Política de uso de IA para empleados: qué debe decir y cómo implantarla

Hay una conversación que casi todas las empresas medianas están teniendo mal. Va así: dirección se entera de que alguien pegó información de un cliente en un chat de IA, se alarma, y la respuesta es prohibir.

Tres meses después el uso sigue igual, solo que ahora ocurre en cuentas personales y nadie se entera.

Esta guía es para hacer la otra versión de esa conversación.

Punto de partida: ya lo están usando

Antes de redactar nada, acepta el dato: en tu empresa ya se usa IA. Marketing para textos, ventas para correos, administración para resumir documentos, sistemas para código, alguien para traducir.

Y probablemente en cuentas personales, porque nadie les dio una de la empresa.

Las cuatro secciones que sí importan

Una política de uso de IA que funciona cabe en una página y tiene cuatro apartados. Todo lo demás es apéndice.

1. Qué información nunca sale de la empresa

Lo más importante y lo que más se omite. Tiene que ser una lista concreta, no un principio abstracto.

Un punto de partida para una empresa mexicana:

• Datos personales de clientes o empleados: nombres con RFC, CURP, domicilios, datos bancarios, expedientes médicos o laborales.
• Información financiera no pública: estados de resultados, márgenes, listas de precios negociados.
• Credenciales de cualquier tipo: contraseñas, llaves de API, certificados, la e.firma.
• Contratos vigentes y sus condiciones con clientes o proveedores.
• Código fuente propietario y configuraciones de infraestructura.
• Información bajo acuerdo de confidencialidad con un tercero.

Escríbelo con ejemplos de tu negocio, no en abstracto. "No compartir información confidencial" no le dice nada a nadie; "no pegues el padrón de clientes con RFC" sí.

2. Qué herramientas están aprobadas

Una lista corta, con nombre y plan. Y la razón por la que importa el plan: la misma herramienta puede ser aceptable o inaceptable según la versión contratada.

Los planes empresariales suelen ofrecer que tu contenido no se use para entrenar modelos y traen controles de administración. Los planes personales gratuitos, con frecuencia no. Es la diferencia que decide si una herramienta entra o no a la lista.

Incluye también qué hacer si alguien quiere usar una que no está: a quién se le pide y en cuánto tiempo responde. Si el proceso tarda un mes, la gente no lo va a usar.

3. Qué revisa siempre una persona

La regla que protege a la empresa de los errores reales del día a día:

• Nada generado por IA sale a un cliente sin que una persona lo lea. Correos, cotizaciones, propuestas, respuestas de soporte.
• Nada se publica sin revisión. Redes, sitio web, materiales de marketing.
• Ninguna cifra se usa sin verificar contra la fuente. Los modelos producen números plausibles con total seguridad.
• Ninguna decisión que afecte a una persona se toma sin revisión humana documentada. Contrataciones, evaluaciones, crédito, sanciones. Esta es la que toda regulación de IA del mundo va a exigir, y la más barata de resolver antes de que te la pidan.

4. A quién se le pregunta

Un nombre y un canal. No "el área de sistemas": una persona, con suplente.

Y una frase que cambia el resultado de toda la política: preguntar nunca tiene consecuencia negativa. Si la gente teme que preguntar la meta en problemas, no pregunta y decide sola.

Cómo implantarla sin que quede en un cajón

La política redactada es la mitad fácil. Esto es lo que hace la diferencia:

1. Levanta el uso real antes de escribir. Pregunta por área qué herramientas usan y para qué, explícitamente sin sanción. Vas a descubrir tres o cuatro que no sabías. Sin ese inventario, la política se escribe contra un problema imaginario.
2. Aprueba herramientas al mismo tiempo que publicas las reglas. Una política que prohíbe sin habilitar se esquiva el primer día. Si vas a restringir cuentas personales, la empresarial ya tiene que estar contratada.
3. Preséntala en veinte minutos, no en un curso. Una sesión por área, con ejemplos de su trabajo real. Casos concretos: "esto sí, esto no, esto pregunta".
4. Configura lo que se pueda configurar. Los fabricantes ya publican controles de administración reales — OpenAI, por ejemplo, permite bloquear la importación de contraseñas y sesiones. Un control técnico vale más que un párrafo.
5. Revísala cada seis meses. Las herramientas cambian cada trimestre. Una política de IA de hace dos años nombra productos que ya no existen y omite los que sí se usan.

Lo que no debe llevar

Tan importante como lo que incluye:

• Listas de "usos permitidos". Imposible de mantener y garantiza que todo lo no listado quede en un limbo. Define límites, no catálogos.
• Amenazas. Una política que abre con sanciones se lee como trampa y produce ocultamiento, que es justo lo que no quieres.
• Jerga técnica. Si hay que explicar qué es un token para entender la regla, la regla está mal escrita.
• Promesas que no puedes verificar. No escribas "queda prohibido usar herramientas no aprobadas" si no tienes forma de saberlo. Escribe la regla que sí puedes sostener.

Por qué conviene tenerla ya

Tres razones, por orden de urgencia real:

Por los clientes. Cada vez más contratos —sobre todo con empresas grandes y con clientes en Estados Unidos y Europa— piden declarar qué herramientas de IA se usan y con qué datos. Quien no puede responder, pierde el contrato.

Por la ley que ya aplica. La protección de datos personales no espera a que haya ley de IA: si metes datos de clientes a una herramienta, sigues siendo el responsable del tratamiento.

Por el error caro. El escenario que de verdad ocurre no es un hackeo sofisticado: es alguien que pega el padrón completo de clientes en un chat para "que lo ordene". Una página leída a tiempo lo evita.

Si quieres el marco más amplio del que esto forma parte, está en nuestra guía de gobernanza de IA.

Lo de fondo

Una política de uso de IA no es un documento legal: es una decisión de dirección sobre qué información sale de la empresa y quién responde por lo que produce una máquina.

Escrita en una página y acompañada de herramientas aprobadas, se cumple sola. Escrita en diez páginas y acompañada de prohibiciones, se esquiva en una semana.