Política de uso aceptable de IA empresarial: Plantilla 2026 + Lista de verificación
Por qué necesita ahora una política de uso aceptable de la IA.
Una política de uso aceptable (PUA) de IA es el documento fundamental de gobernanza que define qué pueden y qué no pueden hacer los empleados con las herramientas de IA en el trabajo. No es opcional: marca la diferencia entre un riesgo controlado y una exposición no controlada.
Esto es lo que sucede sin uno:
- Responsabilidad por resultados erróneos: Cuando un sistema de IA genera una cláusula contractual incorrecta, una sugerencia de contratación discriminatoria o una respuesta engañosa al cliente, la responsabilidad recae enteramente en su organización si no existe documentación sobre los requisitos de revisión o los límites de uso.
- Exposición de datos por herramientas no autorizadas: Según estimaciones, entre el 40 % y el 60 % de los empleados de empresas utilizan herramientas de IA no autorizadas para realizar tareas laborales. Sin una Política de Uso Aceptable (AUP), no existe una prohibición documentada, ni fundamento para tomar medidas disciplinarias cuando esto ocurre.
- Riesgo regulatorio en las auditorías: Según la Ley de IA de la UE (vigente desde 2026), las organizaciones que implementan IA en determinados contextos de alto riesgo deben mantener documentación sobre su gobernanza. Una Política de Uso Aceptable (PUA) de IA es un componente fundamental de dicha documentación. Las organizaciones que no la tengan se enfrentan a deficiencias en el cumplimiento normativo que resultan cada vez más difíciles de justificar en procedimientos regulatorios.
- Comportamiento inconsistente de los empleados: Sin una política definida, los distintos equipos interpretan el uso de la IA de manera diferente. El departamento de ventas la utiliza para redactar correos electrónicos con datos de clientes. Recursos Humanos la utiliza para revisar currículos. El departamento legal la utiliza para resumir contratos. Ninguno de estos usos ha sido evaluado en cuanto a su idoneidad, y ninguno sigue estándares consistentes.
Qué debe cubrir una Política de Uso Aceptable de IA: 8 secciones obligatorias
Una política integral de uso aceptable de IA para empresas abarca ocho áreas. Cada sección se describe a continuación, seguida de una plantilla práctica para dicha sección.
Plantilla de política de uso aceptable de IA
Sección 1: Alcance y Aplicabilidad
Defina a quién se aplica la política y qué sistemas de IA regula. La ambigüedad en cuanto a su alcance es la razón más común por la que las políticas no brindan protección legal.
Esta política se aplica a todos los empleados, contratistas, consultores y trabajadores temporales («Usuarios») que accedan a herramientas de IA mediante los sistemas, redes o datos de [Nombre de la organización], ya sea de forma presencial o remota. Abarca todas las herramientas de software con IA, incluyendo, entre otras: asistentes de escritura con IA, sistemas de IA conversacional, herramientas de análisis con IA, herramientas de generación de código, herramientas de generación de imágenes y funciones de IA integradas en plataformas de software existentes (por ejemplo, funciones de IA en Microsoft 365, Salesforce o similares). Esta política entra en vigor el [Fecha] y sustituye cualquier directriz anterior sobre el uso de herramientas de IA por parte de los empleados.
Sección 2: Herramientas de IA aprobadas y prohibidas
Es necesario establecer una lista clara de herramientas autorizadas y una prohibición explícita de las no aprobadas. Una política que simplemente diga "usar la IA de forma responsable" sin especificar qué está aprobado y qué no, carece de una gobernanza efectiva.
Herramientas de IA aprobadas: Las siguientes herramientas de IA están aprobadas para uso comercial: [Enumere las herramientas aprobadas con sus casos de uso aprobados, por ejemplo, “Worqlo — aprobado para consultas de CRM, análisis de canalizaciones y recuperación de conocimiento interno”. El departamento de TI mantiene la lista actual de herramientas aprobadas en [enlace interno]. Las herramientas aprobadas han completado la revisión de seguridad de TI y están sujetas a las reglas de clasificación de datos de la Sección 3.
Herramientas de IA prohibidas: Los usuarios no pueden utilizar herramientas de IA que no figuren en la lista de aprobadas para procesar datos comerciales de [Nombre de la organización]. Esto incluye herramientas de IA para consumidores (incluidas las cuentas gratuitas y personales de servicios de IA) que no hayan sido revisadas por el departamento de TI. Los usuarios que identifiquen herramientas de IA que podrían ser útiles para su trabajo deben enviar una solicitud a través del [Proceso de solicitud de TI] para su evaluación.
Sección 3: Reglas de clasificación de datos
Defina qué categorías de datos pueden y no pueden ser procesadas por herramientas de IA. Esta sección es la que previene de forma más directa las infracciones normativas y las filtraciones de datos.
[Nombre de la organización] clasifica los datos en cuatro niveles. Las reglas de uso de la herramienta de IA se aplican a cada nivel:
| Clasificación de datos | Ejemplos | Regla de procesamiento de IA |
|---|---|---|
| Público | Materiales de marketing, informes publicados, comunicados de prensa | Permitido con herramientas de IA aprobadas |
| Interno | Comunicaciones comerciales generales, planes de proyecto, datos operativos no confidenciales | Permitido con herramientas de IA aprobadas; no permitido con herramientas no aprobadas. |
| Confidencial | Contratos con clientes, proyecciones financieras, acuerdos con proveedores, estrategias comerciales no públicas | Solo se permite con herramientas de IA aprobadas y con licencia empresarial, que cuenten con acuerdos de procesamiento de datos vigentes. |
| Restringido | Información de identificación personal (PII), información de salud protegida (PHI), datos de tarjetas de pago, secretos comerciales, comunicaciones legalmente privilegiadas, datos financieros regulados. | Prohibido el procesamiento mediante IA a menos que se apruebe explícitamente mediante una revisión de seguridad informática caso por caso. |
Sección 4: Requisitos de revisión humana
Especifique qué resultados generados por IA requieren verificación humana antes de tomar cualquier medida. Esta sección define los requisitos de su organización en cuanto a la intervención humana y protege contra la responsabilidad derivada de decisiones automatizadas.
Los resultados de la IA que influyen en las siguientes decisiones o comunicaciones deben ser revisados y verificados por un ser humano cualificado antes de su uso o transmisión:
- Cualquier comunicación dirigida al cliente (correos electrónicos, propuestas, respuestas de soporte).
- Documentos legales, contratos o acuerdos de cualquier tipo.
- Análisis financieros, pronósticos o recomendaciones
- Decisiones de contratación o evaluación del desempeño
- Recomendaciones relacionadas con la medicina, la salud o la seguridad.
- Documentos reglamentarios o declaraciones de cumplimiento
Los resultados de la IA pueden utilizarse sin revisión humana individual para tareas internas de productividad, siempre que un empleado responsable revise el resultado en su conjunto antes de su uso externo. Algunos ejemplos son: borradores iniciales, resúmenes de investigación y análisis de datos (como uno de varios insumos).
Sección 5: Obligaciones de confidencialidad
Prohíba explícitamente a los empleados introducir información confidencial o de propiedad exclusiva en sistemas de IA que puedan exponerla a terceros.
Los usuarios no deben introducir la siguiente información en ninguna herramienta de IA, ya sea aprobada o no, a menos que el departamento de TI y el departamento legal la hayan autorizado explícitamente para esa categoría de datos: nombres, números de identificación u otra información personal identificable de clientes, empleados o clientes potenciales; datos confidenciales de clientes o socios; planes de negocio, modelos de precios o secretos comerciales de propiedad exclusiva; información sujeta a secreto profesional; datos financieros no públicos. Esta obligación se aplica independientemente de si se accede a la herramienta de IA desde un dispositivo corporativo o personal durante la realización de tareas laborales.
Sección 6: Notificación de incidentes
Cree un canal de denuncia claro para el uso indebido de la IA, los resultados inesperados de la IA o la posible exposición de datos mediante herramientas de IA. Los incidentes que no se denuncian no pueden investigarse ni corregirse.
Los usuarios deben reportar los siguientes incidentes al [Equipo de Seguridad/Privacidad de TI] dentro de las 24 horas posteriores a su detección: (1) Acceso no autorizado sospechoso a una herramienta de IA aprobada o a datos conectados a IA. (2) Envío de datos restringidos a una herramienta de IA, ya sea intencional o accidental. (3) Resultados de IA que parecen incluir datos a los que el usuario no esperaba que el sistema tuviera acceso. (4) Uso de una herramienta de IA no aprobada que involucre datos comerciales. Reporte los incidentes a [correo electrónico/portal de reporte]. Los empleados que reporten incidentes de buena fe no enfrentarán medidas disciplinarias por divulgación de buena fe.
Sección 7: Requisitos de capacitación
Exija que los empleados completen una capacitación sobre alfabetización en IA y políticas de seguridad antes de acceder a las herramientas de IA aprobadas. La capacitación es tanto un requisito de gobernanza como la forma más eficaz de prevenir infracciones involuntarias.
Todos los usuarios deben completar el módulo de capacitación sobre el uso aceptable de la IA de [Nombre de la organización] antes de acceder a cualquier herramienta de IA aprobada. El módulo de capacitación abarca: reglas de clasificación de datos, casos de uso prohibidos, requisitos de revisión humana y procedimientos de notificación de incidentes. La capacitación debe completarse anualmente y cada vez que esta política se actualice sustancialmente. Los usuarios que no hayan completado la capacitación requerida tendrán suspendido el acceso a las herramientas de IA hasta que la completen. El seguimiento de la finalización de la capacitación se realiza en [sistema LMS]. Los gerentes son responsables de garantizar que sus subordinados directos completen la capacitación dentro de los 30 días posteriores a la fecha de entrada en vigor de esta política.
Sección 8: Aplicación y consecuencias disciplinarias
Indique de forma clara y coherente las consecuencias de las infracciones de la política. Una política sin un mecanismo de aplicación se considera una sugerencia.
Las infracciones de esta política se abordarán mediante el proceso disciplinario estándar de [Nombre de la organización], con consecuencias proporcionales a la gravedad:
- Primera infracción (no grave): Advertencia verbal documentada y recapacitación obligatoria sobre las políticas.
- Segunda infracción o primera infracción grave: Advertencia por escrito registrada en el expediente de RR. HH.; revocación temporal o permanente del acceso a la herramienta de IA.
- Tercera infracción o infracción que involucre datos regulados: Terminación del empleo o contrato, posible presentación de informes regulatorios y remisión a las autoridades civiles o penales, si corresponde.
Las infracciones relacionadas con datos restringidos (información de identificación personal, información de salud protegida, datos financieros) pueden dar lugar a la rescisión inmediata del contrato, independientemente del historial de infracciones previas, y pueden dar lugar a obligaciones obligatorias de notificación de violaciones de seguridad según la legislación aplicable.
Lista de verificación para la implementación: 12 pasos desde el borrador hasta el lanzamiento.
- Asigne un responsable de la política (normalmente: CISO, DPO o Jefe de Seguridad Informática).
- Audite el uso actual de las herramientas de IA en todos los departamentos antes de redactar
- Elabore la lista de herramientas aprobadas en colaboración con los departamentos de TI, Legal y los jefes de departamento.
- Alinee los niveles de clasificación de datos con su marco de gobernanza de datos existente (o cree uno).
- Definir los requisitos de revisión humana con la participación del departamento legal y las unidades de negocio afectadas.
- Redacte la política utilizando la plantilla anterior; distribúyala para su revisión por parte del departamento legal y el CISO.
- Elabore el módulo de capacitación que abarque los puntos clave de la política (tiempo estimado: 20-30 minutos).
- Implementar controles técnicos: permitir herramientas aprobadas, configurar reglas DLP para datos restringidos.
- Anuncie la política a todos los empleados con un plazo de adopción de 30 días.
- Se requiere completar la capacitación y aceptar la política antes de otorgar acceso a la herramienta de IA.
- Establecer una periodicidad de revisión trimestral con el responsable de la política y las partes interesadas.
- Crear un mecanismo para que los empleados soliciten la aprobación de nuevas herramientas (reduce la IA en la sombra).
Errores políticos comunes que se deben evitar
Prohibiciones generalizadas que se ignoran
Las políticas que prohíben todo uso de IA sin ofrecer alternativas aprobadas presionan a los empleados a buscar soluciones alternativas. Si se prohíben las herramientas de IA para consumidores sin ofrecer una opción aprobada por la empresa, es de esperar que el uso de IA no autorizada aumente, no que disminuya. La política debe ofrecer a los empleados una vía para realizar su trabajo.
Sin directrices para la clasificación de datos
Indicar a los empleados que “usen la IA de forma responsable” sin especificar qué datos se pueden procesar y cuáles no, no es una política, sino una declaración de intenciones. Las reglas de clasificación de datos son la base operativa de una política de uso aceptable de IA. Sin ellas, los empleados no pueden tomar decisiones que cumplan con la normativa, incluso cuando lo deseen.
No existe un proceso de notificación de incidentes.
Muchas organizaciones incluyen en su política de uso aceptable (AUP) disposiciones para la notificación de incidentes, pero no crean el mecanismo de notificación correspondiente: no hay dirección de correo electrónico, ni portal de incidencias, ni contacto designado. Los empleados que no pueden notificar incidentes fácilmente no lo hacen. Es fundamental crear el mecanismo antes de que la política entre en vigor.
No se requiere capacitación.
Una política firmada pero no comprendida ofrece una protección mínima. Exigir capacitación —y restringir el acceso a las herramientas de IA una vez finalizada— garantiza que los empleados hayan leído y comprendido las normas que aceptan. Además, crea un registro documentado que reduce la responsabilidad del empleador en caso de incumplimiento.
Preguntas frecuentes
¿Qué debería incluir una política de uso aceptable de la IA en una empresa?
Una política integral de uso aceptable de IA para empresas debe abarcar ocho áreas: alcance y aplicabilidad, herramientas de IA aprobadas y prohibidas, reglas de clasificación de datos, requisitos de revisión humana, obligaciones de confidencialidad, informes de incidentes, requisitos de capacitación y consecuencias disciplinarias y de cumplimiento. Omitir cualquiera de estas áreas crea lagunas que reducen tanto la eficacia de la gobernanza como la protección legal.
¿Es legalmente obligatorio contar con una política de uso aceptable de la IA a nivel empresarial?
En la mayoría de las jurisdicciones, la Política de Uso Aceptable (PUA) para IA aún no es obligatoria por ley para las empresas privadas. Sin embargo, la Ley de IA de la UE (vigente desde 2026) exige que las organizaciones que implementan ciertos sistemas de IA de alto riesgo mantengan documentación de gobernanza, de la cual la PUA forma parte. Muchos departamentos legales de empresas ahora exigen una PUA interna antes de aprobar los contratos con proveedores de IA. Incluso cuando no es obligatoria por ley, una PUA reduce la responsabilidad del empleador cuando los empleados hacen un uso indebido de las herramientas de IA.
¿Cómo puedo hacer cumplir una política de uso aceptable de la IA?
La aplicación de las normas resulta más eficaz mediante una combinación de controles técnicos y consecuencias documentadas. Los controles técnicos incluyen la inclusión en la lista de herramientas de IA aprobadas en la plataforma de TI, el bloqueo de herramientas de IA para consumidores no aprobadas a nivel de red y la implementación de reglas de prevención de pérdida de datos (DLP) que alertan cuando se envían datos confidenciales a servicios de IA externos. Las consecuencias documentadas implican que la política debe establecer claramente las medidas disciplinarias que se tomarán en caso de infracción, y que el departamento de Recursos Humanos debe aplicarlas de forma coherente.
¿Qué clasificación de datos debería aplicarse a las herramientas de IA?
La mayoría de los marcos de clasificación de datos empresariales utilizan cuatro niveles: público, interno, confidencial y restringido. Las normas de uso de la IA suelen permitir que los datos públicos e internos sean procesados por herramientas de IA aprobadas, exigen controles adicionales para los datos confidenciales y prohíben que los sistemas de IA procesen los datos restringidos (información de identificación personal, información de salud protegida, registros financieros, secretos comerciales) sin una revisión y aprobación de seguridad explícitas.
¿Cómo puedo abordar el problema de la IA en la sombra, es decir, cuando los empleados utilizan herramientas no autorizadas?
El enfoque más eficaz combina tres elementos: (1) Proporcionar alternativas aprobadas que sean realmente útiles, para que los empleados no necesiten soluciones alternativas. (2) Implementar controles técnicos que bloqueen o supervisen el uso de herramientas no autorizadas en las redes y dispositivos corporativos. (3) Comunicar claramente el motivo de la política: los empleados que comprenden el riesgo de los datos tienen más probabilidades de cumplirla que aquellos que la perciben como burocracia informática.
¿Cuáles son las sanciones por violaciones de las políticas de IA?
Las infracciones de la política de IA deben seguir el mismo marco disciplinario que otras infracciones de la política de TI. Las consecuencias graduales típicas incluyen: primera infracción: advertencia verbal documentada y capacitación obligatoria; segunda infracción: advertencia por escrito con registro en el expediente de recursos humanos; tercera infracción: despido o pérdida del acceso a la herramienta de IA. Las infracciones que involucren datos regulados pueden resultar en el despido inmediato y la obligación de notificar a las autoridades reguladoras.
¿Con qué frecuencia debe revisarse una política de uso aceptable de la IA?
Las políticas de uso aceptable de la IA deben revisarse como mínimo anualmente, y con mayor frecuencia cuando se produzcan cambios significativos, como la implementación de una nueva herramienta de IA, una modificación de los requisitos normativos o un incidente relacionado con el uso indebido de la IA. Dada la rapidez con la que evoluciona el panorama de la IA, muchas organizaciones establecen un ciclo de revisión de seis meses.
¿Cuál es la diferencia entre una Política de Uso Aceptable de IA y un marco de gobernanza de IA?
Una política de uso aceptable de IA regula el comportamiento de los empleados: qué pueden y qué no pueden hacer con las herramientas de IA. Un marco de gobernanza de IA es más amplio y abarca el enfoque de la organización respecto a la adquisición, el despliegue, la evaluación de riesgos, la supervisión de modelos y el cumplimiento normativo de la IA. La política de uso aceptable es un componente de un marco de gobernanza. Para la mayoría de las empresas medianas, comenzar con una política de uso aceptable y desarrollar un marco de gobernanza más amplio es el enfoque práctico.
¿Los contratistas y terceros deben cumplir con la Política de Uso Aceptable de IA?
Sí, cualquier contratista o tercero que acceda a sus sistemas, maneje sus datos o realice trabajos que puedan exponer su información al procesamiento por IA debe estar cubierto por su Política de Uso Aceptable de IA (AUP) o una cláusula contractual equivalente. Incluya la aceptación de la AUP de IA en el proceso de incorporación de contratistas y añada restricciones de uso de IA a los contratos y declaraciones de trabajo con terceros.
Artículos relacionados
