Borrador inicial de política de uso de IA

En muchos equipos la regla completa es “no compartas información sensible”. El problema es que cada persona interpreta “sensible” de una forma distinta. Una considera que una lista de clientes está prohibida; otra copia un correo completo porque no incluye una contraseña. La ambigüedad aumenta cuando las herramientas pueden leer archivos, conectarse al correo o ejecutar acciones.

El objetivo de una política inicial no es cubrir todos los escenarios. Es establecer límites comprensibles, asignar responsables y crear un registro para aprender. La plantilla descargable de esta guía cabe en pocas páginas y debe adaptarse al país, contratos, sector y realidad técnica de cada organización.

Descargar plantilla en Markdown

1. Escribe un objetivo operativo

Evita frases generales como “promover la innovación responsable”. Una versión accionable sería: “Esta política define qué usos de IA están permitidos, qué datos no pueden compartirse, qué revisión humana es obligatoria y cómo se reportan incidentes”. Después indica a quién aplica: empleados, contratistas, voluntarios, proveedores o un equipo concreto.

Nombra roles, no solo personas. Debe existir alguien que apruebe herramientas, alguien responsable del proceso que usa la salida y un canal para dudas e incidentes. En un negocio pequeño una misma persona puede cumplir varios roles, pero la responsabilidad debe quedar visible.

2. Clasifica la información con un semáforo

El color depende del contenido, no del formato. Una captura puede contener correos; un PDF público puede incluir instrucciones maliciosas; una hoja aparentemente anónima puede permitir identificar personas al combinar columnas. Añade ejemplos propios: contratos, tickets, historias clínicas, candidatos, código privado, listas de precios o estrategias.

Anonimizar no significa reemplazar un nombre y conservar todo lo demás. Fechas exactas, cargos, ubicaciones y eventos pueden volver identificable a una persona. Cuando el uso involucra datos personales, consulta a quien conozca las obligaciones aplicables.

3. Separa usos permitidos, condicionados y prohibidos

Los usos permitidos deberían ser reversibles y fáciles de revisar: lluvia de ideas, borradores internos, explicación de conceptos, resumen de material público o creación de ejemplos ficticios. No digas solo “se permite redactar”; aclara que los hechos, tono y derechos de uso se revisan antes de publicar.

Los usos condicionados requieren una persona responsable o una herramienta aprobada. Por ejemplo: resumir documentos internos, generar código, clasificar solicitudes o preparar comunicaciones externas. Define la condición: anonimización, entorno de prueba, doble revisión, aprobación del área o prohibición de envío automático.

Entre los usos prohibidos conviene incluir:

• Introducir contraseñas, claves privadas, tokens, credenciales o secretos en instrucciones.
• Cargar datos personales o confidenciales sin autorización y controles.
• Tomar decisiones automáticas de alto impacto sobre empleo, crédito, salud, educación o derechos.
• Publicar cifras, citas, referencias o hechos generados sin verificarlos.
• Ejecutar código, transferencias, correos o cambios en producción sin confirmación humana.
• Presentar como experiencia humana un caso que la IA inventó.

4. Ajusta la revisión al daño posible

No todas las salidas necesitan el mismo control. Un título interno puede revisarse por utilidad. Una respuesta a clientes debe comprobar condiciones, tono y datos. Una recomendación médica, fiscal o jurídica no debe delegarse a un asistente general como autoridad final.

La revisión humana solo funciona si la persona tiene tiempo, contexto y autoridad para rechazar la salida. Un botón de “aprobar” no es control cuando se revisan cientos de casos sin acceso a la fuente.

5. Aprueba el proveedor y también la configuración

El nombre de la herramienta no basta. Un plan personal, uno empresarial y una API pueden tener condiciones distintas. Registra plan, región, retención, uso para entrenamiento, administración de usuarios, exportación, eliminación, subencargados y fecha de revisión. Si un dato no está documentado, márcalo como no verificado.

Usa cuentas de trabajo administradas cuando existan, autenticación multifactor y privilegio mínimo. Un asistente que solo redacta no necesita acceso completo al correo. Revisa por separado cada conector, complemento o agente capaz de consultar datos o ejecutar acciones.

El contenido externo también puede ser una entrada no confiable. Un correo, página o documento puede contener instrucciones que intenten cambiar el comportamiento de un asistente. La política debe exigir confirmación humana antes de que una salida proveniente de esos materiales active herramientas, revele datos o modifique sistemas.

6. Incluye propiedad intelectual y transparencia

No cargues documentos, imágenes, código o bases de datos sin permiso. Define quién comprueba licencias, atribución y semejanza con material protegido. La disponibilidad técnica para generar o transformar una obra no resuelve automáticamente los derechos de uso.

Indica cuándo debe declararse el uso de IA: una institución educativa, un cliente, un contrato o una audiencia pueden exigirlo. La regla práctica es informar cuando la automatización sea relevante para evaluar autoría, confiabilidad o responsabilidad.

7. Prepara un procedimiento que no dependa de improvisar

Un incidente puede ser cargar el archivo equivocado, exponer datos, recibir una salida discriminatoria, ejecutar una acción no autorizada o publicar información falsa. La primera instrucción debería ser detener el flujo y avisar; no ocultar el error ni borrar evidencia.

1. Detén la automatización y limita accesos si es seguro hacerlo.
2. Registra herramienta, cuenta, fecha, instrucciones, datos afectados y acciones ejecutadas.
3. Avisa al canal y responsable definidos.
4. Revoca credenciales o conexiones cuando corresponda.
5. Consulta a la persona competente para evaluar notificaciones legales, contractuales o a afectados.
6. Corrige el proceso y decide si el uso continúa, cambia o se prohíbe.

8. Conserva un registro mínimo de usos

No hace falta almacenar cada conversación para siempre. El registro debe ser proporcional y respetar privacidad. Para un caso de uso aprobado conserva: propósito, responsable, herramienta y plan, categoría de datos, prueba realizada, fallos, decisión, fecha y próxima revisión.

Ese registro evita que cada persona repita la misma evaluación y permite retirar una herramienta cuando cambian las condiciones. También separa una aprobación concreta —“borradores con datos verdes”— de una falsa aprobación total.

9. Adapta la secuencia de implantación

Los siguientes pasos no establecen un plazo universal. Asígnales responsables y fechas según el tamaño, el riesgo y la capacidad real del equipo.

10. Prueba la política con escenarios

Pregunta al equipo qué haría en casos concretos: “un cliente envía un contrato y necesito resumirlo”, “un candidato entrega un currículo”, “un asistente pide acceso al correo”, “una fórmula generada afecta una factura” o “se pegó una lista de clientes por error”. Si dos personas llegan a respuestas opuestas, la política necesita un ejemplo o una regla más clara.

Una buena política no intenta eliminar el riesgo con frases absolutas. Reduce decisiones improvisadas, crea rutas de escalamiento y deja claro que la responsabilidad permanece en la organización y en las personas autorizadas.