Artículo de Julien Ricciarelli-Bonnal
11 noviembre 2026
Lo esencial
Una política interna de inteligencia artificial no debería limitarse a prohibir el envío de datos confidenciales ni a pedir prudencia a los empleados. Para resultar útil, debe identificar las herramientas autorizadas, los usos permitidos por función, la información que puede compartirse, las verificaciones necesarias y las decisiones reservadas a las personas. También debe regular los permisos de los agentes capaces de actuar en los sistemas de la empresa, asignar responsabilidades y establecer procedimientos de formación, revisión e incidentes. El documento no sustituye al RGPD ni a las normas sectoriales: convierte las obligaciones aplicables y las decisiones de gestión en instrucciones comprensibles para el trabajo diario.
Una empresa incorpora un asistente de IA a sus programas de oficina, permite que el departamento comercial pruebe una herramienta de transcripción y descubre que algunos empleados utilizan servicios públicos desde sus cuentas personales. Puede que nadie crea estar infringiendo una norma, sencillamente porque nunca se ha definido una norma común. La dirección empieza entonces a buscar un modelo de política interna, confiando en que un documento ordene unas prácticas que ya existen.
Una buena política no es un manifiesto ético ni una colección de advertencias. Es un acuerdo operativo que responde a cuestiones concretas: quién puede utilizar cada sistema, para qué tareas, con qué información, bajo qué supervisión y cómo se actúa cuando algo sale mal.
Primero hay que conocer los usos reales de cada departamento
El documento debe delimitar a quién se aplica: empleados, colaboradores externos, herramientas aprobadas, actividades incluidas y posibles excepciones. Conviene distinguir un asistente conversacional independiente, la IA integrada en una aplicación profesional y los sistemas implantados expresamente por la empresa.
Una cláusula práctica podría decir: «El asistente autorizado puede ayudar a preparar una presentación a partir de información pública; los archivos de clientes solo podrán analizarse en el entorno validado por la empresa; ninguna decisión individual de contratación se delegará en un sistema no evaluado». Esa precisión aporta más que varias páginas sobre innovación responsable.
También hace falta un procedimiento para proponer nuevas herramientas. Cuando la única respuesta es una prohibición general, parte de la experimentación puede trasladarse a cuentas particulares. La empresa necesita conocer las necesidades que no cubren sus soluciones actuales.
La protección de datos exige fronteras reconocibles
La confidencialidad suele ocupar el primer lugar en los modelos disponibles. Sin embargo, para respetarla, un empleado debe poder reconocer qué información protege la empresa. Conviene distinguir datos públicos, documentos internos corrientes, secretos comerciales, información personal, datos sanitarios, expedientes laborales, contraseñas y materiales recibidos bajo acuerdos de confidencialidad.
Las condiciones tampoco son idénticas en todos los entornos. Un servicio abierto al público, una suscripción profesional y una solución alojada bajo el control de la empresa pueden tratar la información de manera diferente. Hay que comprobar el tiempo de conservación, la posible reutilización de conversaciones, los permisos de administración, los subcontratistas, la seguridad y las transferencias internacionales.
La autoridad francesa de protección de datos, la CNIL, recomienda definir los usos autorizados y prohibidos y evaluar sus riesgos. Si se tratan datos personales, la política debe coordinarse con los procedimientos ya existentes para cumplir el RGPD. Según el caso, habrá que analizar la base jurídica del tratamiento, el reparto de responsabilidades con el proveedor, la conservación y las medidas de protección.
Las respuestas deben revisarse según sus consecuencias
La intensidad del control debe depender del impacto. Proponer ideas para una reunión interna no equivale a preparar una oferta económica, una comunicación pública o una evaluación de personal. Una distinción sencilla puede separar la asistencia de bajo riesgo, los contenidos sujetos a revisión por un responsable identificado y las decisiones sensibles que deben permanecer bajo control humano.
No basta con escribir que el usuario sigue siendo responsable. ¿Quién contrasta los datos? ¿Quién autoriza el envío a un cliente? ¿Qué documentos requieren una segunda revisión? La política debe identificar estos controles y a las personas encargadas.
Es importante, además, enseñar a reconocer la falsa seguridad de un texto bien escrito. La fluidez de una respuesta no demuestra su exactitud. Un sistema puede producir un informe convincente y omitir una condición contractual, interpretar mal una cifra o presentar como probado algo que todavía es una hipótesis. Revisar significa reconstruir las afirmaciones importantes, no limitarse a corregir el estilo.
Cuando los agentes actúan, también hay que regular sus permisos
La aparición de agentes autónomos crea una frontera adicional. Un asistente que redacta un correo y un agente autorizado a enviarlo a cien clientes no implican el mismo grado de exposición. La política debe explicar qué acciones pueden realizar los sistemas sin nueva intervención humana: consultar un expediente, modificar una ficha comercial, crear pedidos, publicar contenidos, contactar con terceros o iniciar operaciones económicas.
Hay que distinguir el permiso de lectura del permiso de modificación y del de ejecución. Un agente puede preparar una respuesta sin poder enviarla, o analizar una factura sin estar autorizado a pagarla. Los permisos técnicos, los límites económicos, las confirmaciones exigidas y los registros de actividad deben respaldar esas decisiones. Una instrucción incluida en un prompt no siempre funciona como barrera de seguridad suficiente.
Esta necesidad se aprecia al examinar qué sucede cuando los agentes de IA empiezan a generar costes y responsabilidades reales. El problema ya no consiste solamente en corregir un documento defectuoso. Puede ser necesario explicar una acción ejecutada, revertir una modificación o responder frente a un tercero.
Una política escrita no equivale a cumplir automáticamente el AI Act
Se repite a menudo que bastaría con aprobar una carta de uso de la IA para cumplir el reglamento europeo. No es correcto. El AI Act no impone un documento general idéntico a todas las empresas. Sus obligaciones dependen del papel de la organización, del sistema utilizado, de sus finalidades y de la clasificación jurídica que corresponda a cada caso.
Algunas disposiciones ya son aplicables. Las relativas a la alfabetización en IA comenzaron a aplicarse el 2 de febrero de 2025 y exigen que proveedores y responsables del despliegue adopten medidas adaptadas para mejorar los conocimientos de las personas que trabajan con estos sistemas. Otras normas, entre ellas ciertas obligaciones de transparencia, se aplican desde agosto de 2026. Los sistemas clasificados como de alto riesgo tienen calendarios particulares.
La diferencia fundamental está entre obligación legal y decisión de gestión. La protección de datos, la seguridad, la legislación laboral, los deberes profesionales y las exigencias sectoriales forman el marco obligatorio que corresponda. La política transforma ese marco en instrucciones comprensibles: cuándo revisar un proyecto con el departamento jurídico, cuándo comunicar la intervención de una IA y cuándo detener una implantación hasta completar las comprobaciones necesarias.
Alguien debe responder por la aplicación y actualización de las reglas
Sin un responsable operativo, la política puede convertirse en un archivo olvidado. Es necesario determinar quién gestiona las actualizaciones, recibe consultas, estudia excepciones y tramita incidentes. La dirección conserva la decisión sobre los riesgos aceptables, apoyándose en los conocimientos de los equipos jurídicos, tecnológicos y de negocio.
La formación no puede consistir únicamente en presentar un documento durante una reunión. Los empleados necesitan practicar cómo identificar información sensible, contrastar afirmaciones y solicitar una validación. Esa es también la lógica de una gobernanza de IA para empresas basada en usos, responsabilidades y adopción efectiva: conectar las decisiones de dirección con el trabajo cotidiano, en lugar de acumular textos que nadie consulta.
La revisión debe activarse cuando cambian las condiciones de un proveedor, se incorpora una nueva clase de datos, un agente obtiene más permisos o un incidente revela una debilidad. También conviene observar las solicitudes de excepción, los problemas detectados durante la revisión y los usos que aportan resultados.
Una política de uso de la IA bien diseñada no pretende eliminar cualquier riesgo mediante prohibiciones interminables. Aclara la libertad de actuación de los equipos y el control necesario según las consecuencias. Su primera prueba es muy sencilla: alguien duda antes de compartir un dato, utilizar una aplicación o validar un resultado y encuentra rápidamente una respuesta aplicable.
La prueba más exigente aparece cuando la dirección puede explicar por qué autoriza cada uso importante, quién responde de él y cómo se modificaría una decisión si cambian las circunstancias. Entonces el documento deja de ser una declaración defensiva y se convierte en una herramienta concreta para gobernar el trabajo asistido por inteligencia artificial.
Escrito por Julien Ricciarelli-Bonnal
11 noviembre 2026
