Política de uso de IA en la empresa: qué incluir y una plantilla para adaptar

Antes de dar acceso a Claude a la plantilla, la empresa necesita decir por escrito qué se puede hacer con él y qué no. No hace falta un documento de veinte páginas: una política de uso que la gente lea cabe en dos. Lo importante es que responda a las preguntas que cada persona se va a hacer el primer día, empezando por la más frecuente: ¿puedo pegar aquí este documento?

La AEPD publicó en noviembre de 2025 su propia política de uso de IA generativa, y en enero de 2026 un decálogo para empleados. Los dos son buena referencia. Lo que sigue es un modelo pensado para una empresa privada, para adaptar con tu asesoría jurídica.

Los apartados que no pueden faltar

1. Para qué es la política y a quién aplica. Todas las personas de la empresa, y quienes trabajen para ella, que usen herramientas de IA en su trabajo.
2. Herramientas autorizadas. Una lista corta: por ejemplo, Claude con la cuenta de la empresa o Claude dentro de Microsoft Copilot. Y lo contrario, en una frase: no se usan cuentas personales ni herramientas no autorizadas para trabajo de la empresa.
3. Qué datos no se introducen nunca. El apartado que más importa. Ver abajo.
4. Revisión humana. Toda salida se revisa antes de usarse. La persona que la usa es responsable del resultado.
5. Usos que requieren autorización. Decisiones sobre personas, contenido de cara a clientes, conexión con sistemas internos.
6. Transparencia. Cuándo hay que decir que algo se hizo con IA.
7. Formación. Qué formación se recibe antes del acceso.
8. Incidencias. Qué hacer si se introdujo algo que no debía, y a quién avisar.
9. Responsable y revisión. Quién mantiene la política y cada cuánto se revisa.

Cómo escribir el apartado de datos

La regla general ("no introduzcas datos sensibles") no sirve: cada persona entiende algo distinto por sensible. Funciona mejor una lista concreta, en dos columnas:

Adapta la columna de la izquierda a tu plan. Con Claude Enterprise o Team y un análisis de protección de datos cerrado, puedes autorizar más usos que con una herramienta sin contrato de encargo. Por eso la política va después de la revisión de datos, no antes.

Plantilla para adaptar

Este es el texto base. Los corchetes son lo que tienes que completar.

1. Objeto y alcance

Esta política regula el uso de herramientas de inteligencia artificial generativa en [Empresa]. Aplica a todas las personas que trabajan para la empresa, con cualquier tipo de relación, cuando usan estas herramientas para su trabajo.

2. Herramientas autorizadas

Solo se pueden usar para trabajo de la empresa las herramientas de esta lista, con la cuenta corporativa: [Claude con la cuenta de la empresa / Claude dentro de Microsoft Copilot / otras]. No se usan cuentas personales ni otras herramientas de IA con información de la empresa. Si necesitas otra herramienta, pídela a [área responsable].

3. Información que no se introduce nunca

[Lista acordada con protección de datos y seguridad, en formato de tabla como la anterior.]

4. Revisión humana y responsabilidad

Las herramientas de IA pueden equivocarse, inventar datos o citar fuentes que no existen. Toda salida se revisa antes de usarla, enviarla o publicarla. Quien la usa es responsable del resultado igual que si lo hubiera hecho sin ayuda.

5. Usos que requieren autorización previa

Necesitan autorización de [área responsable]: usar IA en decisiones que afecten a personas (selección, evaluación, concesión de servicios); generar contenido que se publique o se envíe a clientes en nombre de la empresa sin revisión editorial; y conectar herramientas de IA con sistemas o bases de datos internas.

6. Transparencia

Si una persona externa interactúa directamente con un sistema de IA de la empresa, se le informa. [Añadir la regla interna sobre cuándo indicar que un documento se elaboró con ayuda de IA.]

7. Formación

Antes de recibir acceso, cada persona completa la formación [nombre y duración]. La empresa conserva el registro de la formación impartida.

8. Incidencias

Si introduces por error información de la sección 3, avisa en el mismo día a [contacto]. No es una falta comunicarlo; sí lo es ocultarlo.

9. Responsable y revisión

[Cargo] mantiene esta política. Se revisa al menos una vez al año y cuando cambien las herramientas autorizadas o su uso. Versión [n], aprobada el [fecha] por [órgano].

Que la política se cumpla

• Preséntala en la formación de arranque, con ejemplos reales de lo que sí y lo que no.
• Pide una aceptación expresa antes de dar acceso: sirve también de registro.
• Refuérzala con la configuración: SSO, acceso por grupos, retención y conectores autorizados por TI. Una política que la herramienta no respalda depende solo de la memoria de cada persona.
• Trata las incidencias como aprendizaje. Si alguien mete un dato que no debía y lo comunica, la política funcionó.

La versión editable de esta plantilla, en Word, está disponible en la página de esta sección junto con el plan de piloto de 90 días.