El 2 de agosto de 2026 comenzó la aplicación general del Reglamento Europeo de IA (AI Act), con las obligaciones de transparencia como principal novedad para la mayoría de empresas. Y en España, el Consejo de Ministros aprobó el 26 de mayo de 2026 el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que adapta el marco nacional al reglamento europeo y contempla sanciones de hasta 35 millones de euros o el 7% del volumen de negocio para las infracciones más graves.
Sin embargo, el problema más frecuente en las empresas industriales no es el incumplimiento del AI Act: es la ausencia de cualquier política interna sobre el uso de IA. Mientras los equipos ya usan ChatGPT, Copilot o Gemini en su trabajo diario, la dirección no ha decidido qué está permitido, qué está prohibido y quién es responsable de qué. Eso es un riesgo legal, operativo y reputacional que no requiere un equipo de IA para gestionarse: requiere una política.
¿Qué es la gobernanza de la IA y por qué la necesita tu empresa?
La gobernanza de la IA es el conjunto de políticas, procesos y responsabilidades que determinan cómo una organización usa, supervisa y rinde cuentas sobre los sistemas de inteligencia artificial que emplea. No es solo un requisito legal: es un mecanismo de gestión de riesgos. Sin ella, la empresa no sabe qué datos están siendo procesados por herramientas externas, qué tipo de contenido están generando sus equipos con IA, o si alguno de sus procesos cae en las categorías de riesgo reguladas por el AI Act.
¿Qué exige el Reglamento Europeo de IA (AI Act) a las empresas?
El AI Act clasifica los sistemas de IA en cuatro categorías según su nivel de riesgo. Entender en qué categoría cae cada sistema que usa tu empresa es el primer paso para saber qué obligaciones aplican.
Las prohibiciones ya están en vigor desde febrero de 2025: sistemas de puntuación social, manipulación subliminal y reconocimiento de emociones en entornos laborales y educativos en la mayoría de casos. Para los sistemas de uso general como ChatGPT o Copilot, las obligaciones de transparencia son las más relevantes: avisar cuando una persona interactúa con una IA y marcar el contenido sintético en formato legible por máquina. El Reglamento exige que las organizaciones tengan políticas internas sobre el uso de IA: quién puede aprobar la implantación de un nuevo sistema, cómo se gestiona la supervisión humana, cómo se documentan los resultados y cómo se atienden las reclamaciones. Estas políticas deben estar escritas y ser conocidas por las personas que toman decisiones sobre IA en la empresa.
¿Qué riesgos tiene usar Copilot, ChatGPT o Gemini sin una política interna?
Los riesgos son de tres tipos. El legal: si un empleado introduce datos de clientes, información contractual o datos personales en una herramienta de IA externa sin protocolo de uso, puede estar incumpliendo el RGPD, el contrato con el cliente y las obligaciones de confidencialidad. El operativo: si la empresa no sabe qué herramientas se están usando ni para qué, no puede garantizar la calidad ni la trazabilidad de los outputs que esas herramientas generan. Y el reputacional: un error generado por IA y no detectado por falta de supervisión humana puede tener consecuencias costosas frente a clientes o autoridades.
Cómo crear una política interna de uso de IA paso a paso
El proceso tiene cuatro fases. La primera es el inventario: identificar qué herramientas de IA están usando los equipos, con qué frecuencia y para qué tareas. La segunda es la clasificación de riesgos: determinar qué usos son de bajo riesgo (redacción de borradores, resúmenes internos) y cuáles requieren supervisión o restricción (análisis de datos de clientes, generación de documentos con efecto legal). La tercera es la redacción de la política: definir qué está permitido, qué requiere aprobación previa, qué está prohibido y quién es responsable de la supervisión. Y la cuarta es la formación: comunicar la política al equipo y asegurarse de que se entiende y se aplica.
La plantilla descargable al final de este artículo puede ser el punto de partida para la tercera fase.
Esta política establece las normas de uso de herramientas y sistemas de inteligencia artificial en [nombre de la empresa], con el objetivo de garantizar un uso responsable, seguro y conforme a la normativa vigente, en particular el Reglamento (UE) 2024/1689 (AI Act) y el Reglamento General de Protección de Datos (RGPD).
Esta política aplica a todos los empleados, colaboradores y proveedores que utilicen herramientas de IA en el desempeño de sus funciones para la empresa.
| Herramienta | Estado | Usos autorizados | Restricciones específicas |
|---|---|---|---|
| ChatGPT (OpenAI) | Con condiciones | Redacción de borradores, resúmenes, traducción, análisis de texto público | No introducir datos de clientes, datos personales ni información confidencial |
| Microsoft Copilot | Con condiciones | Asistencia en documentos internos, correos, presentaciones | Verificar configuración de datos empresariales antes del uso. No usar en contratos ni documentos con efecto legal sin revisión humana |
| Google Gemini | Con condiciones | Búsqueda de información, generación de ideas, análisis de texto | No introducir datos de clientes ni información de proyectos confidenciales |
| [Añadir herramienta] | Aprobada | [Describir usos] | [Describir restricciones] |
| [Añadir herramienta] | No autorizada | — | [Motivo de la restricción] |
Cualquier herramienta no incluida en esta lista requiere aprobación previa del responsable de IA antes de su uso.
| Tipo de uso | Estado | Condiciones o motivo |
|---|---|---|
| Redacción de borradores y comunicaciones internas | Permitido | Revisar siempre el output antes de enviar. No asumir que el contenido generado es correcto sin verificación. |
| Resúmenes de reuniones o documentos internos | Permitido | Solo con documentos que no contengan información confidencial de terceros. |
| Generación de código o automatización de tareas | Con condiciones | Requiere revisión por técnico cualificado antes de su implementación en sistemas de producción. |
| Análisis de propuestas o documentos de clientes | Con condiciones | Solo si se ha eliminado previamente cualquier dato personal o información confidencial identificable. |
| Generación de contenido de marketing o comunicación externa | Con condiciones | Requiere revisión y aprobación antes de publicación. Indicar el uso de IA cuando sea relevante. |
| Introducir datos personales de empleados o clientes en herramientas externas | Prohibido | Incumple el RGPD. Puede suponer una brecha de datos con consecuencias legales graves. |
| Usar IA para tomar decisiones que afecten a empleados (evaluación, contratación, etc.) | Prohibido | Requiere supervisión humana obligatoria conforme al AI Act. Solo con autorización expresa de dirección. |
| Usar herramientas de IA no aprobadas en esta política | Prohibido | Solicitar aprobación previa al responsable de IA antes de cualquier uso. |
- Datos personales de empleados (nombre, DNI, nóminas, datos de salud, evaluaciones)
- Datos personales de clientes o contactos comerciales
- Información contractual confidencial o bajo acuerdo de confidencialidad (NDA)
- Información financiera no pública (resultados, presupuestos, previsiones)
- Propiedad intelectual, patentes, diseños o know-how técnico protegido
- Credenciales de acceso, contraseñas o información de seguridad informática
- Datos de auditorías, inspecciones o procedimientos legales en curso
| Rol | Responsabilidades |
|---|---|
| Responsable de IA | Mantener actualizada la lista de herramientas aprobadas, gestionar solicitudes de nuevas herramientas, revisar y actualizar esta política al menos anualmente, y recibir comunicaciones de incidentes relacionados con el uso de IA. |
| Responsable de Protección de Datos | Verificar que el uso de herramientas de IA es conforme al RGPD, gestionar las brechas de datos que puedan derivarse del uso inadecuado de IA y actualizar el registro de actividades de tratamiento cuando se incorporen nuevas herramientas. |
| Cada empleado | Conocer y aplicar esta política, solicitar autorización antes de usar herramientas no aprobadas, notificar al responsable de IA cualquier incidente o uso inadecuado observado, y aplicar supervisión humana sobre los outputs de IA antes de usarlos. |
Cualquier uso inadecuado de una herramienta de IA, brecha de datos derivada de su uso o resultado incorrecto con impacto en clientes o procesos debe comunicarse al responsable de IA en un plazo máximo de 24 horas desde su detección.
La formación de los equipos, el primer paso real de la gobernanza de la IA
Una política de uso de IA que el equipo no entiende o no sabe aplicar no es una política: es un documento en una carpeta. La gobernanza real de la IA empieza por equipos que conocen las herramientas, entienden sus riesgos y saben cuándo aplicar supervisión humana. Eso requiere formación específica, no solo comunicación interna.
