Cómo elaborar una política de IA para una pequeña empresa

¿Qué es una política de IA?

Una política de IA es un documento breve de la empresa que indica a los empleados qué herramientas de inteligencia artificial pueden utilizar, para qué tareas, con qué información y qué debe hacerse antes de utilizar un resultado elaborado con ayuda de IA. En una pequeña empresa, suele tener unas pocas páginas y estar a cargo de una persona fundadora, un responsable de operaciones o quien ya se ocupe de los datos y los contratos.

La expresión abarca varios documentos que a menudo se confunden. Una política de uso aceptable es el conjunto de normas que los empleados siguen a diario. Una política de IA generativa aborda las herramientas que producen texto, imágenes o código y los riesgos asociados al contenido generado. Un marco de gobernanza es la capa de gestión que sustenta ambas: quién aprueba una herramienta, quién mantiene el registro y con qué frecuencia se revisan las decisiones. La mayoría de las empresas con menos de 200 personas pueden reunir los tres en un solo documento, siempre que cada parte esté claramente identificada.

Esta guía aborda las decisiones que necesita toda política de inteligencia artificial, con cláusulas de ejemplo para una empresa ficticia. Es información general, no asesoramiento jurídico. Las leyes de protección de datos, empleo y protección del consumidor varían según el país y el sector, así que solicite a un profesional cualificado que revise la versión que adopte.

¿Qué debe hacer una política de IA para una pequeña empresa?

Una política útil ayuda a decidir qué hacer antes de introducir información en una herramienta o utilizar su resultado. Debe identificar los servicios aprobados, las tareas adecuadas, los límites sobre la información, las responsabilidades de revisión y una vía para elevar consultas o problemas. Una lista de advertencias sin esas decisiones prácticas deja a los empleados sin saber cómo actuar, y quienes están en esa situación dejan de usar las herramientas o las utilizan sin decirlo.

Empiece por los flujos de trabajo reales de las personas. Un borrador de invitación basado en datos públicos necesita controles distintos de los de un resumen de material confidencial de un cliente. Para cada flujo de trabajo, anote el propósito, el material de origen, el lector previsto y las consecuencias de un error. Ese contexto es un mejor punto de partida que tratar todos los usos de la IA como si fueran iguales.

Una buena prueba consiste en comprobar si una persona recién incorporada podría responder tres preguntas después de leerlo: qué cuenta debo usar, qué no debo pegar nunca y a quién debo consultar. Si el documento no permite responderlas, todavía no cumple su función, por muy exhaustivo que parezca.

¿La ley exige que una pequeña empresa tenga una política de IA?

En la mayoría de los lugares no existe una ley general que obligue a todas las pequeñas empresas a tener un documento llamado política de IA, pero las obligaciones vigentes siguen siendo aplicables al uso de la IA por parte del personal. La legislación sobre protección de datos, las cláusulas de confidencialidad de los contratos con clientes, la legislación laboral y las normas publicitarias no dejan de aplicarse porque una herramienta haya generado el borrador. Una política es la forma práctica de mostrar al personal cómo se aplican esas obligaciones existentes a su uso de la IA.

En el Reino Unido, el ICO publica directrices sobre IA y protección de datos y un conjunto de herramientas de gestión de riesgos para organizaciones. Ambas páginas indican actualmente que las directrices están en revisión a raíz de la Ley de Datos (Uso y Acceso), por lo que debe comprobar su estado actual antes de basarse en cualquier detalle. En la UE, el artículo 4 del EU AI Act sobre alfabetización en IA se aplica desde el 2 de febrero de 2025 a los proveedores y los responsables del despliegue de sistemas de IA. Las preguntas y respuestas de la Comisión Europea sobre alfabetización en IA indican que no existe un enfoque único válido para todos, que no se requieren certificados y que basta con un registro interno de la formación. También ofrecen el ejemplo del personal que utiliza un asistente conversacional para redactar textos publicitarios o traducir, al que se debe informar de riesgos específicos como las alucinaciones.

Si vende en la UE, emplea a personas allí o trata datos personales de residentes de la UE, solicite asesoramiento sobre las normas que le afectan. El alcance de esta guía es más limitado: una política escrita junto con formación práctica es una forma razonable de demostrar que se informó a las personas sobre los riesgos y cómo gestionarlos.

¿Quién debe hacerse responsable de las decisiones?

Designe a una persona responsable de la política y a quienes pueden aprobar herramientas y flujos de trabajo sensibles. En una empresa de 12 personas, quien la fundó puede encargarse de todo. En una empresa de 80 personas, quien dirige las operaciones podría aprobar las herramientas, quien se encarga de la protección de datos podría aprobar el uso de información personal y los responsables de cada departamento podrían revisar los resultados de su área. Los empleados necesitan un único punto de contacto para las consultas que la política no contemple.

El material sobre gobernanza de la guía práctica del marco de gestión de riesgos de IA de NIST aborda la definición de funciones y responsabilidades, la formación del personal sobre riesgos de IA y los canales de comunicación. La estructura que se presenta aquí es una adaptación operativa para un equipo pequeño. Usar estos encabezados no hace que una política cumpla ninguna ley ni que cuente con el respaldo de NIST.

Incluya en la propia política el nombre de la persona responsable y el de su suplente, no solo un cargo. En las pequeñas empresas, los cargos cambian más rápido que los documentos, y una vía para escalar problemas que remite a un puesto que nadie ocupa no sirve de nada.

¿Cómo debería registrar las herramientas aprobadas?

Registre el servicio, el plan y el uso permitido exactos, porque el nombre de una marca por sí solo oculta diferencias importantes. Una cuenta personal de consumo, un espacio de trabajo empresarial y una integración mediante API del mismo producto pueden tener condiciones distintas de conservación de datos, entrenamiento y control administrativo. Registre la configuración y las condiciones pertinentes en lugar de suponer que una misma declaración se aplica a todas las versiones.

Pregunte por separado sobre el entrenamiento de modelos, la conservación de datos, el acceso, las ubicaciones de procesamiento y la eliminación. Que un proveedor afirme que no utiliza los datos para entrenamiento no significa que no los almacene ni que usted tenga permiso para subir un documento de un cliente. Como ejemplo de cómo describen esto los proveedores, la documentación de Microsoft para Copilot Chat utilizado por organizaciones indica que las instrucciones y las respuestas están cubiertas por su anexo de protección de datos y no se utilizan para entrenar modelos fundacionales, y que los controles específicos varían según el plan de suscripción. Ese es el tipo de declaración específica del plan que conviene registrar, junto con la fecha en que la consultó.

Asigne una persona responsable y una fecha de revisión a cada aprobación para que la lista pueda actualizarse cuando cambie el servicio o el flujo de trabajo. La guía del marco de gobernanza muestra un formato de registro que cabe en una página.

¿Qué pueden pegar los empleados en una herramienta de IA?

No hay una respuesta universal independiente de la herramienta, los datos y las obligaciones de la empresa, por lo que la política debe dar una respuesta para su contexto. Empiece por clasificar la información en unas pocas categorías claras: pública, interna, información confidencial de la empresa o de clientes e información personal. Después, indique qué categorías están permitidas para cada herramienta aprobada. Eliminar un nombre no convierte por sí solo un documento en anónimo ni autoriza su carga.

Las directrices del Centro Nacional de Ciberseguridad del Reino Unido sobre los grandes modelos de lenguaje son tajantes en el punto general: la organización que proporciona el modelo puede ver las consultas. Recomiendan no incluir información sensible en las consultas a modelos públicos y leer las condiciones de uso y la política de privacidad antes de hacer preguntas que contengan información sensible. Su política puede convertir esto en instrucciones concretas para las cuentas que haya aprobado.

Dé a los empleados ejemplos concretos de material permitido y restringido para cada flujo de trabajo aprobado. Utilice datos ficticios o de bajo riesgo expresamente aprobados durante la formación. Si la respuesta no está clara, el personal debe detenerse y contactar con la persona designada como responsable, en lugar de improvisar una decisión sobre privacidad en medio de una tarea.

¿Qué debe ocurrir antes de utilizar un resultado?

Todo resultado elaborado con ayuda de IA necesita una comprobación acorde con el uso que se le dará, y la política debe indicar quién la realiza. Un borrador de correo puede requerir una lectura para contrastarlo con los datos facilitados. Una explicación numérica necesita un cálculo independiente. Una afirmación sobre derecho, salud, dinero o seguridad necesita la revisión de una persona cualificada. La política debe mantener las aprobaciones existentes en lugar de dar a entender que la ayuda de la IA las hace innecesarias.

Pida a los empleados que mantengan el borrador generado separado de la versión aprobada para su uso. Para trabajos importantes, conserve un registro de revisión suficiente para mostrar qué fuente se utilizó, qué cambió y quién tomó la decisión final. Una respuesta fluida, o la afirmación del propio modelo de que es correcta, no constituye una verificación independiente.

Deje claro qué decisiones siguen correspondiendo a las personas. Una cláusula habitual sería: las herramientas de IA pueden ayudar a redactar o resumir, pero no deben servir de base para una decisión sobre contratación, remuneración, desempeño, crédito o una reclamación de un cliente sin que una persona designada revise la información que la sustenta.

¿Cómo es una política terminada para un equipo de tamaño realista?

Este es un ejemplo desarrollado para una agencia de marketing ficticia de 25 personas, Harbour Lane Studio. Su personal utiliza el espacio de trabajo empresarial de un asistente de chat contratado por la empresa y las funciones de IA de su paquete ofimático. Algunas personas también tenían cuentas personales. El fundador es el responsable de la política y la persona que dirige el servicio al cliente aprueba todo lo que implique material de clientes.

Cláusula de ejemplo, herramientas aprobadas: "Use únicamente el espacio de trabajo empresarial de Harbour Lane en [asistente] y las funciones de IA de nuestra suite ofimática, con su cuenta de empresa. No use cuentas personales para ningún trabajo de la empresa o de clientes."

Cláusula de ejemplo, información: "Puede usar información pública e interna en las herramientas aprobadas. No introduzca archivos de clientes, precios de clientes ni nada marcado como confidencial, salvo que el responsable de servicios al cliente haya aprobado ese cliente y esa tarea en el registro. Nunca introduzca información personal sobre candidatos, personal o clientes."

Cláusula de ejemplo, revisión: "Antes de enviar a un cliente un trabajo realizado con ayuda de IA, el responsable de la cuenta comprueba cada afirmación factual con las indicaciones del encargo o una fuente identificada y elimina cualquier estadística, resultado o recomendación cuya procedencia no se pueda verificar. El trabajo realizado con ayuda de IA está sujeto al mismo estándar que cualquier otro borrador."

Cláusula de ejemplo, derivación de consultas: "Si tiene dudas, deténgase y consulte a [nombre del fundador], o a [nombre del suplente] si no está disponible. Si cree que se ha introducido información restringida en la herramienta equivocada, avísele ese mismo día. No se le penalizará por informar con prontitud."

Harbour Lane probó después la política con una tarea real, un resumen de campaña elaborado a partir de las indicaciones de un cliente, antes de pedir a nadie que la firmara. La prueba reveló una carencia: nadie sabía si la guía de marca de un cliente se consideraba confidencial. El fundador añadió una línea al registro en lugar de dejar la decisión en manos de cada responsable de cuenta.

¿Cómo debería abordar la política la incertidumbre y los errores?

La política debe establecer una vía clara para comunicar una divulgación accidental, un resultado sin respaldo o un flujo de trabajo que ya no se ajuste a las condiciones de su aprobación, y debe garantizar que se pueda informar sin temor. El personal necesita saber qué detener, con quién contactar y qué pruebas conservar para la persona responsable. No invente un procedimiento genérico de incidentes que entre en conflicto con el que ya tiene para problemas de datos o seguridad; remita a ese procedimiento.

Pruebe un breve ejercicio de simulación antes de adoptar la política: alguien ha pegado un documento restringido en una cuenta personal no autorizada. ¿Puede el empleado encontrar el canal para notificarlo? ¿Sabe la persona responsable qué servicio y qué cuenta se utilizaron y qué opciones de eliminación ofrece el proveedor? Utilice las carencias detectadas para mejorar el procedimiento real con los revisores adecuados.

¿Cómo se asegura de que las personas realmente puedan cumplirla?

Una confirmación firmada demuestra que alguien recibió la política; no demuestra que sepa aplicarla. Las personas aprenden un límite al practicarlo en una tarea realista: decidir qué omitir de una instrucción para la IA, contrastar una afirmación generada con su fuente y explicar el cambio realizado. Eso también es lo que describe la sección de preguntas y respuestas de la Comisión Europea cuando habla de informar al personal sobre los riesgos específicos del trabajo que realiza.

Revise con el equipo un ejemplo permitido, uno restringido y un caso dudoso de su propio trabajo. Pida a cada persona que explique la diferencia y averigüe a quién acudir para resolver las dudas. Después, vuelva a la política y añada los ejemplos que hayan ayudado a aclarar las decisiones.

Tosheo.ai se está diseñando para esa etapa de práctica. Para el lanzamiento, está previsto que un responsable elija los roles y las herramientas de IA que utiliza el equipo, que cada participante realice una breve evaluación inicial y que las lecciones terminen con una tarea práctica en una herramienta real, evaluada según una rúbrica visible. Está previsto que los responsables vean el progreso de las habilidades y las actividades completadas, no los historiales de chat sin procesar. No redacta ni hace cumplir su política; su finalidad es ayudar a las personas a practicar los hábitos que exige una política.

¿Cómo se mantiene útil la política?

Revise la política cuando cambien las herramientas, los planes, los contratos o los flujos de trabajo, y en una fecha fija al menos una vez al año. Pregunte a los empleados qué decisiones les siguen resultando difíciles. Una política que nadie puede aplicar necesita ejemplos más claros o una mejor vía para derivar las consultas, no otra casilla para confirmar que se ha leído.

Incluya una fecha de versión y una nota de cambios en la parte superior para que todos sepan qué norma está vigente. Cuando un proveedor cambie sus condiciones o un cliente añada una cláusula sobre IA a un contrato, actualice la entrada del registro e informe a las personas afectadas, en lugar de esperar a la revisión anual.

¿Cuándo no es esta guía la solución adecuada?

Este enfoque está diseñado para equipos de aproximadamente 5 a 200 personas que utilizan asistentes de IA disponibles en el mercado para el trabajo intelectual cotidiano. Por sí solo no basta si desarrolla o vende sistemas de IA, toma decisiones automatizadas sobre personas, trabaja en un sector muy regulado, como la atención sanitaria, el asesoramiento financiero o los servicios jurídicos, o tiene contratos con clientes que incluyen condiciones específicas sobre IA. En esos casos, antes de finalizar la política necesita una revisión jurídica y de protección de datos realizada por profesionales cualificados y, posiblemente, una evaluación formal de riesgos.

Tampoco sustituye a un programa de seguridad de la información. Si su empresa no tiene reglas básicas sobre contraseñas, seguridad de los dispositivos o clasificación de datos, resuelva eso primero; una política de IA sin una base no se sostendrá.

Fuentes y alcance

Guía práctica del marco de gestión de riesgos de IA de NIST: gobernar, verificada el 16 de octubre de 2026 ↗

ICO, Guía sobre IA y protección de datos (en revisión), consultada el 16 de octubre de 2026 ↗

ICO, Herramientas para evaluar los riesgos de la IA y la protección de datos (en revisión), consultado el 16 de octubre de 2026 ↗

Comisión Europea, Alfabetización en IA: preguntas y respuestas, última actualización: 27 July 2026 ↗

NCSC, ChatGPT y los grandes modelos de lenguaje: ¿cuál es el riesgo?, 14 de marzo de 2023 ↗

Microsoft Learn, Protección de datos empresariales en Microsoft Copilot y Copilot Chat, revisado el 16 October 2026 ↗