Hoy casi todas las empresas necesitan una política de uso aceptable de IA. Y la mayoría de las que existen son una sola línea (“no usar IA con datos de la empresa”), que todos ignoran, o un documento legal de veinte páginas, que nadie lee.
Una buena política está en el medio. Entra en una o dos páginas, responde las preguntas que la gente realmente tiene y le explica cómo conseguir un sí, no solo cuándo le dicen que no.
Si todavía no sabés qué herramientas de IA usa tu equipo, empezá por ahí; mirá Shadow AI: cómo descubrir qué herramientas de IA ya usa tu equipo. La política es mucho más fácil de escribir cuando sabés qué está pasando de verdad.
Las siete secciones que importan
1. Propósito, en dos oraciones
Explicá por qué existe la política: para que la gente use IA y trabaje más rápido, protegiendo los datos de clientes, la información de la empresa y sus obligaciones. Decir que la IA es bienvenida marca un tono distinto al de una lista de prohibiciones.
2. Herramientas aprobadas
Listá las herramientas de IA aprobadas, el plan o tipo de cuenta que hay que usar (por ejemplo, el espacio de la empresa, no una cuenta personal) y para qué está aprobada cada una. Guardá la lista en un lugar fácil de actualizar, porque va a cambiar seguido.
3. Reglas sobre datos
Es el corazón de la política. A la mayoría de las empresas le alcanzan tres categorías:
- Pública: información que ya es pública, como contenido de marketing publicado. Permitida en cualquier herramienta aprobada.
- Interna: información interna no sensible, como procedimientos o notas de reuniones. Permitida solo en herramientas aprobadas, con cuenta de la empresa.
- Restringida: datos personales de clientes, registros de salud o financieros, contratos, código, contraseñas y todo lo que esté cubierto por un acuerdo de confidencialidad. Permitida solo en herramientas aprobadas específicamente para esos datos, con contrato firmado. Nunca en herramientas gratuitas o personales.
Poné dos o tres ejemplos concretos de cada categoría. Los ejemplos sirven más que las definiciones.
4. Revisión humana
La IA puede equivocarse de forma muy convincente. Indicá dónde una persona tiene que revisar el resultado antes de usarlo: todo lo que se envía a un cliente, todo lo que tiene efecto legal o financiero, todo código que va a producción y cualquier decisión sobre una persona (contratación, crédito, sanciones).
5. Aviso y responsabilidad
Indicá cuándo hay que avisar que se usó IA (por ejemplo, en entregables a clientes si los contratos lo piden) y que el trabajo hecho con IA sigue siendo responsabilidad de quien lo entrega. Revisá con un abogado las cláusulas de propiedad y confidencialidad de tus contratos con clientes.
6. Cómo pedir una herramienta nueva
La gente va a encontrar herramientas nuevas. Dale un camino simple: a quién pedirle, qué información incluir (la herramienta, el uso y el tipo de datos) y cuánto suele tardar la respuesta. Un proceso rápido y claro es la mejor defensa contra el shadow AI.
7. A quién consultar y qué hacer si algo sale mal
Nombrá a una persona, no a un comité. Explicá qué hacer si alguien pegó datos restringidos en la herramienta equivocada: avisar enseguida, sin miedo a sanciones por errores de buena fe, para que la empresa pueda actuar.
Qué dejar afuera
- Definiciones largas de qué es la IA.
- Listas de todas las herramientas prohibidas. Quedan viejas en semanas, y las reglas sobre datos ya las cubren.
- Reglas que nadie va a hacer cumplir. Si no vas a actuar ante una infracción, no la escribas.
Lista para terminarla este mes
- Inventario de herramientas de IA que ya se usan, por equipo
- Decisión sobre qué herramientas se aprueban y con qué tipo de cuenta
- Categorías de datos con ejemplos reales de tu negocio
- Lista de situaciones que requieren revisión humana
- Revisión de contratos: acuerdos con clientes, de confidencialidad y obligaciones regulatorias que limitan qué datos pueden entrar en herramientas de IA
- Proceso de pedidos con un responsable y un plazo de respuesta
- Proceso para incidentes por datos cargados en el lugar equivocado
- Revisión de legales, seguridad y una persona de cada equipo principal
- Capacitación corta, con la política enlazada desde donde la gente trabaja
- Fecha de la primera revisión (trimestral está bien para empezar)
Que sea parte de cómo se trabaja
Una política guardada en una carpeta compartida no cambia nada. Enlazala desde las herramientas que usa la gente, mencionala en la incorporación de empleados nuevos y revisala cada trimestre cuando actualices la lista de herramientas aprobadas. Cuando alguien pregunte “¿puedo usar esto?”, la respuesta tiene que tardar minutos, no semanas.
Marcos en los que apoyarte
Si necesitás mostrarles a auditores o clientes que tu enfoque es ordenado, el Marco de Gestión de Riesgos de IA del NIST es una referencia voluntaria muy usada en Estados Unidos. Su función “Govern” cubre políticas, roles y responsabilidades, que es justamente lo que inicia este documento.
Si querés ayuda para redactar la política, configurar herramientas aprobadas o conectar un asistente interno a tus documentos, eso hace nuestra práctica de gobernanza y seguridad. Si no tenés claro dónde están tus mayores riesgos, nuestra auditoría de IA gratuita es un buen punto de partida.
Fuentes
- NIST, AI Risk Management Framework.