Paso 5
Las reglas para tu plantilla: la política de uso de IA
Al acabar tendrás una política con versión y fecha, su aprobación registrada, comunicada a quien la aplica y con los acuses de lectura guardados.
Qué es este paso
La política de uso de IA es el documento que dice a tu equipo qué herramientas puede usar, qué datos no entran nunca en ellas, quién revisa los resultados y a quién avisar si algo falla. Qué cláusulas debe tener está en su propio artículo, enlazado al final. Este paso trata de lo que viene después de redactarla: cómo se registra su aprobación, cómo se comunica, cómo se recoge el acuse y cuándo se revisa.
Una política en un documento suelto no deja constancia de qué versión rige ni de quién la ha leído. El objetivo del paso es que esas dos preguntas tengan respuesta escrita: la versión vigente, con su fecha, y la lista de personas que han acusado recibo de ella.
Llega después del inventario y de la clasificación a propósito. Con los sistemas reales delante, la lista de herramientas autorizadas deja de ser genérica y la política puede nombrar los sistemas inventariados en lugar de categorías abstractas. Y llega antes de las medidas de alfabetización del paso 6, porque conocer la política es la primera de ellas.
Por qué
La política es un control interno metodológico, no una obligación legal en sí misma: ordena tus reglas internas sobre el uso de la IA y deja constancia de su difusión. No sustituye al asesoramiento jurídico, y su valor depende de dos cosas que ninguna plantilla trae hechas: que se conozca y que se mantenga al día.
Lo que contiene sí se apoya en obligaciones legales. La cláusula de formación es una de las medidas de alfabetización del Art. 4 del Reglamento (UE) 2024/1689, que trata el paso 6. Las reglas sobre qué datos personales no entran en una herramienta, y con qué proveedores, descansan en el RGPD y en el contrato de encargo del paso 4.
Si tu organización está en España, dos normas laborales pesan sobre cómo se elabora y se comunica. Cuando la política fija criterios de utilización de los dispositivos digitales, el art. 87.3 de la LOPDGDD pide que en su elaboración participen los representantes de los trabajadores y que se informe a la plantilla de esos criterios. Y si usas sistemas algorítmicos o automatizados de toma de decisiones —también los que no son IA—, el Real Decreto 723/2026 (art. 3.2.k) pide informar por escrito de su existencia a cada persona trabajadora y, cuando deciden sobre condiciones de trabajo, de sus pautas, criterios y reglas, en las relaciones laborales de más de cuatro semanas. Esa información, y la que el art. 64.4.d) del Estatuto de los Trabajadores reconoce al comité de empresa, son documentos propios: la política no los sustituye.
Cómo, en tres acciones
Registra la aprobación de una versión concreta
Cuando el texto esté revisado, quien tiene autoridad para ello —la dirección o el responsable de IA que designaste en el paso 0— registra su aprobación sobre esa versión, con su nombre, su rol y la fecha. La versión lleva número y fecha en la portada. Si después cambias una sola regla, es una versión nueva; la anterior se conserva, porque es la que regía hasta ese día.
Comunícala a quien la aplica, no solo a quien la escribió
Envíala a todas las personas que usan sistemas de IA en su trabajo, con un mensaje corto que diga qué cambia para ellas y a quién preguntar. Incluye a quienes se incorporen después: la política entra en la acogida. Si hay representación de los trabajadores y la política fija criterios de uso de dispositivos digitales, su participación va antes de este envío, no después.
Recoge el acuse y pon fecha a la revisión
Pide a cada persona que confirme por escrito que ha recibido y leído la versión vigente, y guarda cada acuse con su fecha. Fija la primera revisión: ninguna norma establece la periodicidad, pero una vez al año y siempre que cambien las herramientas, los proveedores o la normativa es un buen mínimo. Cada versión nueva se acusa de nuevo; los acuses anteriores se conservan.
El error típico
Colgar la política en la intranet y darla por comunicada.
Un documento en una carpeta compartida no prueba que nadie lo haya leído, ni cuál de sus versiones estaba vigente el día que alguien metió datos de un cliente en una herramienta no autorizada. Sin acuses no hay forma de saber quién conocía las reglas, y sin versión no hay forma de saber qué reglas eran. Se evita con tres cosas: versión con fecha, envío a cada persona y acuse individual guardado. Es más trabajo la primera vez; las versiones siguientes reutilizan la misma lista de destinatarios y el mismo procedimiento.
La plantilla
Ocho cláusulas para redactar la política de uso de IA de tu organización, cada una con un texto de ejemplo y la base normativa que la sostiene. La última, sobre la participación de los representantes y la revisión, es la que este paso pone en marcha.
Plantilla de política de uso de IA para empresasTiempo estimado
Dos o tres días de trabajo entre los días 16 y 22: uno para adaptar la plantilla a tus sistemas, otro para la revisión y el registro de la aprobación, y el resto para comunicarla. Los acuses siguen llegando mientras avanzas con el paso 6.
Qué te llevas
La política de uso de IA en su versión vigente, con fecha y aprobación registrada, la constancia de su comunicación a la plantilla y el registro de acuses de lectura, con la fecha de su próxima revisión.
Así se hace en Alethexis
En Alethexis, la política parte de una plantilla de tu sector, se edita por secciones, pasa por revisión, se registra su aprobación y el Owner la publica; cada publicación es una versión nueva, con su PDF y la huella de integridad SHA-256 del fichero, y las anteriores se conservan.
Cada miembro acusa recibo de la versión vigente desde la propia sección, y el bloque muestra cuántos lo han hecho, por ejemplo «4 de 6 miembros han acusado recibo»; una versión nueva se acusa de nuevo y los acuses anteriores se conservan.