobre un entorno no inventariado describe la empresa que usted imagina tener. Si aún no hizo el relevamiento, empiece por detectar el Shadow AI y vuelva después.
1. Objetivo y alcance
Esta política establece las reglas para el uso de herramientas de inteligencia artificial en el ejercicio de actividades profesionales en [EMPRESA]. Se aplica a todos los colaboradores, pasantes, terceros y prestadores de servicios con acceso a información de la empresa, en cualquier dispositivo — corporativo o personal — cuando se use con finalidad de trabajo.
Por qué así: la extensión a dispositivos personales es la cláusula más olvidada y la que más importa. Sin ella, la política solo vale donde la empresa ya tenía control, y todo el uso que migró al teléfono queda fuera del alcance — que es exactamente hacia donde migra el uso cuando se bloquea el escritorio.
2. Definiciones
Herramienta de IA: cualquier servicio, aplicación, extensión o funcionalidad que utilice modelos de inteligencia artificial para generar, transformar, clasificar o analizar contenido. Incluye funcionalidades de IA incorporadas a herramientas ya aprobadas.
Por qué así: la última frase cierra la brecha más común. Cuando un proveedor ya aprobado enciende una función de IA en una actualización — transcripción de reuniones, resumen de correo, autocompletado —, sin esta definición la política no alcanza el nuevo tratamiento y nadie reevalúa nada.
3. Roles y responsabilidades
El área de Tecnología de la Información es responsable de mantener el inventario de herramientas de IA en uso y de operar los controles de detección. El área de Privacidad/Encargado es responsable de la evaluación de base legal y del registro de las operaciones de tratamiento. El gerente de cada área es responsable de conocer las herramientas usadas por su equipo. Cada colaborador es responsable de observar esta política.
Por qué así:la línea del gerente es la que hace funcionar la política. Si la responsabilidad se detiene en “TI monitorea” y “el colaborador cumple”, no hay nadie con contexto de negocio que juzgue si un uso es apropiado. El gerente es quien sabe si ese dato podía salir del área.
4. Clasificación de herramientas
Las herramientas de IA se clasifican en tres categorías: PERMITIDAS, de uso libre dentro de las reglas de datos de esta política; RESTRINGIDAS, cuyo uso depende de autorización previa del gerente y del área de Privacidad; y PROHIBIDAS, de uso vedado. La relación actualizada está publicada en [LUGAR] y se revisa mensualmente.
Por qué así: tres categorías, no dos. La lista binaria obliga a que toda herramienta nueva quede prohibida por defecto hasta que alguien la analice — lo que en la práctica significa que la gente la usa igual. La categoría restringida crea un camino legítimo y rastreable para el caso intermedio.
La relación no debe vivir dentro del PDF de la política, sino en un lugar actualizable. Una política se revisa cada seis meses; la lista de herramientas cambia cada semana. Nuestro catálogo público clasificado por riesgo puede servir de punto de partida para esa relación.
5. Reglas de datos — la sección que importa
Está vedado ingresar, en cualquier herramienta de IA no expresamente aprobada para ello: datos personales de clientes, colaboradores o terceros; datos personales sensibles; credenciales, claves o secretos; código fuente propietario; información bajo acuerdo de confidencialidad; documentos contractuales no públicos; e información financiera no divulgada. Ante la duda sobre la clasificación de una información, consulte al gerente antes de ingresarla.
Por qué así:esta es la única sección que el empleado va a consultar de verdad, y por eso tiene que ser una lista de cosas concretas, no un principio. “No ingrese información confidencial” no ayuda a nadie a decidir: casi nadie clasifica correctamente lo que tiene en pantalla como confidencial en el momento, con prisa.
Una prueba útil al redactar: tome los cinco usos de IA más comunes en su empresa y verifique si la sección responde “se puede o no” para cada uno sin exigir interpretación. Si exige interpretación, la redacción sigue siendo demasiado abstracta.
6. Revisión humana y atribución
Todo contenido generado con apoyo de IA debe ser revisado por una persona responsable antes de su uso externo, publicación o incorporación a una decisión de negocio. El contenido generado por IA no puede ser la única base de una decisión que produzca efectos jurídicos o un impacto significativo sobre personas, incluidos procesos de selección, evaluación de desempeño, otorgamiento de crédito y priorización de atención.
Por qué así: la segunda frase es el art. 20 de la LGPD traducido a lenguaje operativo — el derecho del titular a la revisión de decisiones automatizadas. También anticipa el núcleo del EU AI Act y de la ISO/IEC 42001, que giran en torno a la supervisión humana proporcional al impacto. Escribirlo ahora evita reescribir la política cuando el tema se convierta en exigencia contractual de un cliente grande.
7. Solicitud de nuevas herramientas
La solicitud de uso de una herramienta de IA aún no clasificada debe hacerse por [CANAL], informando finalidad, tipo de dato involucrado y área solicitante. La evaluación se responderá en hasta [N] días hábiles y considerará riesgo de datos, jurisdicción de procesamiento, política de uso para entrenamiento y existencia de contrato adecuado.
Por qué así: el plazo es lo que determina si la cláusula funciona. Un proceso sin plazo es indistinguible de una prohibición, y la gente rodea las prohibiciones. Si la respuesta tarda tres semanas, la herramienta ya está en uso cuando llegue.
8. Monitoreo y privacidad del colaborador
La empresa mantiene mecanismos de detección del uso de herramientas de IA en activos corporativos, con la finalidad de mantener el inventario exigido por su política de gobernanza y cumplimiento. El monitoreo registra qué herramienta fue accedida, cuándo y en qué estación de trabajo. La empresa no recolecta el contenido de conversaciones, comandos, prompts ni archivos enviados a las herramientas.
Por qué así: declarar el límite del monitoreo no es cortesía: es lo que hace que el programa sea aceptado. Anunciar detección sin decir qué no se recolecta genera resistencia interna, comunicación paralela y, con frecuencia, migración del uso a dispositivos personales — lo contrario del objetivo. Además, la transparencia sobre el tratamiento de los datos del propio colaborador es exigencia del art. 9 de la LGPD.
9. Incumplimiento
El incumplimiento de esta política sujeta al colaborador a las medidas disciplinarias previstas en [REGLAMENTO INTERNO], proporcionales a la gravedad y a la reincidencia. Las situaciones identificadas se tratarán primero mediante orientación y corrección, reservando las medidas más severas para casos de dolo, reincidencia o daño efectivo.
Por qué así: la segunda frase existe por razones prácticas, no humanitarias. Una política cuyo primer escalón es el castigo convierte cada detección en un conflicto, y el efecto colateral inmediato es que los gerentes dejan de reportar. El objetivo del primer año de un programa así es el mapa, no el proceso disciplinario.
10. Vigencia y revisión
Esta política entra en vigor el [FECHA] y será revisada cada seis meses, o siempre que haya un cambio regulatorio, un incidente relevante o una alteración significativa en el conjunto de herramientas en uso. Versión [X.Y], aprobada por [RESPONSABLE].
Por qué así:la versión y la fecha son lo que permite probar, meses después, qué regla valía cuando ocurrió el hecho. Sin versionado, el registro de adhesión de un colaborador no prueba nada: aceptó “la política”, y no hay forma de saber con qué texto.
Después de publicar
El documento es la parte fácil. Lo que transforma una política en cumplimiento demostrable es el ciclo a su alrededor:
| Etapa | Qué hacer | Evidencia que queda |
|---|---|---|
| Comunicar | Publicar y comunicar a todos, destacando la sección de datos. | Registro de envío y de lectura. |
| Recoger adhesión | Aceptación electrónica con fecha y versión del texto. | Lista de quién firmó y quién falta. |
| Capacitar | Una sesión corta con ejemplos reales del día a día de la empresa. | Registro de participación. |
| Monitorear | Detección continua de lo que está en uso. | Inventario actualizado. |
| Remediar | Herramienta prohibida detectada se vuelve tarea con responsable y plazo. | Historial de gestiones. |
| Revisar | Ciclo de seis meses o por evento. | Historial de versiones. |
Es esa columna de la derecha la que pide la auditoría. La política publicada responde “¿tienen regla?”; la evidencia responde “¿se cumple la regla?” — y la segunda pregunta es la que reprueba.
Cinco errores que se repiten
- Prohibir todo. Crea contradicción entre documento y práctica, y el documento es lo que lee el auditor.
- Listar herramientas dentro del PDF. La lista queda vieja antes que la política. Referencie un lugar actualizable.
- Escribir “no ingrese información confidencial” y detenerse ahí. Sin lista concreta, cada persona clasifica por su cuenta, con prisa.
- No decir qué no recolecta el monitoreo. Genera resistencia y empuja el uso fuera del alcance.
- Publicar sin recoger adhesión. Sin registro de quién la leyó, la empresa tiene un archivo, no una política vigente.
Preguntas frecuentes
¿Qué debe contener una política de uso de IA?
Como mínimo: objetivo y alcance, definiciones, roles y responsabilidades, clasificación de herramientas en permitidas, restringidas y prohibidas, reglas sobre qué tipo de dato puede ingresarse, reglas de revisión humana y atribución del contenido generado, un proceso para solicitar una herramienta nueva, monitoreo y privacidad, consecuencias del incumplimiento y una periodicidad de revisión.
¿La política de uso de IA debe ser firmada por los empleados?
La firma no es exigida por ley, pero es la evidencia que cierra el ciclo. Sin registro de quién leyó y aceptó, la empresa tiene un documento publicado y ninguna prueba de comunicación, que es justamente lo que piden el auditor y marcos como la ISO/IEC 42001. Una aceptación electrónica con fecha y versión lo resuelve.
¿La política debe prohibir el uso de IA?
No debería. Una política prohibitiva en una empresa donde las personas usan IA crea una contradicción entre el documento y la práctica, y el documento es lo que lee el auditor. Es más defendible clasificar herramientas por riesgo, definir qué tipo de dato puede entrar en cada categoría y monitorear el cumplimiento.
¿Cada cuánto revisar la política de uso de IA?
Cada seis meses como mínimo, y siempre que surja un cambio relevante: una herramienta nueva ampliamente adoptada, un cambio en los términos de un proveedor en uso, un incidente o una modificación regulatoria. El ciclo anual, heredado de las políticas de seguridad tradicionales, es demasiado lento para la velocidad a la que cambia el mercado de IA.