¿Por qué las herramientas de IA generativa necesitan reglas específicas en las políticas de la empresa?
Las herramientas generativas producen texto, imágenes, audio o código nuevos, en lugar de limitarse a recuperar u ordenar información existente, por lo que el riesgo principal pasa de lo que se introduce a lo que se obtiene. Una herramienta de búsqueda devuelve páginas que usted puede examinar; una herramienta generativa devuelve un borrador que se expresa con seguridad, pero que puede contener hechos inventados, formulaciones tomadas de otras fuentes o un enfoque sesgado. Una política debe abarcar tanto las entradas como las salidas.
El perfil de IA generativa de NIST enumera doce riesgos exclusivos de la IA generativa o agravados por ella. Para una pequeña empresa común, cinco de ellos cubren la mayor parte de lo que debe abordar una política: alucinación (contenido falso presentado con seguridad), privacidad de los datos (filtración o divulgación no autorizada), propiedad intelectual (reproducción de contenido protegido o exposición de secretos comerciales), integridad de la información (contenido que no distingue los hechos de las opiniones ni reconoce la incertidumbre) y lo que NIST denomina configuración entre personas e IA, que incluye el sesgo de automatización y la dependencia excesiva.
Puede incluir estas reglas en el mismo documento que sus reglas de uso aceptable. Muchas empresas pequeñas lo hacen. Esta página se centra en las cláusulas específicas sobre el contenido. Es información general, no asesoramiento jurídico.
| El riesgo en el perfil de NIST | Cómo se aplica en el trabajo | Norma de la política que aborda el caso |
|---|---|---|
| Confabulación | Una estadística inventada o una referencia a una página que no contiene lo que se afirma | Verifique cada afirmación de hecho consultando una fuente abierta antes de utilizarla |
| Privacidad de los datos | La lista de contactos de un cliente pegada para redactar un correo personalizado mediante combinación de correspondencia | Categorías de información vinculadas a cuentas aprobadas |
| Propiedad intelectual | Una imagen con el estilo de un artista reconocible, o código copiado de un proyecto sujeto a una licencia | Reglas sobre instrucciones de estilo, reutilización y comprobación de licencias |
| Integridad de la información | Un resumen que presenta una suposición como un hecho | Exija que la incertidumbre siga siendo visible en los borradores revisados |
| Dependencia excesiva | Aceptar un análisis generado sin leer los datos | Indique qué decisiones quedan en manos de una persona |
¿Qué debe establecer una política de uso de ChatGPT para empleados?
Una política de uso de ChatGPT para empleados debe indicar qué cuenta utilizar, qué información no debe incluirse nunca en una instrucción, cómo comprobar la respuesta y a quién consultar, y las mismas normas deben aplicarse a Claude, Gemini, Copilot y asistentes similares. Mencionar un producto en el título está bien para aportar claridad, pero redacte las normas de modo que no sea necesario reescribirlas cuando el equipo incorpore otra herramienta.
La distinción más importante es entre cuentas personales y empresariales. Los planes para particulares y para empresas de un mismo asistente pueden tener condiciones diferentes sobre el entrenamiento, la conservación de datos y el control por parte del administrador. La documentación de Microsoft, por ejemplo, indica que el uso de Copilot Chat por parte de organizaciones está cubierto por su anexo de protección de datos y que las instrucciones y las respuestas no se utilizan para entrenar modelos fundacionales, con controles que varían según el plan. Registre la declaración equivalente para cada herramienta que apruebe, junto con la fecha de comprobación, en lugar de darla por supuesta.
Cláusula de ejemplo: "Use [asistente] únicamente a través de su cuenta empresarial de [empresa]. No use una cuenta personal para el trabajo de la empresa, ni siquiera para una consulta rápida, porque las cuentas personales no están cubiertas por nuestro acuerdo con el proveedor."
¿Qué no debe incluir nunca el personal en una instrucción para una IA generativa?
El personal nunca debe introducir contraseñas, claves ni otros secretos en una instrucción para la IA, y solo debe introducir información confidencial, de clientes o personal cuando un procedimiento aprobado lo permita. Las directrices del Centro Nacional de Ciberseguridad del Reino Unido señalan que la organización que proporciona el modelo puede ver las consultas y recomiendan no enviar ninguna que pudiera causar problemas si se hiciera pública.
Los archivos subidos cuentan como instrucciones para la IA. Una hoja de cálculo adjunta para solicitar un gráfico incluye todas sus columnas, incluso las que no eran necesarias para la consulta. Una cláusula de la política que diga "elimine las columnas que no necesite antes de subir el archivo" es fácil de seguir y evita un error habitual.
Cláusula de ejemplo: "Antes de pegar o subir contenido, elimine todo lo que la tarea no necesite. Nunca incluya secretos. No incluya información de clientes ni información personal, salvo que el registro autorice esa herramienta y esa tarea. Si tiene dudas, consulte primero a [responsable]."
¿Cómo debería revisarse el contenido generado antes de utilizarlo?
El contenido generado debe revisarse en función del uso que se le vaya a dar: una lluvia de ideas privada necesita una revisión rápida; un entregable para un cliente exige rastrear cada afirmación hasta su fuente; y cualquier contenido jurídico, financiero o relacionado con la seguridad requiere una persona cualificada que lo revise. La política debe indicar quién revisa cada tipo de resultado, normalmente la persona que lo enviará o publicará.
Un ejemplo práctico de Fenwick Talent, una consultora ficticia de selección de personal de 15 personas. Un consultor da la siguiente instrucción: "Escriba una actualización del mercado de 150 palabras para directores financieros sobre la contratación de especialistas en contabilidad de gestión en Leeds." El borrador dice que la demanda aumentó considerablemente este año y que los salarios han subido un porcentaje concreto, citando un estudio salarial específico. El consultor no encuentra ni el estudio ni la cifra.
Resultado deficiente conservado sin cambios: "La demanda de contables de gestión en Leeds aumentó considerablemente este año, con un incremento salarial del [cifra] según [encuesta]." Versión revisada: "En los procesos de selección que completamos este trimestre, los directores financieros preguntaron con mayor frecuencia por los plazos de preaviso y las condiciones del trabajo híbrido. Estamos viendo más contraofertas en la fase de oferta." La versión revisada solo utiliza lo que Fenwick observó directamente. La cláusula de la política que motiva el cambio: "Elimine cualquier estadística, encuesta o resultado cuya fuente no pueda abrir y verificar."
¿Quiere ver cómo se relaciona esto con un puesto?
Explore la prueba prevista para equipos ↗¿Cuándo deben los empleados indicar que un contenido se generó con IA?
Como mínimo, los empleados deben informar a quien revise su trabajo cuando un borrador se haya generado en gran medida con IA y cumplir cualquier contrato con el cliente, norma de la plataforma o norma de publicación que exija declararlo. Más allá de eso, informar sobre el uso de IA es una decisión de la empresa que depende del público y del contexto.
Los ejemplos públicos varían. Las directrices provisionales para el personal del Ayuntamiento de Boston, publicadas en mayo de 2023, piden a los empleados que declaren el uso de IA e indiquen el modelo utilizado, y sugieren una atribución como «Esta descripción fue generada por ChatGPT 3.5 y editada por» el miembro del personal. Esto resulta adecuado para un organismo público. Una agencia pequeña puede decidir que, para los textos habituales, basta con informar internamente a quien los revisa, y reservar el etiquetado externo para las imágenes generadas o las voces sintéticas.
Cláusula de ejemplo: "Informe a quien revise su trabajo cuando la IA haya generado una parte sustancial de un borrador. Etiquete las imágenes, el audio o el video generados por IA y destinados a clientes como [texto de la etiqueta]. Siga cualquier instrucción del cliente sobre el uso de IA, que tendrá prioridad sobre esta cláusula."
¿Cómo debería una política de IA generativa abordar los derechos de autor y las imágenes?
La política debe impedir que el personal reproduzca deliberadamente obras protegidas, exigir la comprobación de licencias antes de reutilizar código o recursos generados y prohibir las imágenes o voces generadas de personas reales sin su consentimiento. El perfil de NIST incluye, entre los riesgos de la IA generativa, una mayor facilidad para reproducir contenido protegido por derechos de autor, marcas registradas o licencias, y para revelar secretos comerciales.
La legislación sobre derechos de autor aplicable al material generado por IA varía según el país y sigue evolucionando, por lo que la política no debe prometer que la empresa es propietaria de todos los resultados generados ni que puede registrarlos. Debe indicar cómo gestiona la empresa la incertidumbre: por ejemplo, las imágenes generadas se usan libremente para bocetos internos, pero antes de utilizar cualquier material en la campaña de un cliente se comprueban las condiciones de licencia de la herramienta y las instrucciones del cliente.
Cláusulas de ejemplo: "No solicite contenido al estilo de un artista vivo o una marca específicos, ni pida a una herramienta que reproduzca texto protegido por derechos de autor. No cree imágenes, audio o video de una persona real sin su consentimiento por escrito. Revise las condiciones de uso comercial de la herramienta antes de incorporar materiales generados en trabajos para clientes." Busque asesoramiento sobre la situación jurídica en su jurisdicción.
¿Qué decisiones deberían seguir en manos de una persona?
Las decisiones que tengan un efecto significativo en una persona, como las relativas a contratación, remuneración, desempeño, crédito, reclamaciones y cualquier cuestión de salud o seguridad, deben seguir en manos de una persona designada que revise la información en la que se basan. Las herramientas generativas pueden ayudar a redactar, estructurar o resumir información para esas decisiones; no deben tomarlas.
El perfil de NIST describe el sesgo de automatización y la dependencia excesiva como parte del riesgo asociado a la configuración de la interacción entre personas e IA. Una política contrarresta este riesgo con una prueba sencilla: la persona que toma la decisión debe poder explicarla sin remitirse a lo que dijo la herramienta. Cuando hay datos personales de por medio, las directrices del ICO sobre IA y protección de datos son la referencia oficial del Reino Unido; sus páginas indican actualmente que están en revisión tras la aprobación de la Ley de Datos (Uso y Acceso).
¿Cuándo no es adecuada una política de IA generativa?
Una política de IA generativa dirigida al personal no basta si está incorporando funciones generativas a un producto, ajustando modelos con datos de clientes o implementando un asistente conversacional que habla con el público en su nombre. Esos usos requieren una revisión de producto, seguridad y aspectos legales que va mucho más allá de las reglas para empleados.
Tampoco puede sustituir la práctica. Saber que un borrador podría contener una cifra inventada no es lo mismo que detectarla cuando se acerca el plazo de entrega. Tosheo.ai se está desarrollando para cubrir esa etapa de práctica: está previsto que los itinerarios por puesto terminen cada lección con una tarea práctica en una herramienta de IA real, evaluada según una guía de puntuación visible con criterios definidos. No redacta su política ni vela por su cumplimiento.
Fuentes y alcance
NIST, perfil de IA generativa (NIST AI 600-1), julio de 2024 ↗
NCSC, ChatGPT y los grandes modelos de lenguaje: ¿cuál es el riesgo?, 14 de marzo de 2023 ↗
ICO, Guía sobre IA y protección de datos (en revisión), consultada el 16 de octubre de 2026 ↗