Política de uso de IA para empresas: cómo redactarla y evitar la shadow AI

Una política de uso de IA para empresas es un documento breve que fija qué herramientas de inteligencia artificial pueden usar los empleados, con qué datos y bajo qué reglas. Su objetivo es doble: permitir que el equipo aproveche la IA y evitar que la información de la empresa acabe en herramientas que nadie controla. Ese segundo riesgo tiene nombre, shadow AI o IA en la sombra, y es hoy una de las lagunas de seguridad más comunes en las empresas medianas. Esta guía explica qué es, cómo redactar la política y qué puntos debe incluir.

Qué es la shadow AI y por qué importa

La shadow AI es el uso de herramientas de inteligencia artificial por parte de los empleados sin que la empresa lo sepa, lo apruebe o lo controle. Por ejemplo, un comercial que pega en un asistente público el contenido de un contrato para que se lo resuma, o un administrativo que sube una hoja de cálculo con datos de clientes para que la analice. Casi nunca hay mala intención: la persona busca trabajar más rápido con una herramienta que le resulta útil.

El problema es lo que ocurre después. Los datos salen de los sistemas de la empresa sin un contrato con el proveedor, sin saber dónde se guardan ni si se reutilizan para entrenar modelos, y sin registro de quién ha compartido qué. Además de la fuga de información confidencial, pueden surgir incumplimientos del RGPD si se trata de datos personales.

• Fuga de información: contratos, precios, datos de clientes o información financiera enviados a herramientas externas.
• Incumplimiento normativo: tratamiento de datos personales sin base legal, sin contrato de encargo y sin información a los afectados.
• Decisiones basadas en respuestas erróneas: la IA puede inventar datos con aparente seguridad y nadie lo revisa.
• Falta de trazabilidad: si algo falla, no hay forma de saber quién usó qué herramienta ni con qué datos.
• Costes dispersos: suscripciones individuales que la empresa no ve ni negocia.

Por qué prohibir no funciona

Muchas empresas reaccionan con una prohibición general. Suele fallar por una razón simple: si la herramienta ayuda y la empresa no ofrece una alternativa, el empleado seguirá usándola, ahora fuera del radar y desde un dispositivo personal. La política más eficaz combina reglas claras con herramientas aprobadas que cubran las necesidades reales del equipo. Cuanto más útil sea la opción oficial, menos incentivo habrá para saltársela.

Cómo redactar la política paso a paso

1. 1Haz un inventario: pregunta a los equipos qué herramientas de IA usan ya y para qué. Es la forma más rápida de ver el alcance real de la shadow AI.
2. 2Clasifica los datos: define qué es público, qué es interno, qué es confidencial y qué son datos personales, con ejemplos de tu propia empresa.
3. 3Decide qué herramientas se aprueban y para qué tipo de datos puede usarse cada una.
4. 4Redacta reglas cortas y concretas, en un lenguaje que entienda cualquier empleado.
5. 5Asigna responsables: quién aprueba herramientas nuevas, quién resuelve dudas y a quién se avisa de un incidente.
6. 6Forma al equipo con ejemplos reales de lo que se puede y no se puede hacer.
7. 7Revisa la política cada pocos meses, porque las herramientas y los riesgos cambian rápido.

Puntos que debe incluir una política de uso de IA

Puedes usar esta lista como plantilla de contenidos y adaptarla a tu empresa. No sustituye al asesoramiento jurídico, pero cubre lo que suele ser necesario:

1. 1Objetivo y alcance: a quién se aplica (empleados, colaboradores, proveedores) y a qué herramientas, incluidas las que se usen desde dispositivos personales.
2. 2Definiciones: qué se considera inteligencia artificial generativa, agente de IA y herramienta aprobada.
3. 3Herramientas aprobadas: lista actualizada, con la versión o el plan permitido y el uso para el que se aprueba cada una.
4. 4Datos prohibidos: información que nunca se introduce en herramientas externas, como datos personales de clientes, contratos, información financiera no pública, claves o código fuente confidencial.
5. 5Datos permitidos: qué sí se puede usar y en qué condiciones, por ejemplo textos públicos o información anonimizada.
6. 6Supervisión humana: el contenido generado por IA se revisa siempre antes de enviarlo a un cliente o de basar en él una decisión.
7. 7Transparencia: cuándo hay que informar a clientes o a terceros de que interviene la IA, y cómo se etiqueta el contenido generado.
8. 8Propiedad intelectual: reglas sobre el uso de textos, imágenes o código generados y sobre el respeto a materiales con derechos de terceros.
9. 9Decisiones automatizadas: qué decisiones no pueden delegarse en la IA, especialmente las que afectan a personas, como selección de personal o evaluaciones.
10. 10Proceso para aprobar nuevas herramientas: cómo se solicita, quién la evalúa y qué criterios de seguridad y contrato se exigen.
11. 11Gestión de incidentes: qué hacer si se comparte información por error, a quién avisar y en qué plazo.
12. 12Formación: contenidos y periodicidad de la formación del personal.
13. 13Consecuencias del incumplimiento y vía de consulta para las dudas.
14. 14Responsable y fecha de revisión del documento.

Cumplimiento: RGPD y reglamento europeo de IA

Cuando la IA toca datos personales, se aplica el RGPD: hace falta una base legal, información a las personas afectadas y contratos de encargo del tratamiento con los proveedores. El reglamento europeo de inteligencia artificial añade obligaciones según el nivel de riesgo del sistema. Una de ellas, la de garantizar que el personal que usa sistemas de IA tiene una formación suficiente, se aplica desde el 2 de febrero de 2025 y es un buen motivo para que la formación forme parte de la política.

Si tu empresa va a desplegar agentes de IA conectados a sus sistemas, la política interna es solo una parte. Los controles técnicos, como los permisos mínimos, las reglas para las acciones sensibles y el registro de cada acción, se explican con detalle en nuestra guía sobre seguridad. Esta guía no sustituye al asesoramiento jurídico: conviene que la política la revise tu asesor legal o tu delegado de protección de datos.

Cómo detectar y reducir la IA en la sombra

• Pregunta sin juzgar: una encuesta breve y anónima suele revelar más que una auditoría técnica.
• Revisa con el departamento de sistemas qué aplicaciones y extensiones se usan desde los equipos de la empresa.
• Ofrece una alternativa aprobada para los usos más frecuentes: redactar, resumir, traducir, analizar documentos.
• Prioriza los casos con datos sensibles y resuélvelos primero con herramientas que tengan contrato y alojamiento en la Unión Europea.
• Haz visible el canal para proponer herramientas nuevas, con una respuesta rápida.
• Mide el uso de las herramientas aprobadas: si nadie las usa, la política no está funcionando.

De la política al agente: dar una alternativa segura

Una vez que la política ordena el uso informal, el siguiente paso es dar al equipo herramientas mejores que las públicas. Un agente de IA conectado a los sistemas de la empresa, con permisos mínimos y datos alojados en la Unión Europea, resuelve muchas de las tareas que los empleados intentaban hacer por su cuenta, y lo hace con registro y con control. Es la razón por la que la política de uso y la implantación de agentes conviene plantearlas juntas.

Preguntas frecuentes

¿Es obligatorio tener una política de uso de IA?

No existe una obligación general de tener un documento con ese nombre. Sin embargo, el RGPD exige proteger los datos personales y el reglamento europeo de IA exige formar al personal que usa estos sistemas. Una política es la forma más sencilla de cumplir ambas cosas y de demostrarlo.

¿Cuánto debe ocupar la política?

Lo mínimo para que se lea y se aplique. Un documento de dos a cuatro páginas, con ejemplos claros, funciona mejor que un texto largo y jurídico que nadie consulta.

¿Quién debe encargarse de ella?

Conviene que la lidere la dirección, con apoyo de sistemas, de asesoría jurídica o protección de datos y de los responsables de las áreas que más usan la IA. Una política impuesta solo desde un área suele cumplirse peor.

¿Se aplica también a los agentes de IA que despliega la empresa?

La política cubre el uso por parte de las personas. Los agentes requieren, además, controles técnicos propios: permisos mínimos, reglas para las acciones sensibles, registro y supervisión humana.