Ir al contenido
Optim-AI

Gobernanza de la IA

Política de uso de la IA en la empresa: plantilla comentada

Actualizado a 10 de octubre de 2026. Una política de uso de la IA es un documento interno breve. Indica qué herramientas utilizar, qué datos no introducir nunca en ellas, quién revisa los resultados y a quién plantear una pregunta. La CNIL, la autoridad francesa de protección de datos, recomienda este tipo de política, que precisa los usos autorizados y prohibidos. La plantilla siguiente no es un modelo para copiar: adapte cada apartado a sus herramientas, sus datos y su plantilla de personal. Haga revisar el texto final por un abogado laboralista antes de difundirlo.

Por qué

Por qué una política

Es probable que sus equipos ya utilicen herramientas de IA. Prohibirlas no resuelve nada: el uso pasa a ser clandestino y, por tanto, deja de estar bajo control.

Desde el 27 de julio de 2026, el artículo 4 del Reglamento Europeo de IA exige a las empresas que utilizan estas herramientas adoptar medidas para que sus equipos las comprendan, sin un nivel garantizado ni un certificado. Una política explicada forma parte de esas medidas.

Por último, la empresa sigue siendo responsable. La CNIL recuerda que la organización usuaria responde en general del mal uso por parte de su personal.

La plantilla

La plantilla, apartado por apartado

  1. 1. Objeto, ámbito de aplicación y definiciones

    Qué se escribe
    A quién se aplica la política: empleados, trabajadores temporales, proveedores que trabajan para usted. Qué herramientas abarca.
    Ejemplo de redacción
    Esta política se aplica a toda persona que utilice, por cuenta de la empresa, una herramienta capaz de producir texto, imágenes, código o un análisis a partir de una solicitud.
    Error que evitar
    Olvidar a los proveedores. El Reglamento Europeo también se refiere a las personas que utilizan estas herramientas por cuenta de usted.

  2. 2. Herramientas autorizadas y herramientas prohibidas

    Qué se escribe
    La lista nominativa de las herramientas autorizadas, con el tipo de cuenta: profesional o de consumo. La regla para cualquier herramienta que no figure en la lista.
    Ejemplo de redacción
    Solo están autorizadas las herramientas que figuran en el anexo, con la cuenta facilitada por la empresa. Para cualquier otra herramienta, dirija su solicitud al referente antes de utilizarla.
    Error que evitar
    Incluir la lista en el cuerpo del texto. Las herramientas cambian rápido: póngala en un anexo.

  3. 3. Datos que nunca se introducen en una herramienta

    Qué se escribe
    Las categorías excluidas, con un ejemplo concreto de cada una: datos personales de clientes o empleados, datos de salud, secretos empresariales, documentos sujetos a un compromiso de confidencialidad.
    Ejemplo de redacción
    Introduzca en una herramienta únicamente información que esté autorizado a compartir. En caso de duda, elimine los nombres y las cifras, o consulte al referente.
    Error que evitar
    Una regla abstracta («los datos sensibles»). Dé ejemplos de su actividad: un contrato de cliente, una nómina.

  4. 4. Usos reservados o prohibidos

    Qué se escribe
    Los usos que requieren una autorización previa y los que quedan excluidos. Por ejemplo: cualquier decisión que afecte a una persona, como la criba de candidaturas o la evaluación de un empleado.
    Ejemplo de redacción
    Ninguna herramienta de IA toma por sí sola una decisión que afecte a un empleado, un candidato o un cliente.
    Error que evitar
    Pasar por alto estos casos. La criba de candidaturas está clasificada como de alto riesgo por el Reglamento Europeo, con obligaciones reforzadas a partir del 2 de diciembre de 2027.

  5. 5. Revisión humana y responsabilidad

    Qué se escribe
    Quién revisa qué, según lo que esté en juego. La regla que no cambia: el autor de un documento sigue siendo responsable de él, sea cual sea la herramienta utilizada.
    Ejemplo de redacción
    Todo contenido elaborado con ayuda de una herramienta y destinado al exterior es revisado por una persona que asume su contenido.
    Error que evitar
    Exigir que se revise todo. La regla se vuelve inaplicable. Clasifique los usos según lo que esté en juego.

  6. 6. Propiedad y confidencialidad de los contenidos

    Qué se escribe
    Las condiciones de los proveedores elegidos: ¿se utilizan sus datos para entrenar sus modelos? ¿Dónde se almacenan los intercambios?
    Ejemplo de redacción
    Los contenidos elaborados en el marco del trabajo pertenecen a la empresa en las mismas condiciones que cualquier otro documento de trabajo.
    Error que evitar
    Prometer una protección que el contrato del proveedor no prevé. El régimen de derechos sobre un contenido producido por una IA no está consolidado.

  7. 7. Transparencia frente a los clientes

    Qué se escribe
    Lo que usted dice a los clientes sobre el uso de la IA. Los casos en que se necesita su consentimiento, por ejemplo antes de tratar sus documentos.
    Ejemplo de redacción
    Antes de tratar con una herramienta de IA un documento facilitado por un cliente, compruebe que el contrato lo permite.
    Error que evitar
    Olvidar sus compromisos existentes: algunos contratos ya prohíben la transmisión a terceros. Desde el 2 de agosto de 2026, el Reglamento Europeo también obliga a señalar los contenidos manipulados («deepfakes») que usted difunde.

  8. 8. Referente y circuito de preguntas

    Qué se escribe
    El nombre del referente, cómo contactarle, su plazo de respuesta. Cómo señalar un error o un incidente sin temor a sanciones.
    Ejemplo de redacción
    Cualquier pregunta sobre una herramienta o un uso se dirige a [nombre del referente], que responde en un plazo de [plazo]. Señalar un error nunca se sanciona.
    Error que evitar
    Designar un comité. Una persona designada responde. Un comité deriva la pregunta.

  9. 9. Formación y familiarización

    Qué se escribe
    Lo que la empresa pone en marcha para que cada persona comprenda las herramientas: funcionamiento, límites, reglas de la política.
    Ejemplo de redacción
    Cada usuario asiste a una presentación de las herramientas autorizadas y de esta política antes de su primer uso.
    Error que evitar
    Hablar de «formación obligatoria». El Reglamento Europeo exige medidas, no un certificado. Conserve una constancia escrita de lo que se ha hecho.

  10. 10. Revisión de la política

    Qué se escribe
    Quién revisa la política, con qué periodicidad y en qué ocasiones: nueva herramienta, incidente, cambio en la ley.
    Ejemplo de redacción
    La política la revisan cada año el referente y la dirección. El anexo de herramientas se actualiza con cada cambio.
    Error que evitar
    Modificar el cuerpo de la política sin volver a seguir el procedimiento que la hizo aplicable.

Procedimiento

Hacer aplicable la política

Una política difundida por correo electrónico informa. Por sí sola, no permite sancionar un incumplimiento.

Informar a los empleados, en todos los casos. Sea cual sea la plantilla, no puede recogerse ninguna información que concierna personalmente a un empleado mediante un dispositivo del que no tenga conocimiento previo (artículo L1222-4 del Código de Trabajo francés). Si usted controla el uso de las herramientas, indíquelo en la política.

Consultar al CSE. En las empresas de al menos 50 empleados, el comité social y económico (CSE, el órgano de representación del personal) es informado y consultado sobre la introducción de nuevas tecnologías (artículo L2312-8). Consúltelo antes del despliegue de herramientas de IA, no después. Por debajo de ese umbral, la información previa a los empleados sigue siendo obligatoria.

Incorporar la política al reglamento interno. El reglamento interno (règlement intérieur) es obligatorio a partir de 50 empleados (artículo L1311-2). Un documento que contenga obligaciones generales y permanentes puede tratarse como una adición al reglamento interno y seguir el mismo procedimiento (artículo L1321-5). Este procedimiento es el siguiente (artículo L1321-4):

  • el dictamen del CSE;
  • la comunicación a la inspección de trabajo, junto con ese dictamen;
  • una entrada en vigor al menos un mes después de haberla dado a conocer a los empleados.

Desde la ley del 26 de mayo de 2026, el depósito en la secretaría del tribunal laboral (conseil de prud'hommes) ya no es una condición para la entrada en vigor.

Haga validar esta opción y el texto final por un abogado laboralista.

Acompañamiento

Lo que hace Optim-AI

En la auditoría. El plan de contramedidas incluye normas de uso de la IA, redactadas para que se lean y listas para incorporarse al reglamento interno. Parten de los usos detectados durante la auditoría. El procedimiento de incorporación sigue siendo suyo.

En una misión de familiarización independiente. Una sesión de dos horas para su comité de dirección, con sus casos reales. Entregamos un informe escrito, los materiales presentados y un breve cuestionario de evaluación antes y después de la sesión. Es una de las medidas posibles en virtud del artículo 4 del Reglamento Europeo, no la única.

Preguntas frecuentes

Las preguntas de los directivos

¿Es obligatoria una política de uso de la IA?
Ningún texto impone una política con ese nombre. En cambio, desde el 27 de julio de 2026, el Reglamento Europeo de IA exige a las empresas que utilizan estas herramientas adoptar medidas para que sus equipos las comprendan. La CNIL recomienda una política interna. Una política explicada y fechada responde a ambas expectativas.
¿Hay que consultar al CSE antes de difundir la política?
En una empresa de al menos 50 empleados, el comité social y económico (CSE) es informado y consultado sobre la introducción de nuevas tecnologías (artículo L2312-8 del Código de Trabajo francés). Si la política se incorpora al reglamento interno, su dictamen también es necesario antes de la entrada en vigor (artículo L1321-4). Por debajo de 50 empleados, estas dos consultas no se aplican en esta forma. En todos los casos, no puede recogerse ninguna información sobre un empleado mediante un dispositivo que no se haya puesto previamente en su conocimiento (artículo L1222-4).
¿Se puede sancionar a un empleado que no respeta la política?
Solo si las normas se han hecho aplicables. En la práctica, hay que incorporarlas al reglamento interno siguiendo su procedimiento. Una política simplemente difundida no basta por sí sola para fundamentar una sanción. Haga verificar este punto por un abogado.
¿Qué incluir primero en una política de IA?
Tres apartados bastan para empezar: la lista de herramientas autorizadas, los datos que nunca se introducen y el nombre de un referente que responde a las preguntas. Una política breve y aplicada protege mejor que un texto completo que nadie lee.

Fuentes

Los textos consultados

Página actualizada a 10 de octubre de 2026. No sustituye el asesoramiento de un abogado laboralista.

Auditoría de IA para pymes y empresas intermediasDetectar los usos reales antes de redactar las normas.El Reglamento Europeo de IA para una pymeLo que exige el Reglamento Europeo, fecha a fecha.Shadow AIDetectar y encuadrar los usos no declarados.Familiarización del comité de direcciónUna sesión de dos horas, con sus casos reales.Riesgos y controlLos cinco riesgos y las cuatro reglas de gobierno.El métodoCómo se integran las normas de uso en el plan de contramedidas.

Siguiente paso

Redactar sus normas de uso a partir de sus usos reales

La primera conversación dura treinta minutos, sin compromiso.

Reservar 30 minutosHacer el test de madurez en IA