Una plantilla de política de IA para empleados

¿Cómo debería usar esta plantilla?

Copie las cláusulas siguientes en su propio documento, sustituya todos los campos entre corchetes y comente cada cláusula con la persona responsable de ese flujo de trabajo. No adopte el documento como política de la empresa sin comprobar las herramientas, la información y las obligaciones concretas que intervienen. Se evita deliberadamente dar por hecho que existe una autorización general para cargar datos empresariales.

Utilice una tarea conocida para comprobar si un empleado puede aplicar el documento terminado. Por ejemplo, ¿puede identificar qué cuenta está aprobada para redactar un correo a partir de información pública y a quién consultar antes de compartir un informe de un cliente? Si la respuesta no está clara, mejore la política antes de pedir al personal que confirme haberla leído.

Esta plantilla ofrece información general, no asesoramiento jurídico. Las normas de protección de datos, laborales y sectoriales varían según el país, y un asesor cualificado debe revisar la versión que adopte.

¿Qué deben incluir las cláusulas de finalidad, alcance y responsabilidades?

Las primeras tres cláusulas indican por qué existe la política, a quién se aplica y quién decide cuando hay dudas. Manténgalas breves; su función es orientar, no producir efectos jurídicos.

Cláusula 1, finalidad: "[Empresa] utiliza herramientas de IA para ayudar al personal a redactar, resumir, investigar y analizar. Esta política explica qué herramientas están autorizadas, qué información se puede utilizar con ellas, cómo se comprueban los resultados y a quién consultar. Complementa nuestras políticas de [seguridad de la información / protección de datos / confidencialidad], pero no las sustituye."

Cláusula 2, ámbito de aplicación: "Esta política se aplica a todos los empleados, contratistas y [profesionales independientes / pasantes] que trabajen para [Empresa], en cualquier dispositivo, incluidas las funciones de IA integradas en el software que ya utilizamos, como [paquete ofimático, herramienta de diseño, CRM]."

Cláusula 3, responsabilidad: "[Nombre, cargo] es responsable de esta política y del registro de herramientas autorizadas. [Nombre del suplente] le sustituye cuando no está disponible. Las consultas deben dirigirse a [correo electrónico o canal]. [Nombre, cargo] aprueba cualquier flujo de trabajo que implique información personal."

¿Cómo se completan las cláusulas sobre herramientas e información?

Las cláusulas 4 y 5 concentran la mayor parte del riesgo, por lo que requieren las respuestas más específicas. La cláusula 4 identifica las cuentas concretas; la cláusula 5 indica qué tipos de información se pueden introducir en cada una.

Cláusula 4, herramientas autorizadas: "Utilice únicamente las herramientas incluidas en el registro de herramientas autorizadas e inicie sesión con su cuenta de [Empresa]. No se deben utilizar cuentas personales, planes gratuitos ni extensiones de navegador que no figuren en el registro para trabajos de [Empresa] o de clientes. Para solicitar una nueva herramienta, envíe un correo a [responsable] indicando la herramienta, el plan, la tarea y la información que se utilizaría."

Cláusula 5, información: "Puede utilizar información pública e [información interna] en las herramientas autorizadas. No debe introducir [material confidencial de clientes / precios / datos financieros no publicados / código fuente / credenciales] salvo que el registro autorice esa herramienta para esa tarea. No introduzca información personal sobre empleados, candidatos o clientes a menos que [nombre] haya aprobado ese flujo de trabajo específico. Eliminar los nombres no basta por sí solo para que sea seguro compartir la información."

Cada aprobación del registro debe incluir el servicio y el plan, la tarea permitida, la información autorizada, la persona responsable de la revisión y una fecha de revisión. Pregunte a los proveedores por separado sobre el entrenamiento con sus datos, la conservación, el acceso de los administradores y la eliminación, y registre lo que dicen sus condiciones vigentes junto con la fecha de consulta. Que no se usen los datos para entrenar modelos no significa que no se almacenen.

¿Qué deben decir las cláusulas sobre la revisión de resultados y las decisiones sobre personas?

La cláusula 6 responsabiliza de la comprobación del resultado a la persona que lo utiliza; la cláusula 7 mantiene las decisiones sobre personas en manos de personas. Ambas deben ajustarse a las autorizaciones existentes, no sustituirlas.

Cláusula 6, revisión de resultados: "Usted es responsable de cualquier trabajo realizado con ayuda de IA que utilice o envíe. Antes de utilizarlo, compruebe los hechos, las cifras, las citas textuales y las referencias con el material original o una fuente identificada. Elimine cualquier estadística, resultado, respaldo o referencia cuyo origen no pueda verificar. Los trabajos que normalmente requieren la revisión de [el área jurídica / el área de finanzas / un gerente] siguen sujetos a esa revisión."

Cláusula 7, decisiones sobre personas: "Las herramientas de IA no deben utilizarse como base para tomar decisiones sobre contratación, remuneración, desempeño, medidas disciplinarias, crédito o reclamaciones de clientes. Pueden ayudar a redactar u organizar material, pero una persona designada debe revisar la información de base y tomar la decisión."

Si su equipo realiza trabajo de gran volumen, como responder consultas de soporte, añada una frase sobre las comprobaciones por muestreo: quién revisa una muestra de las respuestas elaboradas con ayuda de IA, con qué frecuencia y qué ocurre cuando aparece un patrón de errores.

¿Cómo funcionan las cláusulas de divulgación, notificación y revisión?

Las últimas tres cláusulas indican cuándo informar a otros de que se utilizó IA, qué hacer cuando algo sale mal y cómo se mantiene actualizada la política.

Cláusula 8, comunicación del uso de IA: "Informe a quien revise su trabajo cuando un borrador se haya elaborado en gran parte con IA. Cumpla los contratos con los clientes y las normas de las plataformas o publicaciones sobre contenido generado por IA. [Opcional: Las imágenes o los textos generados por IA y destinados a clientes se identifican con la etiqueta [texto de la etiqueta].]"

Cláusula 9, notificación: "Si es posible que se haya introducido información restringida en una herramienta no autorizada, o si un resultado elaborado con ayuda de IA causó o estuvo a punto de causar un problema, informe a [responsable] ese mismo día e indique la herramienta, la cuenta y qué se compartió. Siga el [procedimiento de incidentes existente] cuando corresponda. La notificación oportuna no se considerará una falta de conducta."

Cláusula 10, revisión: "[Responsable] revisa esta política y el registro al menos cada [seis / doce] meses, y siempre que cambie una herramienta, un plan, un contrato o un flujo de trabajo. Versión [número], aprobada por [nombre] el [fecha]."

¿Qué campos por completar requieren decisiones reales?

Cada campo entre corchetes es una decisión pendiente, no una opción segura por defecto, así que marque los elementos desconocidos para su revisión en lugar de completarlos con una regla que parezca razonable. La empresa debe indicar quién es responsable de la política, los servicios y planes aprobados, las tareas permitidas, la información restringida, las responsabilidades de revisión, el canal para comunicar incidencias y la fecha de revisión.

Registre por qué una herramienta está aprobada para una tarea concreta. La configuración del entrenamiento del modelo, la conservación de datos, los controles de acceso y el permiso contractual son cuestiones distintas. Una herramienta puede tener un uso aceptable y otro que requiera aprobación adicional. Mantenga esa distinción visible en el registro.

Un caso práctico: una asesoría contable ficticia de 18 personas completó primero la cláusula 5 y descubrió que no podía responderla, porque sus cartas de encargo con los clientes no decían nada sobre la IA. En lugar de hacer suposiciones, el propietario marcó el material de los clientes como no permitido hasta que se revisara, aprobó de inmediato el uso de material público e interno y concertó una conversación con su asesor para actualizar las cartas de encargo.

¿Qué debe examinar quien realiza la revisión?

Quien revise debe comprobar que la política sea coherente con los procesos existentes de seguridad de la información, privacidad, empleo y publicación, y que no los anule de forma implícita. Un documento breve sobre IA no debe flexibilizar una norma que ya regula los datos confidenciales o las decisiones de gran impacto. Las personas adecuadas para revisar dependen de la organización, el flujo de trabajo y la jurisdicción.

El material sobre gobernanza de la guía práctica del marco de gestión de riesgos de IA de NIST aborda funciones, responsabilidades, formación y riesgos de terceros; esta plantilla es nuestra adaptación práctica para equipos pequeños. La guía de ICO sobre IA y protección de datos es un recurso oficial del Reino Unido para cuestiones sobre datos personales, y sus páginas indican actualmente que está en revisión tras la Ley de Datos (Uso y Acceso), por lo que debe consultar la versión vigente. La plantilla no es un certificado de cumplimiento ni una declaración de que su empresa haya implantado los controles.

¿Cómo se presenta la política al equipo?

Preséntelo con ejemplos de su propio trabajo, no con una lectura como tarea. Explique un ejemplo permitido, uno restringido y un caso dudoso. Pida a las personas que expliquen la diferencia e identifiquen a quién deben consultar. Deles tiempo para preguntar sobre las herramientas y las cuentas que utilizan realmente. Una mera confirmación no demuestra que alguien sepa aplicar un límite.

Retome la política después de la primera sesión práctica. Añada los ejemplos que hayan ayudado a aclarar una decisión y corrija cualquier instrucción que no se ajuste al flujo de trabajo. Mantenga un número de versión y una persona responsable para que el personal sepa dónde encontrar las normas vigentes.

Si busca práctica estructurada, Tosheo.ai se está desarrollando para ofrecer a cada puesto lecciones breves que terminan con una tarea práctica en una herramienta de IA real, evaluada según una guía de puntuación visible. No redacta ni aprueba su política.

¿Cuándo no es una plantilla genérica el punto de partida adecuado?

Una plantilla genérica no es el punto de partida adecuado si integra IA en un producto que vende, trata datos personales de categorías especiales, ejerce una profesión regulada o tiene contratos que ya establecen condiciones sobre la IA. Parta de esas obligaciones con la ayuda de un asesor cualificado y utilice esta estructura solo como lista de temas que debe comprobar.

Tampoco es adecuado si nadie va a asumir la responsabilidad. Una plantilla que se rellena una vez y nunca se revisa acaba siendo una lista de reglas sobre herramientas que el equipo ya no utiliza. Designe a la persona responsable antes de completar la cláusula 4.

Fuentes y alcance

Guía práctica del marco de gestión de riesgos de IA de NIST: gobernar, verificada el 16 de octubre de 2026 ↗

ICO, Guía sobre IA y protección de datos (en revisión), consultada el 16 de octubre de 2026 ↗

ICO, Herramientas para evaluar los riesgos de la IA y la protección de datos (en revisión), consultado el 16 de octubre de 2026 ↗