Este artículo es para quien tiene que escribir, o revisar, la política de uso de IA de su empresa: la persona de recursos humanos, de sistemas o de dirección a la que le han pedido algo por escrito porque el equipo ya usa asistentes, traductores o generadores de texto. La plantilla de política de uso de IA trae ocho cláusulas con un texto de ejemplo cada una; aquí va, cláusula a cláusula, qué debe decir cada una y por qué.
Primero, lo que no es. Ninguna norma exige un documento llamado política de uso de IA. Lo que sí exigen son cosas que una política ordena: las medidas de alfabetización del Art. 4 del AI Act, las obligaciones del RGPD cuando entran datos personales y, cuando la empresa pone dispositivos digitales a disposición de su personal, unos criterios de utilización de esos dispositivos, que el Art. 87.3 de la LOPDGDD obliga a establecer. La política es la forma de tenerlo todo en un sitio, con fecha y con responsable.
1. Alcance y destinatarios
Qué dice. A quién se aplica y a qué herramientas: todas, sean de la empresa, de un tercero o personales, cuando se usan para trabajar.
Por qué. El Art. 4 del AI Act no se limita a la plantilla: alcanza a «su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA». Colaboradores y contratistas que usan IA en nombre de la empresa entran.
Esta política se aplica a todas las personas que trabajan para [ORGANIZACIÓN] —personal propio, colaboradores y contratistas— cuando utilicen un sistema de inteligencia artificial en el desempeño de funciones profesionales.
2. Herramientas autorizadas e inventario
Qué dice. Qué herramientas se pueden usar, quién mantiene la lista y cómo se pide una nueva. Y que ninguna se usa para una de las prácticas prohibidas por el Art. 5.
Por qué. Ninguna norma exige una lista de herramientas autorizadas: es un control interno. Pero sin ella no se sabe quién usa qué, y eso es lo primero que necesita cualquier medida del Art. 4. Es el mismo inventario que sostiene el resto de la gobernanza, y el que aflora el uso de IA que nadie ha declarado.
Solo se utilizan las herramientas de IA que figuran en la lista de herramientas autorizadas que mantiene [RESPONSABLE]. Quien necesite una nueva la solicita antes de usarla, indicando para qué y con qué datos.
3. Datos que nunca entran
Qué dice. Qué datos no se introducen en ninguna herramienta que no esté autorizada expresamente para ello: datos personales de clientes, pacientes, candidatos o empleados, datos de salud, credenciales, información confidencial.
Por qué. El RGPD exige que los datos personales se recojan con fines determinados y que sean «adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados». Y pegarlos en una herramienta no autorizada puede ser una violación de la seguridad, cuya definición incluye «la comunicación o acceso no autorizados a dichos datos». Es el caso que analizamos en un empleado pega datos de clientes en un chatbot.
Salvo que la herramienta esté autorizada expresamente para ello, no se introducen en ninguna herramienta de IA datos personales de clientes, pacientes, candidatos o empleados, datos de salud, credenciales ni información confidencial.
4. Cuentas personales
Qué dice. Que no se usan cuentas personales, gratuitas o de pago, con información de la empresa.
Por qué. Cuando un proveedor trata datos personales por cuenta de la empresa, el Art. 28 del RGPD exige un contrato con él, y una cuenta personal queda fuera de ese contrato. Qué tiene que decir ese contrato lo contamos en el artículo sobre el Art. 28.
No se utilizan cuentas personales de herramientas de IA con información de [ORGANIZACIÓN]. El uso profesional se hace con las cuentas de empresa de las herramientas autorizadas.
5. Revisión humana de los resultados
Qué dice. Que ningún resultado que afecte a una persona se usa sin que lo revise alguien con capacidad para cambiarlo.
Por qué. Los datos personales tienen que ser «exactos y, si fuera necesario, actualizados», y un texto generado puede no serlo. Una decisión basada únicamente en el tratamiento automatizado con efectos jurídicos o significativos está sujeta al Art. 22 del RGPD. Y si el sistema es de alto riesgo, el Art. 26(2) del AI Act exige encomendar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias. El artículo 26 aplica desde el 2 de diciembre de 2027 para los sistemas de alto riesgo del anexo III y desde el 2 de agosto de 2028 para los del anexo I; a los productos del anexo I, sección B, no le alcanza.
Ningún resultado de una herramienta de IA que afecte a una persona se utiliza sin que lo revise una persona con capacidad para cambiarlo.
6. Proveedores y contrato de encargo
Qué dice. Qué se comprueba de un proveedor antes de autorizar su herramienta: su papel, dónde trata los datos, qué subencargados usa y si entrena con los datos de la empresa.
Por qué. El responsable del tratamiento «elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas», y el tratamiento por el encargado se rige por un contrato. Las diez preguntas de una due diligence sirven para comprobarlo antes de firmar.
Antes de autorizar una herramienta que trate datos personales, [RESPONSABLE] comprueba qué papel tiene el proveedor, dónde trata los datos, qué subencargados usa y si usa los datos para fines propios.
7. Formación
Qué dice. Qué medidas de alfabetización se adoptan, para quién y cómo se registran.
Por qué. El Art. 4, en la redacción del Reglamento (UE) 2026/1744, obliga a adoptar medidas para apoyar la promoción de la alfabetización en IA, y precisa que la obligación «no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular». Es una obligación de medios: se documenta qué se hizo y para quién, no qué sabe cada persona. Cómo cambió el artículo lo explicamos en el Art. 4 tras el Ómnibus, y el checklist del Art. 4 sirve para registrar las medidas.
[ORGANIZACIÓN] adopta medidas de alfabetización en IA adaptadas a los conocimientos, la experiencia y la formación de cada persona y al contexto en que usa cada herramienta, y registra las medidas, sus destinatarios y su fecha.
8. Participación de los representantes y revisión
Qué dice. Con quién se elaboró, a quién se informó y cuándo se revisa.
Por qué. Cuando la política fija criterios de utilización de los dispositivos digitales que la empresa pone a disposición de su personal, el Art. 87.3 de la LOPDGDD es explícito: «En su elaboración deberán participar los representantes de los trabajadores.» Y añade: «Los trabajadores deberán ser informados de los criterios de utilización a los que se refiere este apartado.» La periodicidad de la revisión no la fija ninguna norma.
Esta política se ha elaborado con la participación de [los representantes de los trabajadores] y se ha informado de ella a todas las personas a las que se aplica. [RESPONSABLE] la revisa al menos una vez al año y siempre que cambien las herramientas, los proveedores o la normativa.
De la plantilla a una política en uso
Una política sirve si la gente la conoce. Tres pasos después de adaptar la plantilla: publicarla con fecha y versión, recoger el acuse de lectura de quienes tienen que aplicarla y poner fecha a la primera revisión. En Alethexis, la sección de política del módulo M1 parte de una plantilla editable y genera el PDF de cada versión que se publica. Todas las plantillas están en recursos.
Contenido con arreglo a los artículos 4 y 26 del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744; a los artículos 4, 5, 22 y 28 del Reglamento (UE) 2016/679, y al artículo 87 de la Ley Orgánica 3/2018.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.