En el día a día de una empresa moderna, herramientas como ChatGPT, Microsoft Copilot o Claude se han convertido en asistentes habituales. Los empleados las utilizan para redactar correos, resumir actas de reuniones, estructurar informes o traducir documentos. Sin embargo, en la mayoría de las Pymes esta adopción se ha producido sin una regulación previa, dando lugar a lo que se conoce como Shadow AI o «IA en la sombra».
El uso informal de la inteligencia artificial puede exponer a la compañía a fugas de datos confidenciales, infracciones graves del RGPD (Reglamento General de Protección de Datos) y posibles sanciones por parte de la Agencia Española de Protección de Datos (AEPD). Para evitar estos riesgos sin renunciar a la eficiencia que aporta la tecnología, la solución no es prohibir, sino implantar una política interna clara y comprensible.
¿Qué es una política de uso de IA en la empresa y por qué tu Pyme necesita una?
Una política de uso de inteligencia artificial es un documento interno que establece las reglas del juego para la plantilla. Su objetivo es definir qué herramientas de IA están permitidas, qué tipo de información se puede introducir en ellas y cómo se deben supervisar los resultados generados.
Desde la entrada en vigor del Reglamento Europeo de Inteligencia Artificial (EU AI Act) y la aplicación estricta del RGPD, la responsabilidad legal sobre el tratamiento de la información recae sobre la empresa. Si un empleado introduce datos personales de clientes, nóminas de la plantilla o un plan estratégico confidencial en una herramienta pública de IA, esa información puede ser utilizada por el proveedor para entrenar sus modelos futuros, perdiendo la empresa el control sobre dichos datos.
Riesgos reales de usar IA en la oficina sin regulación
El principal peligro del uso no regulado de la IA en el entorno corporativo no es la tecnología en sí, sino la falta de límites claros. Los riesgos más habituales identificados en las empresas incluyen:
- Fuga de información confidencial y secretos empresariales: Subir contratos, listados de precios o código fuente a plataformas públicas sin acuerdos de privacidad adecuados.
- Vulneración del RGPD: Introducir datos identificativos de clientes o empleados (nombres, DNI, datos de salud o bancarios) sin base legitimadora ni consentimiento.
- Generación de contenido sesgado o erróneo («alucinaciones»): Enviar propuestas comerciales o informes legales a clientes basados en datos inventados o incorrectos producidos por la IA sin revisión humana.
- Falta de transparencia hacia clientes y terceros: Utilizar herramientas de IA para tomar decisiones sobre personas (como en procesos de selección o evaluación de crédito) sin informar adecuadamente.
Pasos para redactar una política interna de uso de IA clara y aplicable
Para que una normativa interna sea efectiva, debe ser práctica y fácil de entender por cualquier miembro de la organización. Se recomienda seguir este procedimiento:
1. Realizar un inventario de herramientas e usos actuales
Antes de redactar la norma, es necesario analizar qué herramientas está utilizando la plantilla actualmente (versiones gratuitas de ChatGPT, extensiones de navegador, herramientas integradas en el correo) y para qué tareas específicas se emplean.
2. Clasificar la información según su nivel de sensibilidad
Establecer una clasificación sencilla para que los empleados sepan de forma inmediata qué datos se pueden compartir con la IA y cuáles no:
| Nivel de datos | Ejemplos de información | ¿Permitido en IA pública?
|
|---|---|---|
| Públicos | Notas de prensa, ofertas publicadas, información de la web. | Sí, permitido. |
| Internos / Operativos | Borradores de procesos, plantillas de trabajo sin datos reales. | Permitido en herramientas corporativas con privacidad garantizada. |
| Confidenciales / Personales | Datos de clientes, nóminas, contratos, estrategias de negocio. | Estrictamente prohibido en modelos públicos. |
3. Exigir la revisión humana obligatoria (Human-in-the-Loop)
La política debe dejar claro que la inteligencia artificial es un asistente de apoyo y nunca el responsable final del trabajo. Todo contenido, análisis o código generado por una IA debe ser verificado por un profesional antes de ser enviado a un cliente, publicado o aplicado en la empresa.
4. Formar y concienciar a la plantilla
Redactar el documento no es suficiente. Es imprescindible realizar sesiones de formación prácticas donde se explique el porqué de las reglas y se enseñe a utilizar las herramientas autorizadas de manera segura.
Para más información o asesoramiento en la redacción y adaptación de protocolos de IA, consulta la sección de Consultoría en Reglamento de IA de Acoran o la guía de Consultoría LOPD y Protección de Datos.
Preguntas frecuentes sobre la política de IA en pymes
¿Es obligatorio tener un protocolo de IA en la empresa?
Aunque el RGPD no exige explícitamente un documento con ese nombre, sí impone el principio de responsabilidad proactiva. Si se produce una brecha de datos por el uso de IA y la empresa no ha fijado pautas ni formado a sus empleados, la AEPD puede sancionar a la organización.
¿Puedo prohibir totalmente el uso de ChatGPT en mi plantilla?
Técnicamente es posible bloquear el acceso desde la red corporativa, pero resulta ineficaz en la práctica, ya que los empleados pueden usar sus dispositivos personales. Es más recomendable regular y formar que intentar prohibir.
¿Qué diferencia hay entre la versión gratuita de ChatGPT y las versiones Enterprise/Team?
Las versiones gratuitas y estándar suelen reservarse el derecho de utilizar las consultas e información introducida para entrenar sus modelos. Las versiones de pago corporativas (Team, Enterprise o licencias de Microsoft Copilot para empresas) ofrecen garantías de que los datos introducidos no se utilizan para el entrenamiento de modelos de IA.
Otros artículos de interés:
Gestión LOPD en Selección de Personal: Plazos de Conservación y Recepción de CVs
Comentarios recientes