¿Qué es una política de uso aceptable de la IA?
Una política de uso aceptable de la IA, a menudo abreviada como AI AUP, establece las conductas concretas que se esperan de cualquier persona que utilice herramientas de IA para la empresa. Su alcance es más limitado que el de una política integral de IA. No explica quién aprueba a los proveedores ni cómo se revisa el registro; indica a cada empleado, en el momento de abrir una herramienta, qué puede y qué no puede hacer.
Muchas empresas ya cuentan con una política de uso aceptable de los recursos informáticos que abarca el correo electrónico, los dispositivos e internet. Una política de uso aceptable de la IA puede ser una nueva sección de ese documento o una página independiente con un enlace a él. Lo importante es que hable de tareas y ejemplos, no de abstracciones. "Utilice la IA de forma responsable" no le indica a nadie qué decisión tomar; "no pegue contratos de clientes en ninguna herramienta de IA" sí.
Esta página ofrece información general, no asesoramiento jurídico. Solicite a un asesor cualificado que revise la versión que adopte, especialmente si trata datos personales o trabaja bajo condiciones de confidencialidad con clientes.
¿Cómo se decide qué usos de la IA permitir?
Clasifique los usos en tres niveles según la información utilizada y las consecuencias de un error: permitidos, permitidos con autorización y no permitidos. Un uso no es arriesgado por incluir IA, sino por los datos que se introducen y el fin al que se destina el resultado. La misma herramienta puede ser adecuada para reescribir una entrada pública de blog e inaceptable para resumir un expediente disciplinario.
Defina los niveles a partir de una lista de tareas reales. Pida a cada responsable de equipo cinco tareas para las que ya se utilice IA o se quiera utilizar. Asigne cada una a un nivel y dispondrá de ejemplos concretos desde el primer día.
| Nivel | Ejemplos habituales | Qué hace el empleado |
|---|---|---|
| Permitido | Reformular su propio borrador, resumir un artículo público, proponer opciones de titulares, explicar una fórmula de una hoja de cálculo | Utilice una cuenta aprobada y compruebe el resultado |
| Permitido con aprobación | Resumir material de clientes, redactar respuestas a clientes a partir del historial de casos de soporte, analizar datos internos de ventas | Utilícela solo si el flujo de trabajo figura en el registro, o consulte primero a la persona responsable |
| No permitido | Introducir contraseñas o claves, introducir datos personales de empleados o candidatos sin un flujo de trabajo aprobado, tomar decisiones de contratación o remuneración con IA, generar imágenes de personas reales | No lo haga; consulte si cree que hace falta una excepción |
¿Cómo son unas cláusulas de uso aceptable bien redactadas?
Las buenas cláusulas especifican la herramienta, la tarea y la información, e indican qué hacer en su lugar. A continuación se presentan ejemplos de cláusulas para una empresa ficticia de software con 40 personas, Aplicaciones Puerta Norte, que dispone de un espacio de trabajo empresarial de un asistente de chat y utiliza las funciones de IA de su plataforma de alojamiento de código y su paquete de aplicaciones de oficina.
Cada cláusula es lo bastante breve para recordarla y lo bastante específica para aplicarla. Observe que ninguna dice "tenga cuidado"; cada una indica un comportamiento.
Cuentas
"Utilice la IA únicamente a través de las cuentas de empresa de Northgate incluidas en el registro. No utilice cuentas personales, planes gratuitos ni extensiones del navegador no autorizadas para ningún trabajo de Northgate, ni siquiera para consultas rápidas."
Código
"Puede utilizar el asistente de programación autorizado en los repositorios de Northgate. No pegue en ninguna herramienta de IA datos de clientes, registros de producción que contengan datos personales ni secretos como claves de API. El código generado se revisa como cualquier otro código antes de integrarlo."
Clientes
"El personal de soporte puede utilizar el asistente autorizado para redactar respuestas. Elimine primero los números de cuenta y los datos de pago. Una persona debe leer y editar cada respuesta antes de enviarla."
Afirmaciones
"No publique estadísticas, datos de referencia ni resultados de clientes generados por una herramienta de IA sin haber abierto y comprobado la fuente original."
Decisiones sobre el personal
"No utilice la IA para clasificar, filtrar ni evaluar a candidatos o empleados. Puede utilizarla para mejorar la redacción de un anuncio de empleo que usted haya escrito."
Elaboración de informes
"Si ha introducido algo que no debía, informe al responsable de operaciones ese mismo día. Informar a tiempo se considera lo correcto."
¿Qué información debe restringir una política de uso aceptable de la IA?
Restrinja la información por categorías en lugar de enumerar todos los tipos de documentos y vincule cada categoría a las cuentas en las que se permite utilizarla. Las categorías habituales son información pública, interna, confidencial o de clientes, información personal y secretos, como contraseñas y claves. La regla para los secretos es la más fácil de redactar: nunca, en ninguna herramienta.
Las directrices del Centro Nacional de Ciberseguridad del Reino Unido sobre los grandes modelos de lenguaje señalan, en términos generales, que la organización que proporciona el modelo puede ver las consultas y recomiendan no incluir información sensible en las consultas a modelos públicos. Un espacio de trabajo empresarial puede tener condiciones contractuales distintas, así que registre lo que establece su plan. La documentación de Microsoft, por ejemplo, indica que el uso de Copilot Chat por parte de organizaciones está sujeto a su anexo de protección de datos y que las instrucciones y respuestas no se utilizan para entrenar modelos fundacionales, aunque señala que los controles varían según el plan de suscripción. Su política de uso aceptable puede indicar entonces qué categorías de información se permiten en ese espacio de trabajo y cuáles no se permiten en ningún entorno.
Para las empresas del Reino Unido que tratan datos personales, la guía del ICO sobre IA y protección de datos es la referencia oficial. Actualmente, sus páginas indican que la guía está en revisión a raíz de la Ley de Datos (Uso y Acceso), por lo que debe comprobar la versión vigente antes de basarse en un punto concreto.
¿Quiere ver cómo se relaciona esto con un puesto?
Explore la prueba prevista para equipos ↗¿Qué deben comprobar los empleados antes de utilizar un resultado generado por IA?
Los empleados deben comprobar cada afirmación factual, cifra, cita textual y referencia que vayan a compartir, y eliminar todo lo que no puedan vincular a una fuente. El perfil de IA generativa del NIST describe la confabulación como la producción de contenido erróneo o falso expresado con seguridad; una respuesta fluida no constituye una prueba. La política de uso aceptable debe atribuir la responsabilidad del resultado a la persona que lo utiliza.
Un ejemplo resuelto: un responsable de marketing de Northgate pide al asistente un párrafo breve sobre por qué los equipos pequeños adoptan herramientas de gestión de proyectos. El borrador incluye una frase que afirma que la mayoría de las pequeñas empresas cambiaron de herramienta el año pasado y cita una fuente. El responsable de marketing no encuentra esa cifra en la fuente citada. Conforme a la cláusula sobre afirmaciones de la política de uso aceptable, se elimina la frase y se reescribe el párrafo para describir los motivos que los clientes dan en las propias solicitudes de soporte de Northgate, sin incluir ninguna cifra.
Versión deficiente: "La mayoría de los equipos pequeños cambiaron de herramienta de gestión de proyectos el año pasado, según una encuesta reciente del sector." Versión revisada: "Los equipos que nos contactan suelen mencionar dos motivos para cambiar: fallos en el traspaso de tareas y demasiadas herramientas." La segunda es menos llamativa y se puede justificar por completo.
¿Deberían los empleados firmar una política de uso aceptable de la IA?
Pedir una firma o una confirmación de recepción es razonable, pero solo demuestra que alguien recibió la política. Acompáñela de un repaso de diez minutos de tres casos de su propio trabajo, uno por nivel, y pida a cada persona que los clasifique y explique por qué. Así tendrá pruebas de que las personas saben aplicar las reglas, algo que vale más que una firma si surge algún problema.
Las preguntas y respuestas de la Comisión Europea sobre alfabetización en IA, relativas al artículo 4 del EU AI Act, indican que no se exigen certificados y que basta con un registro interno de formación u otras iniciativas. Si las normas de la UE se aplican a su empresa, conviene llevar un registro breve de quién completó la sesión guiada y cuándo. Obtenga asesoramiento sobre si la ley se aplica a su empresa y de qué manera.
¿Cómo se hace cumplir una política de uso aceptable de la IA sin recurrir a la vigilancia?
La mayoría de las pequeñas empresas hacen cumplir su política de uso aceptable de la IA mediante cuentas aprobadas, una configuración predeterminada sensata y una cultura en la que las personas comunican los errores, no supervisando cada instrucción. Proporcione una cuenta empresarial aprobada para que la opción más cómoda sea también la permitida. Active las opciones de administración que ofrece su plan. Cree un entorno seguro para comunicar errores y aborde el incumplimiento reiterado de las normas como una conversación habitual sobre desempeño.
Si revisa los registros de uso disponibles en un plan para empresas, indíquelo en la política y compruebe las normas laborales y de privacidad aplicables. La supervisión oculta suele dañar la cultura de comunicación de incidencias de la que depende la política.
Tosheo.ai sigue el mismo criterio en su diseño previsto: los responsables ven el progreso de las habilidades y la finalización de las actividades, pero nunca los registros íntegros de los chats de quienes se forman.
¿Cuándo no basta con una política de uso aceptable?
Una política de uso aceptable regula el comportamiento de los empleados; no determina qué proveedores son seguros, si un flujo de trabajo necesita una evaluación de impacto relativa a la protección de datos ni cómo encaja la IA en un producto que usted vende. Si su empresa desarrolla funciones de IA, automatiza decisiones sobre personas o ejerce una profesión regulada, también necesita un marco de gobernanza y una revisión especializada.
Tampoco es formación. Es fácil estar de acuerdo con una regla como "compruebe cada afirmación", pero es difícil aplicarla bien con plazos ajustados. Las personas necesitan practicar con tareas realistas para desarrollar ese hábito; para eso sirve la práctica adaptada al puesto.
Fuentes y alcance
NCSC, ChatGPT y los grandes modelos de lenguaje: ¿cuál es el riesgo?, 14 de marzo de 2023 ↗
ICO, Guía sobre IA y protección de datos (en revisión), consultada el 16 de octubre de 2026 ↗
NIST, perfil de IA generativa (NIST AI 600-1), julio de 2024 ↗
Comisión Europea, Alfabetización en IA: preguntas y respuestas, última actualización: 27 July 2026 ↗