Política de uso de IA para pymes: una política de una página lista para copiar
Diez reglas en lenguaje sencillo para el equipo que usa IA en el trabajo, una política de una página para copiar, y cómo presentarla en una reunión.
Respuesta rápida: ¿necesitan las pymes una política de uso de IA? Sí, en cuanto más de una persona use herramientas de IA en el trabajo. Una política de uso de IA para pymes fija diez reglas claras: qué herramientas se pueden usar, qué no se debe pegar nunca, quién revisa el resultado y a quién avisar si algo sale mal. Copia la política de una página más abajo y lee cómo presentarla en una sola reunión.
Casi ningún dueño de negocio planeó tener una política de IA. Alguien empezó a usar un chatbot para redactar respuestas, otra persona lo probó para un presupuesto, y ahora medio equipo usa herramientas de IA sin ninguna regla sobre qué es seguro escribir ahí dentro. La solución no tiene que ser complicada ni cara. Solo tiene que ser lo bastante corta como para que la gente la lea de verdad.
Esta página ofrece diez reglas en lenguaje sencillo, presentadas como una política que puedes copiar hoy mismo, además de un plan breve para presentarla sin una reunión eterna que nadie quiere sufrir.
No tener una política tampoco sale gratis. Un correo enviado con la nota médica de un cliente pegada por error, o un presupuesto redactado con datos sacados del archivo equivocado, cuesta más tiempo arreglar y disculparse por ello que escribir diez reglas de antemano. El equipo no busca causar un problema. Está llenando un hueco que nadie cubrió, normalmente porque la rapidez importó más en el momento que una regla que todavía no existía. El objetivo de esta página es que prevenirlo salga barato: quince minutos ahora, en vez de una llamada incómoda a un cliente después.
Quién necesita una política de uso de IA, y por qué ahora
Cualquier negocio en el que más de una persona trate con un cliente, un contrato o un dato personal necesita una regla escrita sobre IA, incluso una oficina de dos personas. La guía de InterTradeIreland sobre las siete preguntas de preparación para la IA incluye una pregunta directamente relacionada con esto: si todo el mundo en el negocio tiene orientación sobre el uso responsable de la IA, y si sabe qué cuenta como información sensible. La mayoría de las pymes todavía no tiene respuesta a esa pregunta, porque nadie la ha puesto por escrito.
Una política también protege al negocio, no solo al cliente. Si alguien del equipo pega los datos financieros de un cliente en una herramienta de IA pública para obtener una respuesta más rápida, esa información puede quedar en un servidor que no controlas, y es posible que no te enteres hasta que el cliente pregunte por qué sus datos aparecieron donde no debían.
Las diez reglas, y la política de una página que puedes copiar
Estas diez reglas cubren las decisiones más habituales: qué herramientas usar, qué no escribir nunca, quién revisa el resultado y qué hacer cuando algo sale mal. Copia la tabla tal cual, o ajusta el lenguaje para que suene como habla tu negocio.
| Regla | Qué significa en el día a día |
|---|---|
| 1. Usa solo herramientas aprobadas | Usa las herramientas de tu lista aprobada. Pregunta antes de probar una nueva para una tarea del trabajo. |
| 2. Nunca pegues datos personales | Nada de nombres completos, direcciones, teléfonos, números de DNI o NIE, ni fotos de clientes, empleados o sus familiares. |
| 3. Nunca pegues datos confidenciales del negocio | Nada de precios, contratos, secretos comerciales o condiciones de proveedores, aunque sea para una pregunta general. |
| 4. Describe un caso general | Quita cualquier detalle que pueda identificar a una persona real o un acuerdo real antes de preguntar. |
| 5. Una persona revisa cada resultado | Ninguna respuesta, factura, contrato o publicación de la IA sale sin que alguien la revise antes. |
| 6. Trata las respuestas de la IA como un borrador | Verifica los datos en otra fuente. Nunca uses la IA como sustituto de asesoramiento legal, médico, financiero o psicológico. |
| 7. Nunca reutilices la foto de otra persona | Sobre todo si es de un menor. Pide permiso siempre antes de generar imágenes nuevas a partir de una foto real. |
| 8. Avisa a los clientes cuando importa | Si te preguntan si la IA redactó una respuesta o una decisión que les afecta, dilo. |
| 9. Informa de errores y filtraciones el mismo día | Avisa a [nombre del responsable] enseguida para que el negocio pueda actuar rápido. |
| 10. Revisa la política cada seis meses | Actualízala cuando añadas una herramienta o cambies cómo la usa el equipo. |
Copia esta tabla en un correo o en un PDF de una página. Rellena el hueco de la regla nueve antes de enviarla.
La regla uno importa más de lo que parece. Cada herramienta de IA guarda lo que escribes durante un periodo distinto, y algunas lo usan para entrenar futuras versiones de la herramienta a menos que un ajuste de la cuenta lo desactive. Una herramienta que sirve bien para redactar una entrada de blog no sirve automáticamente para redactar una respuesta que cita la dirección de un cliente. Elige tus herramientas aprobadas una vez, revisa los ajustes de datos y entrenamiento de cada una antes de añadirla a la lista, y haz que añadir una herramienta nueva sea una decisión de una persona con nombre, no algo que cada empleado prueba por su cuenta.
Dos de estas reglas vienen directamente de la guía que la Agencia Española de Protección de Datos, la AEPD publicó en su decálogo Cuidado con lo que le confías: no compartas nunca datos personales ni información sensible con una herramienta de IA, y no uses nunca la foto de otra persona para generar imágenes nuevas, sobre todo si es un menor. La AEPD también recomienda describir un caso general o inventado en vez de uno real, que es la regla cuatro de esta lista.
Cómo presentar esta política en una sola reunión
Una política que nadie explica se ignora. Quince minutos bastan si te mantienes concreto.
- Empieza con un ejemplo real del último mes: un presupuesto que una IA ayudó a redactar, o una pregunta que alguien escribió en un chatbot. La gente presta más atención a un caso real que a una regla.
- Lee las diez reglas en voz alta, una por una, y pregunta si alguien ya se ha encontrado con una situación como la de la regla dos, cuatro o seis.
- Di el nombre de la persona a la que el equipo debe acudir con una pregunta o un error. Escribe ese nombre en la política antes de la reunión, no después.
- Reparte o envía por correo la política terminada ese mismo día, mientras los ejemplos todavía están frescos.
- Pon una fecha en el calendario dentro de seis meses para revisarla. Las herramientas nuevas cambian lo que las reglas necesitan cubrir.
Si durante la reunión surge una pregunta que las diez reglas no cubren, anota lo que el grupo decidió en ese momento, e incorpóralo a la política como una regla extra en la siguiente revisión semestral.
Lo que esta política no es
Una política de una página es un punto de partida, no el documento final. Trátala como el primer borrador de algo que irás ajustando a medida que cambien tu negocio y las herramientas que usa.
- No es asesoramiento legal. Pide a un abogado que la revise frente a tus contratos, las normas de tu sector y la ley de protección de datos de tu país antes de tratarla como un documento de cumplimiento.
- No es un curso de formación. La política dice qué hacer, no cómo escribir una buena instrucción ni cómo juzgar si una respuesta es correcta.
- No sustituye los avisos que ya debes dar a reguladores, aseguradoras o clientes en tu sector.
- No es definitiva. Reescribe cualquier regla que no encaje con cómo funciona realmente tu negocio, y pon la fecha a la nueva versión.
Si no sabes muy bien cómo se está usando ya la IA en tu negocio, la evaluación de preparación para la IA es un punto de partida de cinco minutos. Para entender la diferencia entre una política como esta y una revisión completa de qué automatizar, lee qué es una auditoría de IA. Nuestra propia auditoría de IA incluye una revisión de las políticas y los huecos de proceso que esta página por sí sola no puede detectar. Cuando tengas preguntas que una política de una página no puede responder, reserva una llamada gratis de 15 minutos.
Preguntas frecuentes
¿Necesitan las pymes una política de IA por escrito?
Sí, en cuanto más de una persona use herramientas de IA en el trabajo. Sin una política escrita, cada persona adivina qué es seguro pegar en un chatbot, y nadie es claramente responsable de revisar lo que produce la IA antes de que llegue a un cliente.
¿Qué no se debe pegar nunca en una herramienta de IA?
Datos personales de clientes o empleados, como nombre completo, dirección, teléfono, DNI o NIE, o datos de salud y financieros, e información confidencial del negocio como precios, contratos y condiciones de proveedores. Describe un caso general o inventado en su lugar, tal y como recomienda la autoridad española de protección de datos, la AEPD.
¿Quién debe revisar lo que produce la IA antes de que llegue a un cliente?
Una persona con nombre y apellido, no el equipo en general. Pon su nombre en la propia política. La IA redacta, una persona revisa todo lo que llega a un cliente, un contrato, una factura o una publicación.
¿Es una política de una página legalmente vinculante?
No por sí sola. Es una norma interna, no un contrato ni una ley. Pide a un abogado que la revise frente a las normas de tu sector y la ley de protección de datos de tu país antes de tratarla como un documento de cumplimiento.
¿Cada cuánto hay que actualizar la política?
Revísala cada seis meses, o antes si añades una herramienta nueva o cambias cómo la usa el equipo. Una regla que tenía sentido hace un año puede no cubrir el riesgo de una herramienta más reciente.