Una política de uso de IA le dice a tu plantilla qué herramientas puede usar, con qué datos y con qué límites. Ninguna norma la exige con ese nombre, pero es la forma más sencilla de demostrar que has tomado medidas de alfabetización en IA (artículo 4 del Reglamento (UE) 2024/1689), de evitar filtraciones que acaben en la Agencia Española de Protección de Datos y de tener algo que enseñar si pregunta la Inspección de Trabajo o AESIA. Aquí tienes diez apartados con redacción orientativa para adaptarlos en una tarde.
Antes de redactar: el inventario
No escribas la política sin saber qué IA usa ya tu empresa. La lista de herramientas aprobadas, los datos tratados y el responsable de cada una salen del inventario de sistemas de IA. Si no lo tienes, empieza por ahí.
Los diez apartados, con redacción orientativa
Cada apartado lleva una explicación breve y, en cita, un texto de partida para copiar y ajustar. Sustituye lo que va entre corchetes.
1. Alcance. Define a quién obliga y qué cuenta como IA. Incluye a externos y becarios, y no limites la definición a ChatGPT: las funciones integradas en el CRM o el software de RRHH también cuentan.
Esta política se aplica a todas las personas que trabajan en o para [empresa], incluidas las temporales, en prácticas y los colaboradores externos con acceso a sistemas de la empresa. Es herramienta de IA cualquier programa o función que genere texto, imágenes, audio, vídeo o código, o que proponga o tome decisiones a partir de datos, aunque esté integrada en otro software.
2. Herramientas aprobadas. Enumera las herramientas y planes concretos contratados con contrato de encargado del tratamiento. Lo que no esté en la lista queda fuera, incluidas las versiones gratuitas de las mismas herramientas.
Solo pueden usarse para tareas de la empresa las herramientas del anexo I, en el plan indicado y con la cuenta corporativa asignada: [ChatGPT Team, Microsoft 365 Copilot, …]. Las versiones gratuitas o personales de estas u otras herramientas no están autorizadas para tratar información de la empresa.
3. Datos que nunca se suben. El apartado más importante para el RGPD. El detalle jurídico está en la guía sobre ChatGPT, Copilot y RGPD.
Nunca se introducirán en ninguna herramienta de IA, aprobada o no: datos de salud, afiliación sindical u otras categorías especiales; datos bancarios; contraseñas; documentos confidenciales o sujetos a acuerdos de confidencialidad con terceros. Los datos personales de clientes, empleados o candidatos solo pueden tratarse en las herramientas aprobadas y para la finalidad prevista en el inventario.
4. Revisión humana. La IA propone, una persona decide. Conecta con el artículo 22 del RGPD y con el artículo 26 del Reglamento de IA, que desde el 2 de diciembre de 2027 exigirá supervisión humana competente en los sistemas de alto riesgo.
Ningún resultado generado por IA se enviará a un cliente, se publicará o servirá de base para una decisión sin revisión de una persona competente. Las decisiones que afecten a personas (contratación, evaluación, turnos, retribución, extinción, crédito) las toma siempre una persona, que puede apartarse de la propuesta del sistema y debe poder explicar por qué la ha seguido o no.
5. Transparencia con clientes y público. Recoge el artículo 50, aplicable desde el 2 de agosto de 2026: avisar cuando se habla con un chatbot, etiquetar deepfakes y los textos generados por IA publicados sobre asuntos de interés público sin revisión editorial.
Cuando un cliente interactúe con un asistente automático se le informará de forma clara al inicio. Las imágenes, audios o vídeos generados o manipulados con IA que puedan parecer reales se etiquetarán antes de publicarse. Los textos generados por IA publicados para informar sobre asuntos de interés público indicarán su origen, salvo revisión editorial de una persona responsable.
Si el chatbot lleva tu marca, puedes ser proveedor. El artículo 25 del Reglamento de IA prevé que quien pone su nombre en un sistema ajeno o lo modifica sustancialmente asuma las obligaciones de proveedor, incluida la del artículo 50.1. Antes de «rebrandear» un asistente, pregunta al proveedor cómo la cumple y déjalo por escrito.
6. Propiedad intelectual. Dos direcciones: no introducir obras de terceros sin derecho a hacerlo y no publicar contenidos generados sin revisar, sobre todo en marca y publicidad.
No se introducirán en herramientas de IA materiales de terceros protegidos por derechos de autor salvo licencia para ese uso. Los contenidos generados que se usen en productos, marca o comunicación pública se revisarán para no reproducir obras identificables de terceros, conservando los prompts y versiones relevantes.
7. Seguridad de cuentas. Muchas filtraciones vienen de cuentas compartidas o extensiones de navegador.
Las herramientas aprobadas se usan con la cuenta corporativa individual, con verificación en dos pasos y sin compartir credenciales. No se instalarán extensiones o agentes con acceso a correo, archivos o sistemas de la empresa sin autorización de [responsable]. Al terminar la relación laboral, los accesos se dan de baja el mismo día.
8. Formación y registro. Aquí la política se convierte en evidencia del artículo 4. Las preguntas y respuestas de la Comisión Europea aclaran que no hace falta certificado: basta un registro interno de formaciones e iniciativas.
Toda persona que use herramientas de IA recibirá una formación inicial sobre esta política y las herramientas aprobadas, y una actualización al menos anual o cuando se incorpore una herramienta nueva. [Responsable] mantiene un registro con fecha, contenido y asistentes de cada formación.
9. Incidentes. Alguien subirá un dato que no debía; lo que importa es que lo cuente rápido, porque una brecha puede exigir notificación a la AEPD en 72 horas (art. 33 RGPD).
Si alguien introduce por error información no autorizada en una herramienta de IA, o detecta un resultado erróneo con efectos sobre una persona, lo comunicará de inmediato a [responsable], que valorará si procede borrar el contenido, informar a los afectados o notificar a la AEPD. Comunicar un incidente a tiempo no tendrá consecuencias disciplinarias.
10. Aprobación de nuevas herramientas. Cierra la puerta al «shadow AI» con un camino rápido para pedir herramientas. Si tarda tres meses, la gente seguirá usando la versión gratuita.
Cualquier persona puede proponer una herramienta a [responsable] indicando para qué la necesita y qué datos trataría. Antes de aprobarla se comprobará el plan y el contrato de encargado, si decide o propone sobre personas y qué obligaciones activa, y se añadirá al inventario. La respuesta se dará en [15] días como máximo.
Cómo aprobarla y comunicarla
La aprueba la dirección, con fecha y firma. Si hay comité de empresa o delegados de personal, infórmales antes: el artículo 64.4.d del Estatuto de los Trabajadores les da derecho a conocer los algoritmos que afectan a las condiciones de trabajo, y la política es el sitio natural para explicárselo.
Comunícala con acuse de recibo (firma, correo con confirmación o plataforma de RRHH), inclúyela en el paquete de bienvenida y acompáñala de una sesión de media hora con ejemplos reales. Esa sesión, con su lista de asistentes, es la primera entrada del registro de formación. Revísala cada año o cuando cambie el inventario.
Relación con el artículo 4 y con el RD 723/2026
El artículo 4 del Reglamento de IA se aplica desde el 2 de febrero de 2025 a cualquier empresa que use IA y, tras el Digital Omnibus de julio de 2026, pide «tomar medidas para apoyar» la alfabetización del personal. No tiene multa directa en la lista del artículo 99, pero la supervisión nacional está activa desde el 3 de agosto de 2026 y el proyecto de ley orgánica española, todavía en el Congreso a 15 de septiembre de 2026, lo encaja como infracción leve. Una política aprobada, comunicada y con formación registrada es hoy la prueba más sencilla de cumplimiento.
El Real Decreto 723/2026 va por otro lado: desde el 5 de octubre de 2026 obliga a informar por escrito a cada trabajador de los sistemas algorítmicos que decidan o propongan sobre sus condiciones de trabajo. La política no sustituye ese anexo individual, pero el apartado de revisión humana y el inventario son la base para redactarlo.
Checklist
- Termina o actualiza el inventario de sistemas de IA.
- Adapta los diez apartados y rellena los corchetes.
- Comprueba que cada herramienta del anexo I tiene contrato de encargado.
- Informa a los representantes de los trabajadores, si los hay, y aprueba la política con firma y fecha.
- Comunícala con acuse de recibo, da la sesión de media hora y anótala en el registro de formación.
- Fija la revisión anual en el calendario.
Si no sabes qué obligaciones activa cada herramienta de tu anexo I, el diagnóstico gratuito de Gobernaia te las señala en tres minutos.
Preguntas relacionadas
- ¿Es obligatorio formar a mis empleados en IA?
- ¿Tengo que avisar de que mi chatbot es una IA?
- Cláusula de IA para contratos con proveedores
Fuentes
- Reglamento (UE) 2026/1744 (Digital Omnibus de IA), que modifica el Reglamento (UE) 2024/1689
- Comisión Europea: preguntas y respuestas sobre alfabetización en IA (art. 4)
- Comisión Europea: obligaciones de transparencia del art. 50
- Real Decreto 723/2026, de 9 de septiembre (BOE 15-09-2026)
- Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA (BOCG 12-06-2026)
- AEPD: Adecuación al RGPD de tratamientos que incorporan inteligencia artificial
Última revisión: 15 de septiembre de 2026. Esta guía es informativa y no sustituye el asesoramiento jurídico.