Para quién es esta guía. Pymes y despachos en España que usan IA generativa (Claude, ChatGPT, Gemini) en tareas habituales: redactar, resumir, traducir o analizar documentos. Es un modelo para adaptar, no un documento válido para cualquier empresa o cualquier uso. Si tu empresa es más grande, el modelo sirve de base, pero necesitará además un circuito de aprobación, la coordinación con las políticas de seguridad y protección de datos y, en su caso, la negociación con la representación de las personas trabajadoras.
1. Qué es una política de uso de IA y para qué sirve
Una política de uso de IA es una guía interna que explica qué herramientas puede usar el equipo, con qué información y bajo qué supervisión.
En muchas pymes, la IA no entra por una decisión de la dirección. Puede entrar porque alguien prueba ChatGPT para un correo difícil, otra persona resume un informe con Gemini en su cuenta personal y un tercero conecta una aplicación a su correo para ganar tiempo. Nadie actúa de mala fe, pero la empresa no sabe qué información ha salido ni quién revisa lo que se envía a los clientes.
Una política resuelve tres preguntas:
- ¿Con qué herramientas? Las que la empresa ha elegido, con cuentas de empresa.
- ¿Con qué información? Según un semáforo sencillo, que el equipo pueda aplicar sin consultar cada vez.
- ¿Con qué supervisión? Quién revisa, quién autoriza y a quién se acude en caso de duda.
Límites de este modelo. La plantilla es una base para preparar una primera versión. No sustituye el análisis de tus contratos, de tus obligaciones de confidencialidad ni de las normas de tu sector. Si tu empresa trata datos sensibles o trabaja en un sector regulado, conviene revisarla con tu asesor jurídico o tu delegado de protección de datos.
2. Plantilla de política de uso de IA para pymes
Copia el texto y sustituye lo que aparece [entre corchetes]. Los ejemplos son orientativos: elimina lo que no aplique a tu empresa.
POLÍTICA DE USO DE LA INTELIGENCIA ARTIFICIAL — [NOMBRE DE LA EMPRESA]
Versión [1.0] · Aprobada por [cargo] el [fecha] · Próxima revisión: [fecha]
1. Objetivo y alcance
Esta política explica cómo usamos las herramientas de inteligencia artificial en [Empresa]: con qué herramientas, con qué información y con qué supervisión. Se aplica a todas las personas que trabajan en [Empresa] o para ella (plantilla, autónomos y colaboradores externos) cuando usan IA en tareas de la empresa.
2. Herramientas autorizadas
Para el trabajo de la empresa solo se usan las herramientas de esta lista, con la cuenta indicada:
| Herramienta | Plan o cuenta | Para qué | Responsable |
|---|---|---|---|
| [Ej.: Claude] | [Ej.: plan Team de la empresa] | [Redacción, resúmenes, análisis de documentos] | [Nombre] |
| [Ej.: Gemini] | [Ej.: incluido en Google Workspace de la empresa] | [Correo, documentos compartidos] | [Nombre] |
No se usan cuentas personales, gratuitas o de pago, con información de la empresa. Para usar una herramienta nueva, se solicita a [responsable], que la revisa antes de autorizarla.
3. Información que se puede usar
Los colores son reglas internas de [Empresa]: algunas coinciden con obligaciones legales y otras son decisiones de prudencia de la empresa.
- Verde: se puede usar en las herramientas autorizadas. Información pública y textos internos no confidenciales: sin datos personales, sin secretos comerciales y sin información que la empresa no tenga derecho a compartir. Que un documento no contenga datos personales no significa que se pueda compartir libremente.
- Ámbar: solo si se cumplen las tres condiciones. (1) La herramienta está autorizada y configurada según esta política; (2) la información es necesaria para la tarea, y se usa solo la necesaria; (3) la empresa puede compartirla (contrato con el cliente, acuerdo de confidencialidad, secreto profesional). Ejemplos: [documentos internos, datos de clientes, presupuestos].
- Rojo, nunca: no se introduce en ninguna herramienta de IA. [Contraseñas, claves de acceso y credenciales, incluidas las de banca online; números completos de tarjetas de pago y sus códigos de seguridad].
- Rojo, con análisis previo: solo tras un análisis específico. [Datos de salud u otras categorías especiales de datos; datos de menores; expedientes sujetos a secreto profesional; información de terceros bajo confidencialidad; IBAN y otros datos bancarios de clientes o proveedores]. Lo decide [dirección] después de comprobar la base jurídica, el contrato con el proveedor y la configuración de la herramienta. Una autorización interna no sustituye esas condiciones.
4. Usos
4.1. Prohibidos por la ley. Los usos prohibidos por el Reglamento europeo de IA, por ejemplo inferir las emociones de las personas en el lugar de trabajo, salvo por motivos médicos o de seguridad.
4.2. No permitidos en [Empresa]. [Ej.: tomar una decisión sobre una persona basándose solo en una respuesta de la IA; enviar a un cliente un contenido generado sin revisarlo; usar IA para inferir emociones de las personas, en ningún caso].
4.3. Sujetos a validación previa de [responsable]. [Ej.: selección de personal y evaluación de empleados; cualquier uso nuevo con información en ámbar].
5. Acciones de la IA
Algunas herramientas pueden actuar por el usuario: enviar mensajes, modificar o borrar archivos, hacer compras o conectarse a otras aplicaciones. En [Empresa]:
- conectar una herramienta de IA al correo, al almacenamiento en la nube o a otra aplicación requiere la autorización de [responsable];
- ninguna herramienta envía mensajes externos, realiza pagos ni borra archivos sin que una persona lo confirme antes;
- [otras reglas].
6. Revisión humana y transparencia
Todo contenido generado con IA se revisa antes de usarlo fuera del equipo, en especial cifras, nombres, fechas, citas y referencias legales. La revisión la hace una persona con la competencia necesaria para comprobar el contenido. La persona que lo usa es responsable de él. Indicamos que un contenido se ha generado o modificado con IA cuando lo exige la ley o cuando [Empresa] lo decide: [ej.: imágenes, audios o vídeos realistas].
7. Formación, dudas e incidentes
Cada persona recibe una formación adaptada a su puesto y a las herramientas que usa [al incorporarse / antes del (fecha)]. Guardamos un registro sencillo: fecha, personas y contenido.
Dudas: [responsable, canal].
Si se comparte información sin autorización (por ejemplo, información en ámbar o en rojo en una herramienta o una cuenta no autorizadas), o una herramienta realiza una acción no prevista, se comunica de inmediato a [responsable] por [canal].
La lista de herramientas se revisa cada [6 meses]; la política, cada [12 meses] o cuando cambien la ley o las herramientas.
¿Quieres la versión editable? Escríbeme a patrik@coachiapro.com y te la envío.
3. Cómo adaptar sus siete apartados
Alcance. Incluye a los autónomos y colaboradores que trabajan con información de la empresa. Según las preguntas y respuestas de la Comisión Europea, las medidas de alfabetización del artículo 4 también se refieren a «otras personas» que actúan en nombre de la organización, como contratistas o proveedores de servicios.
Herramientas autorizadas. La decisión importante no es Claude, ChatGPT o Gemini, sino cuenta de empresa o cuenta personal. Los planes de empresa ofrecen administración centralizada y condiciones específicas sobre el uso de los datos; las cuentas personales, no. Antes de rellenar la tabla, comprueba las condiciones de cada plan: lo explicamos en ¿Es seguro usar la IA con los datos de la empresa? y comparamos los planes en Claude vs ChatGPT vs Gemini.
Semáforo. Sé específico: una prohibición vaga («no introducir información sensible») obliga a cada persona a decidir sola qué es sensible. Para que el semáforo funcione, cada color necesita ejemplos de tu propia actividad. Y un plan de empresa no basta para pasar al verde: la información también tiene que ser necesaria, y la empresa tiene que poder compartirla.
Usos. Separa lo que prohíbe la ley, lo que prohíbe tu empresa y lo que necesita validación. Mezclarlo crea confusión: la selección de personal con IA no está prohibida, pero sí exige un análisis previo (ver apartado 7).
Acciones. Es el apartado que más rápido se queda corto. Las herramientas ya no solo escriben: se conectan al correo, al calendario y a las carpetas compartidas, y pueden actuar. La regla útil es sencilla: la IA prepara, una persona confirma.
Revisión humana. Define quién revisa qué. En una pyme suele bastar con una regla: quien envía o firma, revisa, con la competencia necesaria para comprobarlo. Releer no basta para validar un cálculo o una referencia jurídica que no se domina: en ese caso, la revisión la hace quien sí puede comprobarlo.
Formación e incidentes. El registro puede ser sencillo: la Comisión precisa que el artículo 4 no exige certificados. Un incidente típico es pegar un documento confidencial en una cuenta personal: lo importante es que el equipo sepa a quién avisar y que lo haga en el momento.
4. Tres situaciones habituales y por qué se deciden así
| Situación | Semáforo | Condiciones | Quién valida |
|---|---|---|---|
| Un comercial prepara una propuesta para un cliente a partir de notas de reunión | Ámbar | Herramienta de empresa configurada; solo la información del cliente necesaria para la propuesta; sin datos de otros clientes; precios y compromisos revisados antes del envío | El comercial; su responsable si hay condiciones especiales |
| Una responsable administrativa analiza facturas de proveedores para detectar errores | Ámbar (IBAN y datos bancarios: rojo con análisis previo, según la regla interna de la plantilla) | Plan de empresa configurado; solo los datos necesarios; ningún pago se hace sin revisión humana | La responsable administrativa |
| Un despacho resume el expediente de un cliente | Rojo, con análisis previo | Comprobar antes el secreto profesional, el encargo del cliente y las condiciones de la herramienta | El socio responsable del expediente |
Por qué la propuesta comercial pasa a ámbar y no a verde. Contiene el nombre del cliente, sus necesidades y, a menudo, precios: información confidencial aunque no haya datos especialmente sensibles. Es un uso legítimo y útil, pero con la herramienta de empresa y con lo mínimo necesario. Lo que no debe entrar son las propuestas de otros clientes como «modelo».
Por qué un responsable no puede autorizar solo cualquier dato en rojo. Introducir datos de salud o un expediente bajo secreto profesional no depende de la voluntad de la empresa: depende de que exista una base jurídica, de lo que dice el contrato con el proveedor y de cómo está configurada la herramienta. La firma interna llega al final de ese análisis, no lo sustituye.
Por qué conectar el correo exige una revisión distinta a resumir un correo. Cuando alguien pega un correo en una conversación, decide qué información comparte. Cuando conecta su buzón, según los permisos concedidos y el funcionamiento del conector, la herramienta puede acceder a mensajes y adjuntos más allá del contenido seleccionado para una tarea, incluidos datos de terceros, y a veces actuar. Antes de autorizar una conexión hay que revisar los permisos que pide, las condiciones del proveedor y si es posible limitar el acceso.
5. Un formato de taller de 90 minutos para un primer borrador
Este es el formato de taller que propongo para obtener un primer borrador, no una política aprobada y desplegada.
- Inventario (20 min). Cada persona dice qué herramientas usa hoy, con qué cuenta y para qué tareas. Sin juicios: se trata de ver la situación tal como es.
- Semáforo (25 min). Se clasifican los tipos de información de la empresa en verde, ámbar y rojo, con ejemplos concretos.
- Reglas (25 min). Herramientas autorizadas, usos que requieren validación, reglas para las acciones y para la revisión.
- Responsables y próximos pasos (20 min). Quién aprueba el texto, quién resuelve dudas, cuándo se forma al equipo y cuándo se revisa.
Después: validación por la dirección, comunicación a todo el equipo, formación adaptada a cada puesto y, si procede, información a la representación legal de las personas trabajadoras (ver apartado 7).
6. Qué exige la ley y qué no
Cuando una empresa usa Claude, ChatGPT o Gemini para tareas habituales como las de esta guía, actúa normalmente como responsable del despliegue según el Reglamento europeo de IA, no como proveedora. El Reglamento no exige un documento llamado «política de uso», pero sí medidas que una política ayuda a organizar.
| Situación | Lo que la empresa debe revisar | Referencia |
|---|---|---|
| El equipo usa la IA para redactar, resumir o traducir | Medidas para apoyar la alfabetización en IA de las personas que la usan, adaptadas a sus conocimientos y al contexto. La Comisión cita expresamente este caso: hay que informar de riesgos como las alucinaciones. Tratamiento de datos personales conforme al RGPD | Art. 4 RIA, aplicable desde el 2 de febrero de 2025, modificado por el Reglamento (UE) 2026/1744 |
| Se publican textos generados por IA para informar al público sobre asuntos de interés público | Indicar que el texto se ha generado con IA, salvo que haya pasado por revisión humana o control editorial y alguien asuma la responsabilidad editorial | Art. 50.4 RIA, aplicable desde el 2 de agosto de 2026 |
| Se generan imágenes, audios o vídeos realistas (ultrafalsificaciones) | Hacer público que son artificiales, con reglas adaptadas para obras creativas o satíricas | Art. 50.4 RIA |
| Se instala un chatbot para atender a clientes | Comprobar con el proveedor que el sistema informa a las personas de que interactúan con una IA, y revisar qué datos recoge | Art. 50.1 RIA (obligación del proveedor) y RGPD |
| Se usa IA para seleccionar personal o evaluar a empleados | Puede tratarse de un sistema de alto riesgo, con obligaciones para el responsable del despliegue desde el 2 de diciembre de 2027. Ya hoy: RGPD (decisiones automatizadas) e información al comité de empresa | Anexo III, punto 4, RIA (fechas: Reglamento (UE) 2026/1744); art. 22 RGPD; art. 64.4.d) ET |
| Se usa IA para inferir las emociones de las personas en el trabajo | Prohibido, salvo por motivos médicos o de seguridad | Art. 5.1.f) RIA, desde el 2 de febrero de 2025 |
Lo que el artículo 4 no exige, según la Comisión Europea: un nivel concreto de conocimientos, medir el nivel de cada persona, certificados ni una estructura de gobernanza específica. Sí exige medidas reales: entregar la política no basta por sí solo.
Novedad desde el 2 de diciembre de 2026: el Reglamento (UE) 2026/1744 añade a las prácticas prohibidas, entre otras, el uso de sistemas de IA para generar imágenes, vídeos o audios íntimos realistas de una persona identificable sin su consentimiento.
En España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) supervisa la aplicación del Reglamento, junto con otras autoridades como la Agencia Española de Protección de Datos. El proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, aprobado por el Gobierno en mayo de 2026, caducó el 6 de octubre de 2026, según su expediente en el Congreso de los Diputados (121/000096), tras la disolución de las Cortes (Real Decreto 806/2026, de 5 de octubre). Las elecciones generales se celebran el 29 de noviembre de 2026; corresponderá a la nueva legislatura retomarlo o no. Mientras tanto, el Reglamento europeo se aplica directamente.
Este apartado es informativo y no constituye asesoramiento jurídico.
7. Casos que necesitan una revisión específica
Recursos humanos. Cribar currículos, asignar tareas o evaluar el desempeño con IA afecta a derechos de las personas. Además del RGPD, el Estatuto de los Trabajadores reconoce al comité de empresa el derecho a ser informado de los parámetros, reglas e instrucciones de los algoritmos o sistemas de IA que afectan a decisiones sobre las condiciones de trabajo, el acceso y el mantenimiento del empleo, incluida la elaboración de perfiles (art. 64.4.d), y a emitir informe sobre la implantación de sistemas de organización y control del trabajo (art. 64.5.f). El procedimiento depende del proyecto: analízalo antes de ponerlo en marcha.
Secreto profesional y confidencialidad. Los despachos de abogados tienen obligaciones deontológicas propias. Asesorías y consultoras pueden tener obligaciones de confidencialidad por contrato o por su normativa profesional, que conviene revisar caso por caso. Para los servicios profesionales: IA para despachos profesionales.
Datos sensibles. Las categorías especiales de datos (por ejemplo, salud) y los datos de menores son cuestiones distintas, cada una con reglas propias. Por defecto, en rojo con análisis previo, con tu delegado de protección de datos si lo tienes.
Agentes y conectores. Una herramienta conectada al correo o a las carpetas compartidas puede acceder a más información de la que el usuario le muestra. Autoriza cada conexión y revisa los permisos.
8. Errores frecuentes
- Prohibirlo todo. Una prohibición total puede favorecer usos no autorizados, con cuentas personales y sin reglas.
- Copiar un modelo de doce páginas. Un documento demasiado largo puede dificultar su aplicación. Mejor un texto breve, con ejemplos de la propia empresa.
- No definir qué es información sensible. Sin ejemplos, cada persona decide sola.
- Olvidar las acciones. Una política limitada a lo que se escribe en el chat se queda corta en cuanto alguien conecta una aplicación.
- No revisarla. Las herramientas cambian cada pocos meses; la lista de herramientas autorizadas también debe actualizarse.
9. Preguntas frecuentes
¿Es obligatorio tener una política de uso de IA?
El Reglamento europeo de IA no exige un documento con ese nombre. Sí exige, desde el 2 de febrero de 2025, medidas para apoyar la alfabetización en IA de quienes la usan (art. 4). Una política escrita es una forma sencilla de ordenar y demostrar esas medidas.
¿Hay que informar a los representantes de los trabajadores?
Depende del uso. Si la IA interviene en decisiones que afectan a las condiciones de trabajo, al acceso o al mantenimiento del empleo, el comité de empresa tiene derecho a ser informado (art. 64.4.d del Estatuto de los Trabajadores). Analízalo caso por caso.
¿Se puede usar la versión gratuita de ChatGPT, Claude o Gemini?
Para información pública, puede ser aceptable si tu política lo permite. Para información de la empresa, conviene un plan de empresa, cuyas condiciones sobre el uso de los datos y la administración de cuentas son distintas.
¿Cada cuánto hay que revisarla?
La lista de herramientas, cada seis meses como referencia; la política completa, una vez al año o cuando cambien la ley, las herramientas o los usos.
¿Quién debe aprobarla?
La dirección. La redacción conviene hacerla con el equipo, para que refleje los usos de cada día.
¿Basta con la política para cumplir el artículo 4?
No. La política organiza el uso, pero el artículo 4 pide medidas adaptadas a las personas: formación, acompañamiento o recursos según el puesto y las herramientas.
Adaptamos esta política a las herramientas, los datos y las tareas de tu equipo, y te ayudamos a formar al equipo y a aplicarla. Solicita una llamada informativa: 30 minutos, gratuita, y una propuesta a medida en 5 días hábiles. ¿Prefieres empezar con la versión editable de la plantilla? Escríbeme a patrik@coachiapro.com.
Fuentes (consultadas el 21 de octubre de 2026)
- Reglamento (UE) 2024/1689 de inteligencia artificial, artículos 4, 5 y 50 y anexo III — AI Act Service Desk, Comisión Europea.
- Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA) — EUR-Lex.
- Comisión Europea, AI Literacy – Questions & Answers — digital-strategy.ec.europa.eu.
- Estatuto de los Trabajadores, artículo 64 — BOE.
- Gobierno de España, proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA — La Moncloa.
- Congreso de los Diputados, expediente 121/000096, situación «Concluido – Caducado» — congreso.es.
- Real Decreto 806/2026, de 5 de octubre, de disolución del Congreso de los Diputados y del Senado — BOE.
- Google Cloud, Office of the CISO, How to craft an Acceptable Use Policy for gen AI (2024) — cloud.google.com.