La mayoría de empresas no tiene un problema de falta de IA. Tiene el problema contrario: cada persona prueba una herramienta distinta, pega información con mejor intención que criterio y nadie sabe muy bien dónde está el límite.
No hace falta escribir una política de 40 páginas. De hecho, si nadie la lee, no sirve. Lo útil es una norma corta, clara y fácil de aplicar: qué datos se pueden usar, qué herramientas están permitidas, cuándo debe revisar una persona y qué usos deben quedar registrados.
Por qué hace falta una política interna
La IA ya ha entrado en la empresa aunque no se haya aprobado formalmente.
Puede estar en el navegador de un comercial, en el Copilot de un equipo, en una extensión del correo o en una automatización que alguien montó para ahorrar tiempo. Algunas pruebas son inofensivas. Otras pueden tocar datos de clientes, contratos, precios o documentación interna.
El riesgo no suele venir de una mala intención. Viene de improvisar.
Regla 1: define el semáforo de datos
El equipo necesita saber qué puede pegar en una IA pública y qué no.
Una versión sencilla:
- Verde: ideas generales, textos públicos, borradores sin datos reales.
- Amarillo: procesos internos, casos reales anonimizados, fragmentos revisables.
- Rojo: contratos, clientes, empleados, precios, credenciales, logs, incidencias sensibles o propiedad intelectual.
Cuando algo cae en rojo, la respuesta no debería ser "prohibido todo". Lo normal es mover ese caso a un entorno más controlado: RAG privado, IA local o nube privada.
Regla 2: lista de herramientas permitidas
Si cada equipo elige la herramienta por su cuenta, la empresa pierde visibilidad.
La política debería responder a preguntas concretas:
- qué herramientas se pueden usar;
- con qué tipo de datos;
- para qué tareas;
- quién puede aprobar una nueva herramienta;
- qué pasa con extensiones, plugins y conectores.
No se trata de bloquear la productividad. Se trata de evitar que una extensión aparentemente útil tenga más acceso del necesario.
Regla 3: revisión humana antes de publicar o decidir
La IA puede ayudar a redactar, resumir o proponer. Pero no debería decidir sola en temas sensibles.
Conviene marcar revisión obligatoria cuando la salida afecte a:
- clientes;
- dinero;
- contratos;
- cumplimiento legal;
- seguridad;
- comunicación pública;
- decisiones laborales.
Esto es especialmente importante para empresas que ya usan IA para responder emails, preparar propuestas, resumir reuniones o generar contenido.
Regla 4: trazabilidad mínima
No hace falta registrar cada prompt banal. Pero algunos usos sí deberían dejar rastro.
Por ejemplo:
- qué herramienta se usó;
- qué tipo de dato entró;
- quién revisó la respuesta;
- si se envió a un cliente o se usó para decidir;
- qué fuente o documento justificaba la respuesta.
Esta trazabilidad ayuda a corregir errores, cumplir requisitos internos y preparar mejor la adaptación al AI Act europeo.
Descarga la plantilla básica
Hemos preparado una plantilla breve para que puedas adaptar una política interna de uso de IA a tu empresa sin empezar desde cero.
Descarga el how-to básico
PDF breve para definir qué datos puede usar el equipo, qué herramientas están permitidas, cuándo revisar respuestas y cómo dejar trazabilidad.
Cómo empezar sin complicarlo
Empieza por una versión de una página. Nada más.
Primero define el semáforo de datos. Después lista las herramientas permitidas. Luego marca cuándo debe revisar una persona. Por último, decide qué usos sensibles se registran.
Con eso ya tienes algo que el equipo puede entender y aplicar. Más adelante se puede ampliar con permisos, formación, RAG privado, IA local o agentes conectados a herramientas internas.
En Umintia ayudamos a empresas de Donostia - San Sebastián, Gipuzkoa y Euskadi a pasar de "cada uno usa la IA como puede" a una adopción más segura: reglas claras, casos de uso reales y arquitectura adecuada cuando los datos no deben salir de la empresa.