¿Qué es una política de IA?
Gobernanza, riesgo y aseguramiento
Una política de IA es un conjunto interno de normas de trabajo que indica a las personas cómo se puede y cómo no se puede utilizar la IA en el trabajo. Normalmente abarca usos aprobados, usos restringidos, gestión de datos, requisitos de revisión, titularidad, escalado y la forma en que la política se actualiza a medida que cambian las herramientas y los riesgos.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Una política de IA es el reglamento escrito para el uso cotidiano de la IA. Ofrece al personal orientaciones claras sobre qué está permitido, qué requiere aprobación, qué herramientas están autorizadas, qué datos no deben incluirse en los prompts, cuándo la revisión es obligatoria y quién gestiona las excepciones.
En la práctica, la política es una parte de la gobernanza de la IA en sentido amplio. La gobernanza establece el modelo operativo general. La política convierte ese modelo en instrucciones utilizables para directivos, equipos y proveedores.
Una buena política debe ayudar a las personas a decidir si la IA es adecuada para una tarea, no solo si una herramienta está técnicamente disponible.
Por qué es importante
La mayoría de los errores relacionados con la IA en el trabajo no se deben a una ambición tecnológica desmedida, sino a normas de trabajo imprecisas. El personal puede pegar material sensible en la herramienta equivocada, confiar en la IA para tareas que aún requieren criterio humano o enviar contenido externo sin una verificación adecuada.
Una política de IA reduce esa ambigüedad. Ayuda a estandarizar el comportamiento entre equipos, respalda la formación y reduce el riesgo de que cada departamento invente sus propias normas. También hace que las conversaciones con proveedores y los procesos de contratación sean más prácticos, ya que la organización puede explicar qué espera de las herramientas y los proveedores.
Una política útil también funciona junto con controles de flujo de trabajo como un AI guardrail. La política establece lo que la organización espera. Los guardrails ayudan a hacer cumplir esa expectativa en el uso real.
Cómo funciona
Una política de IA útil suele abarcar seis áreas. En primer lugar, el propósito: por qué la organización utiliza IA y qué principios guían su uso. En segundo lugar, el alcance: a quién se aplica la política y qué sistemas, herramientas o proveedores quedan cubiertos.
En tercer lugar, los usos permitidos y restringidos. Conviene distinguir entre tareas de apoyo de bajo riesgo, como redactar o resumir, y tareas de mayor riesgo que impliquen comunicaciones con clientes, datos personales, decisiones reguladas o publicación externa.
En cuarto lugar, las normas de gestión de datos. Deben explicar qué información puede introducirse en las herramientas, cuándo se requiere anonimización o minimización y cuándo el personal debe evitar compartir material interno o personal.
En quinto lugar, la revisión y la responsabilidad. La política debe definir quién revisa los resultados, cuándo se requiere human-in-the-loop AI, cómo se escalan los problemas y quién gestiona las actualizaciones.
En sexto lugar, el mantenimiento. La política debe ser accesible para el personal, estar respaldada por formación y revisarse con una cadencia definida a medida que evolucionan las herramientas, los riesgos y las normativas.
Ejemplos
Borradores de marketing: La política puede permitir que la IA genere primeros borradores de textos de campaña, pero exigir la aprobación humana antes de la publicación y prohibir afirmaciones factuales no contrastadas o información confidencial específica de clientes en los prompts.
Notas de reuniones de ventas: Una política puede autorizar herramientas de toma de notas aprobadas para uso interno, al tiempo que restringe la carga de datos comerciales sensibles en sistemas públicos no autorizados.
Apoyo a RRHH: La política puede permitir que la IA redacte preguntas de entrevista o resuma los requisitos de un puesto, pero prohibir la puntuación automatizada de candidatos sin una revisión aprobada, una justificación documentada y una evaluación de riesgos adecuada.
Búsqueda interna y uso del conocimiento: La política puede especificar qué repositorios pueden alimentar las herramientas de IA y cuándo el personal debe acudir a la fuente primaria antes de actuar en función de una respuesta.
Malentendidos frecuentes
Una política de IA no es solo una lista de herramientas prohibidas. Debe orientar sobre la idoneidad de las tareas, la gestión de datos, la revisión y el escalado, no limitarse a indicar qué herramientas están bloqueadas o aprobadas.
Una política de IA no es el modelo de gobernanza completo. Necesita el respaldo de una titularidad clara, formación, diligencia debida con proveedores y seguimiento.
Una política genérica rara vez es suficiente. Si no se conecta con los flujos de trabajo reales, el personal la interpretará de forma inconsistente.
Una política no debe dar a entender que todos los usos de la IA son equivalentes. Distintas tareas requieren distintas normas. Redactar una nota interna no es lo mismo que procesar datos personales o enviar contenido dirigido a clientes.
Riesgos y límites
Una política débil suele fallar de una de estas dos formas: es demasiado amplia para orientar el comportamiento o demasiado restrictiva para aplicarse en la práctica. Ambas situaciones llevan a los equipos a improvisar.
La política también tiene límites. Un documento no puede sustituir al diseño de sistemas, la disciplina de revisión, el registro de actividad, la notificación de incidencias o las verificaciones de proveedores. Si un flujo de trabajo conlleva un riesgo material, la política debe remitir a controles más sólidos y no dar a entender que el documento por sí solo es suficiente.
Si se manejan datos personales, la política debe alinearse con las obligaciones de protección de datos aplicables, incluidas las de responsabilidad, proporcionalidad y evaluación de riesgos. Si la organización opera en jurisdicciones sujetas a regulación específica sobre IA, es posible que la política también deba actualizarse a medida que evolucionen esas obligaciones.
Próximos pasos
Redacte una primera versión breve en torno a un flujo de trabajo recurrente. Incluya las herramientas aprobadas, los datos prohibidos, los requisitos de revisión, la titularidad y un canal para notificar incidencias. Si el personal puede utilizarla durante el trabajo real sin necesidad de aclaraciones, probablemente esté al nivel adecuado.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Es una política de IA lo mismo que una política de uso aceptable?
No exactamente. Puede incluir normas de uso aceptable, pero una política de IA más completa también abarca la idoneidad de las tareas, la revisión, la gestión de datos, la titularidad y el escalado.
¿Debe una política de IA prohibir completamente las herramientas de IA públicas?
Depende del perfil de riesgo y del trabajo en cuestión. Algunas organizaciones prohíben las herramientas públicas para trabajos sensibles, pero siguen permitiendo casos de uso interno aprobados. Lo fundamental es que la norma sea clara y aplicable.
¿Quién debe ser responsable de la política?
Habitualmente, un responsable operativo designado que trabaje junto con la dirección, el área de cumplimiento, seguridad y los equipos que utilizan la IA en la práctica. La titularidad debe ser visible, no darse por supuesta.
¿Con qué frecuencia debe revisarse la política?
Como mínimo, con una periodicidad definida, y antes si cambian las herramientas, los flujos de trabajo, los incidentes o las expectativas regulatorias.