Las empresas que permiten utilizar ChatGPT, Copilot, Gemini u otras herramientas de inteligencia artificial deberían establecer reglas claras sobre qué pueden hacer sus trabajadores con estas tecnologías y qué información no debe introducirse en ellas.
La política de uso de inteligencia artificial para empresas se está convirtiendo en un documento importante para organizaciones que utilizan herramientas de IA en sus actividades diarias. Una política interna permite establecer reglas sobre seguridad, privacidad, propiedad intelectual, supervisión humana y responsabilidades de los trabajadores.
El objetivo no debería ser simplemente prohibir la inteligencia artificial. Una política bien diseñada puede permitir que los empleados aprovechen sus beneficios reduciendo al mismo tiempo los riesgos jurídicos, tecnológicos y empresariales.
¿Qué es una política de uso de inteligencia artificial?
Es un documento interno que establece las reglas que deben seguir los trabajadores, directivos, contratistas y otros usuarios autorizados cuando utilizan sistemas de inteligencia artificial en nombre de una empresa.
La política puede aplicarse tanto a herramientas generativas como ChatGPT y Gemini como a sistemas especializados utilizados para atención al cliente, análisis de datos, selección de personal, automatización de procesos, marketing, programación o gestión documental.
Una empresa puede definir qué herramientas están autorizadas, cuáles están restringidas y qué información puede procesarse mediante ellas.
¿Por qué una empresa debería tener una política de IA?
Proteger información
Ayuda a evitar que trabajadores introduzcan información confidencial o datos personales en herramientas no autorizadas.
Reducir riesgos legales
Permite establecer reglas sobre privacidad, propiedad intelectual, contratos y responsabilidad.
Definir responsabilidades
Establece quién puede utilizar IA y quién debe revisar los resultados generados.
Mejorar la seguridad
Permite controlar las herramientas y servicios externos utilizados por los trabajadores.
Crear procedimientos
Define qué hacer antes, durante y después de utilizar una herramienta de inteligencia artificial.
Capacitar al personal
Establece conocimientos mínimos que los trabajadores deben tener para utilizar IA.
¿Qué debe incluir una política de inteligencia artificial para empresas?
No existe un único modelo válido para todas las organizaciones. Una empresa financiera, un estudio jurídico, una clínica, una agencia de marketing y una empresa tecnológica pueden necesitar controles diferentes.
Sin embargo, una política de IA empresarial puede incluir como mínimo los siguientes elementos.
1. Objetivo de la política
El documento debería explicar por qué la empresa establece reglas sobre inteligencia artificial.
Por ejemplo, puede señalar que la finalidad es permitir el uso responsable de herramientas de IA, proteger la información empresarial, reducir riesgos y establecer mecanismos de supervisión.
2. Alcance
Debe indicarse quiénes están obligados a cumplir la política.
Puede incluir:
- Trabajadores.
- Directivos.
- Practicantes.
- Contratistas.
- Consultores.
- Proveedores que utilicen sistemas de IA en nombre de la empresa.
También conviene determinar si las reglas se aplican únicamente a equipos corporativos o también a dispositivos personales utilizados para actividades laborales.
3. Definición de inteligencia artificial
Para evitar interpretaciones diferentes, la política puede explicar qué se entiende por sistema de inteligencia artificial.
También puede distinguir entre IA generativa, herramientas de análisis predictivo, chatbots, sistemas automatizados de decisión y otras tecnologías.
4. Herramientas autorizadas
Una de las secciones más importantes consiste en establecer qué herramientas pueden utilizar los trabajadores.
Por ejemplo, la empresa puede crear una lista de plataformas autorizadas y determinar qué departamentos pueden utilizarlas.
| Categoría | Ejemplo de uso | Control recomendado |
|---|---|---|
| IA generativa | Redacción y lluvia de ideas | Revisión humana |
| IA documental | Análisis de contratos | Control de acceso |
| Chatbots | Atención al cliente | Supervisión y límites |
| IA para programación | Generación de código | Revisión de seguridad |
| IA para marketing | Creación de contenidos | Revisión de propiedad intelectual |
| IA analítica | Análisis de datos | Control de datos y resultados |
5. Información que no puede introducirse en una IA
Esta sección debería ser especialmente clara. Una política empresarial puede establecer categorías de información que no pueden introducirse en herramientas públicas o no autorizadas.
Por ejemplo:
- Contraseñas.
- Claves privadas.
- Credenciales de acceso.
- Secretos comerciales.
- Información estratégica confidencial.
- Datos personales sin autorización o base jurídica adecuada.
- Información confidencial de clientes.
- Documentos sujetos a obligaciones de reserva.
- Información financiera sensible.
- Información de seguridad informática.
6. Protección de datos personales
La política debe contemplar específicamente el tratamiento de datos personales.
En Perú, la protección de datos personales está regulada por la Ley N.° 29733 y su reglamento. El Reglamento de la Ley de Protección de Datos Personales establece reglas para el tratamiento de información personal también en entornos digitales.
Por ello, antes de utilizar IA con información de clientes, trabajadores o proveedores, la empresa debería evaluar la finalidad del tratamiento, las bases jurídicas aplicables, las medidas de seguridad y las condiciones del proveedor tecnológico.
7. Prohibición de introducir datos confidenciales en herramientas no autorizadas
La política puede establecer expresamente que los empleados no pueden introducir información confidencial de la empresa en servicios de IA que no hayan sido aprobados.
También puede establecer excepciones cuando exista autorización previa y controles técnicos y contractuales adecuados.
8. Revisión humana obligatoria
Uno de los elementos fundamentales de una política de IA empresarial es determinar cuándo los resultados generados por inteligencia artificial deben ser revisados por una persona.
Por ejemplo, una empresa puede establecer revisión obligatoria cuando la IA produzca:
- Documentos legales.
- Contratos.
- Comunicaciones oficiales.
- Decisiones relacionadas con trabajadores.
- Información financiera.
- Recomendaciones dirigidas a clientes.
- Contenido que pueda afectar derechos de terceros.
9. Verificación de información generada por IA
Las herramientas generativas pueden producir información incorrecta o presentar datos sin suficiente contexto. Por ello, la política debería establecer que los trabajadores deben verificar los resultados antes de utilizarlos profesionalmente.
En determinadas áreas, la verificación debería incluir la consulta de fuentes oficiales, documentos originales o bases de datos especializadas.
10. Propiedad intelectual y derechos de autor
La política también debería contemplar el uso de IA para crear textos, imágenes, vídeos, software, diseños y otros contenidos.
Los empleados deben saber que generar un contenido mediante IA no elimina automáticamente los posibles problemas relacionados con derechos de autor, marcas, secretos empresariales u otros derechos de propiedad intelectual.
La empresa puede establecer procedimientos para revisar materiales generados mediante IA antes de publicarlos o utilizarlos comercialmente.
11. Uso de IA para recursos humanos
Si la empresa utiliza inteligencia artificial para reclutamiento, evaluación, clasificación o gestión de trabajadores, la política debe establecer controles adicionales.
La organización debería evaluar posibles sesgos, errores y efectos discriminatorios, especialmente cuando el sistema pueda influir en decisiones relacionadas con personas.
12. Seguridad informática
Las herramientas de IA deben incorporarse dentro de la estrategia general de seguridad de la empresa.
La política puede establecer:
- Autenticación multifactor.
- Control de usuarios.
- Restricciones de acceso.
- Gestión de permisos.
- Registro de actividades.
- Revisión de proveedores.
- Procedimientos ante incidentes.
13. Selección y evaluación de proveedores de IA
Antes de contratar una plataforma, la empresa puede establecer una lista de criterios mínimos para evaluar al proveedor.
Privacidad
¿Qué información recopila? ¿Para qué finalidad? ¿Cómo se almacena?
Seguridad
¿Qué controles existen para proteger las cuentas y los documentos?
Datos
¿Los datos introducidos pueden utilizarse para entrenar modelos?
Ubicación
¿Dónde se procesan o almacenan los datos?
Contrato
¿Qué obligaciones asume el proveedor respecto de los datos?
Eliminación
¿Qué sucede con la información cuando la cuenta se cierra?
14. Registro de herramientas de inteligencia artificial
Una buena práctica consiste en mantener un inventario de las herramientas de IA utilizadas por la organización.
El registro puede incluir nombre del sistema, proveedor, área responsable, finalidad, tipo de información procesada, nivel de riesgo y responsable interno.
15. Clasificación de riesgos
No todas las aplicaciones de inteligencia artificial representan el mismo nivel de riesgo. Una herramienta utilizada para generar ideas para una campaña de marketing puede requerir controles diferentes a un sistema utilizado para evaluar solicitudes de crédito o seleccionar candidatos para un puesto.
La empresa puede clasificar sus usos de IA en categorías como bajo, medio y alto riesgo, estableciendo controles proporcionales para cada una.
16. Capacitación de los trabajadores
Una política de IA no funciona si los empleados no conocen sus reglas.
La empresa puede implementar capacitaciones periódicas sobre privacidad, seguridad, propiedad intelectual, uso responsable de IA y verificación de resultados.
17. Reporte de incidentes
Debe existir un procedimiento para informar incidentes relacionados con inteligencia artificial.
Por ejemplo:
- Envío accidental de información confidencial.
- Exposición de datos personales.
- Uso de una herramienta no autorizada.
- Generación de información incorrecta.
- Publicación de contenido sin verificar.
- Uso indebido de material protegido.
- Decisiones automatizadas con resultados problemáticos.
18. Responsabilidades y sanciones internas
La política debe establecer quién es responsable de supervisar su cumplimiento y qué ocurre cuando un trabajador incumple las reglas.
Las medidas deben estar coordinadas con las políticas laborales, de seguridad de la información, protección de datos y reglamentos internos de la empresa.
¿Qué información debería contener una política de IA?
| Sección | Contenido |
|---|---|
| Objetivo | Finalidad de la política |
| Alcance | Personas y áreas obligadas |
| Herramientas | IA autorizada y restringida |
| Datos | Información que puede y no puede procesarse |
| Privacidad | Reglas sobre datos personales |
| Seguridad | Controles técnicos y organizativos |
| Propiedad intelectual | Uso de contenidos generados mediante IA |
| Supervisión | Revisión humana de resultados |
| Proveedores | Criterios para seleccionar servicios de IA |
| Incidentes | Procedimiento de reporte y respuesta |
| Capacitación | Formación de empleados |
| Actualización | Revisión periódica de la política |
Modelo de política de uso de inteligencia artificial para una empresa
Una empresa puede utilizar una estructura como la siguiente para elaborar su propia política interna. Debe adaptarse al tamaño de la organización, sector, tipo de información y riesgos específicos.
POLÍTICA INTERNA DE USO DE INTELIGENCIA ARTIFICIAL
1. Objetivo: establecer las reglas para el uso seguro, responsable y adecuado de herramientas de inteligencia artificial dentro de la organización.
2. Alcance: esta política se aplica a trabajadores, directivos, contratistas y terceros autorizados que utilicen IA en actividades relacionadas con la empresa.
3. Herramientas autorizadas: solamente podrán utilizarse las plataformas aprobadas por la organización para actividades laborales.
4. Información restringida: queda prohibido introducir información confidencial, credenciales, secretos empresariales y datos personales en herramientas no autorizadas.
5. Supervisión humana: los resultados generados por IA deberán ser revisados por una persona responsable antes de utilizarse en decisiones o documentos que puedan producir efectos relevantes.
6. Protección de datos: todo uso de IA deberá respetar las obligaciones aplicables en materia de protección de datos personales.
7. Propiedad intelectual: los contenidos generados o modificados mediante IA deberán revisarse antes de su utilización comercial o publicación.
8. Seguridad: los usuarios deberán utilizar las medidas de autenticación, acceso y seguridad establecidas por la empresa.
9. Incidentes: cualquier uso indebido, filtración, error significativo o incidente relacionado con IA deberá comunicarse al responsable correspondiente.
10. Capacitación: los usuarios deberán recibir capacitación sobre las reglas internas y los riesgos asociados al uso de inteligencia artificial.
¿Puede una empresa prohibir ChatGPT a sus empleados?
Una organización puede establecer restricciones internas sobre las herramientas tecnológicas que pueden utilizar sus trabajadores, de acuerdo con sus políticas y obligaciones aplicables.
Sin embargo, una prohibición absoluta puede no ser la única alternativa. Algunas empresas pueden optar por autorizar determinadas herramientas y establecer controles sobre el tipo de información que puede procesarse.
Por ejemplo, una organización puede permitir IA generativa para crear borradores o resumir información pública, pero restringir su uso para documentos confidenciales o datos personales.
¿Qué pasa si un empleado usa IA sin autorización?
La respuesta dependerá de las políticas internas, las circunstancias del caso y las obligaciones legales aplicables.
Por eso es importante que la empresa informe previamente a sus trabajadores qué herramientas están permitidas, qué información está restringida y cuáles son los procedimientos de seguridad.
La política debería estar acompañada de capacitación y mecanismos para resolver dudas antes de que ocurra un incidente.
¿La política de IA debe incluir a los proveedores?
Sí, puede ser conveniente. Si un proveedor externo utiliza inteligencia artificial para prestar servicios a la empresa, el contrato puede establecer obligaciones específicas sobre seguridad, confidencialidad, datos personales, propiedad intelectual, incidentes y subcontratación.
Esto es especialmente importante cuando el proveedor tendrá acceso a información de clientes, trabajadores, operaciones o documentación empresarial.
Checklist para saber si tu empresa necesita una política de IA
Evalúa rápidamente tu situación
Pasos para implementar una política de IA en una empresa
Realizar un inventario
Identifica qué herramientas de IA utilizan actualmente los trabajadores y qué áreas las utilizan.
Clasificar la información
Determina qué información es pública, interna, confidencial, personal o especialmente sensible.
Evaluar riesgos
Analiza privacidad, seguridad, propiedad intelectual, sesgos, errores y posibles impactos.
Definir herramientas autorizadas
Establece qué plataformas pueden utilizarse y bajo qué condiciones.
Crear reglas de uso
Define qué pueden hacer los trabajadores con IA y qué actividades requieren autorización previa.
Capacitar al personal
Explica las reglas mediante capacitación práctica y ejemplos de situaciones reales.
Supervisar y actualizar
Revisa periódicamente la política porque las herramientas, riesgos y usos de IA evolucionan rápidamente.
Errores frecuentes al crear una política de IA
- Prohibir todas las herramientas sin analizar los usos concretos.
- Permitir cualquier herramienta sin controles.
- No definir qué información es confidencial.
- Ignorar la protección de datos personales.
- No revisar los resultados generados por IA.
- No capacitar a los trabajadores.
- No controlar proveedores externos.
- No establecer un procedimiento para reportar incidentes.
- No actualizar la política cuando aparecen nuevas herramientas.
¿Cada cuánto debería actualizarse una política de inteligencia artificial?
No existe una única frecuencia que sea adecuada para todas las empresas. La revisión debería realizarse periódicamente y también cuando se produzcan cambios importantes en las herramientas, procesos internos, legislación o riesgos identificados.
Una empresa que utiliza IA de forma intensiva puede necesitar revisiones más frecuentes que una organización que únicamente emplea herramientas generativas para tareas administrativas.
Conclusión
Una política de IA debe ser práctica, no solamente un documento
La política de uso de inteligencia artificial para empresas debe establecer reglas claras sobre herramientas autorizadas, información que puede procesarse, protección de datos, seguridad, propiedad intelectual, supervisión humana y responsabilidades.
En Perú, este trabajo debe considerar el marco establecido por la Ley N.° 31814 y su reglamento, además de las normas aplicables a protección de datos personales, propiedad intelectual, relaciones laborales, seguridad de la información y otras áreas según la actividad de cada empresa.
La mejor política no necesariamente es la que contiene más prohibiciones. Es aquella que permite a los trabajadores utilizar la inteligencia artificial de forma productiva mientras establece controles proporcionales a los riesgos de cada uso.
Preguntas frecuentes sobre la política de IA para empresas
Es un documento interno que establece las reglas que deben seguir los trabajadores y otros usuarios cuando utilizan herramientas de inteligencia artificial en actividades relacionadas con la empresa.
La decisión depende de las necesidades y riesgos de cada organización. Una empresa puede autorizar determinadas herramientas bajo reglas sobre privacidad, seguridad, información confidencial y supervisión humana.
Antes de hacerlo deben evaluarse las obligaciones de protección de datos, confidencialidad, condiciones del proveedor, configuración de la herramienta y medidas de seguridad. Una política interna debería establecer qué información puede procesarse y bajo qué condiciones.
Puede establecer restricciones específicas para información confidencial y determinar qué herramientas están autorizadas para procesarla. Lo importante es definir claramente las categorías de información y los controles aplicables.
Depende de la estructura de cada empresa. Puede involucrar a dirección, legal, tecnología, seguridad de la información, recursos humanos y, cuando corresponda, responsables de protección de datos y otras áreas especializadas.
Sí. La capacitación ayuda a que los trabajadores conozcan las herramientas autorizadas, las restricciones sobre información, los riesgos y los procedimientos para reportar incidentes.
Contenido informativo y educativo. La política interna de cada empresa debe adaptarse a su actividad, estructura, información procesada, contratos y obligaciones legales aplicables.