Respuesta breve: una política de uso de la IA indica a sus empleados qué herramientas de IA pueden usar, qué información no deben introducir nunca en ellas, cuándo una persona tiene que revisar el resultado y a quién llamar cuando algo sale mal. La plantilla gratuita (documento Word) enlazada arriba ofrece todo eso a las empresas medianas españolas, adaptado al Reglamento Europeo de IA y al RGPD, y lista para adaptar.
La carencia más habitual que veo en las empresas del mid-market no es la falta de IA. Es que los empleados ya la usan, a menudo con cuentas personales, sin reglas sobre los datos de la empresa o de los clientes. Una política lo resuelve deprisa, y es lo primero que pongo en marcha como Fractional Chief AI Officer.
He escrito esta plantilla para empresas españolas de entre 50 y 500 personas, aproximadamente. Es lo bastante completa para cubrir lo importante y lo bastante breve para que la gente la lea.
Es información general, no asesoramiento jurídico. Adapte la plantilla con sus asesores jurídicos, su delegado de protección de datos y sus responsables de seguridad antes de aprobarla.
Por qué tener una política de uso de la IA
Ninguna norma española exige un documento con ese nombre, pero el marco legal ya está ahí. El Reglamento Europeo de IA se aplica directamente a cualquier empresa que use IA, a la que llama «responsable del despliegue». Desde el 2 de febrero de 2025 prohíbe determinadas prácticas, como inferir las emociones de las personas en el lugar de trabajo, y obliga a adoptar medidas para apoyar la alfabetización en IA del personal que usa estos sistemas. El Ómnibus digital sobre IA de julio de 2026 suavizó ese deber, que ya no exige garantizar un nivel concreto, pero lo mantuvo. Desde el 2 de agosto de 2026 se aplican también las obligaciones de transparencia, como identificar los chatbots y etiquetar los deepfakes.
A eso se suman normas que ya conoce. El RGPD se aplica a cualquier uso de la IA con datos personales, incluido el derecho de las personas a no ser objeto de decisiones basadas únicamente en un tratamiento automatizado con efectos significativos (artículo 22). El Estatuto de los Trabajadores da al comité de empresa derecho a conocer los algoritmos que afectan a las condiciones de trabajo (artículo 64.4.d). Una política es la forma de convertir esas obligaciones en reglas que los empleados puedan seguir un martes cualquiera con mucho trabajo.
Hay además dos fechas a la vista. El 2 de diciembre de 2026 entra en vigor una nueva prohibición: los sistemas que generan imágenes o vídeos íntimos o sexualmente explícitos de una persona identificable sin su consentimiento. Y el 2 de diciembre de 2027 se aplican las obligaciones de los sistemas de alto riesgo del anexo III, que incluyen la IA para seleccionar personal, evaluar a empleados, evaluar la solvencia de clientes o fijar precios de seguros de vida y salud. Quien use IA para esas tareas tendrá que usarla según las instrucciones del proveedor, asignar supervisión humana competente, conservar los registros e informar a los trabajadores y a las personas afectadas. No podrá hacerlo si no sabe dónde se está usando la IA.
En cuanto a la ley española, el Gobierno aprobó en mayo de 2026 el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, pero el proyecto caducó con la disolución de las Cortes el 6 de octubre de 2026 y tendrá que volver a presentarse. No hace falta esperarla: el Reglamento europeo ya se aplica, y la plantilla prevé que la política se revise cuando se apruebe la ley.
Qué incluye la plantilla
La plantilla tiene 17 secciones breves y un bloque de firmas. Sustituya todo lo que aparece [entre corchetes] por sus propios datos. Estas son las partes que hacen la mayor parte del trabajo.
Funciones. Un responsable ejecutivo responde del uso de la IA, normalmente el consejero delegado o el director general. Un responsable de IA aplica la política en el día a día. Cada sistema de IA tiene su propio responsable, recursos humanos coordina la información a la representación de los trabajadores y el consejo recibe un informe periódico. Si nadie de la alta dirección tiene tiempo para esto, ese es el primer problema que hay que resolver.
Herramientas aprobadas. Los empleados solo pueden usar las herramientas de una lista aprobada, con cuentas de la empresa. Las herramientas nuevas, y los usos nuevos de las existentes, pasan por una solicitud sencilla. Hay tres niveles de aprobación: riesgo bajo, que aprueba el responsable de IA; riesgo medio, que requiere comprobaciones de protección de datos y seguridad; y riesgo alto, como cualquier uso que implique decisiones sobre personas, que requiere la firma del responsable ejecutivo y, si es un sistema de alto riesgo según el Reglamento, el cumplimiento del artículo 26. Las funciones de IA que aparecen dentro del software que ya paga cuentan como herramientas nuevas.
Usos prohibidos. Una cláusula recoge en lenguaje sencillo las prácticas prohibidas por el artículo 5 del Reglamento que pueden darse en una empresa: inferir emociones en el trabajo, la puntuación social, la manipulación, la categorización biométrica de datos sensibles y los deepfakes sexuales sin consentimiento.
Un semáforo para los datos. Es la sección que más usarán los empleados:
- Verde: información pública o no sensible. Permitida en cualquier herramienta aprobada.
- Ámbar: información interna o confidencial, o datos personales limitados. Solo en herramientas corporativas aprobadas, para una finalidad aprobada, con base jurídica y cuando los contratos con clientes lo permitan.
- Rojo: categorías especiales de datos del RGPD, DNI, NIE y número de la Seguridad Social, datos bancarios, contraseñas y claves API, asesoramiento jurídico confidencial, información privilegiada y datos de clientes cuando el contrato lo prohíbe. Nunca, sin autorización por escrito.
Revisión humana. Usted responde de todo lo que elabora con IA, igual que si lo hubiera hecho sin ella. El nivel de revisión se ajusta a lo que está en juego, y la IA nunca toma una decisión definitiva que afecte de forma significativa a una persona sin que alguien la revise, en línea con el artículo 22 del RGPD.
Transparencia. Los chatbots se identifican como IA, los deepfakes se etiquetan, los clientes saben cuándo la IA toma o fundamenta una decisión sobre ellos y cualquier persona afectada puede hablar con una persona. El comité de empresa conoce los algoritmos que afectan a las condiciones de trabajo.
Protección de datos. La plantilla aplica el RGPD y la LOPDGDD: base jurídica, minimización, registro de actividades de tratamiento, contratos de encargo con los proveedores, cláusulas informativas que explican las decisiones automatizadas y evaluación de impacto antes de los usos de riesgo alto. Sigue también la recomendación de la AEPD, en su decálogo de enero de 2026, de no compartir datos personales con herramientas de IA.
Seguridad, propiedad intelectual y trato justo. Nada de complementos o agentes de IA sin aprobar conectados a los sistemas de la empresa, cuidado con el código generado por IA, comprobaciones antes de publicar resultados de la IA con fines comerciales y pruebas para detectar resultados injustos antes de usar la IA en decisiones sobre personas.
El registro de IA. Un registro sencillo de cada herramienta y uso aprobados: qué hace, quién es el responsable, cómo se clasifica según el Reglamento, qué datos usa y cómo puede corregirlo una persona. Basta con una hoja de cálculo.
Incidentes, formación, incumplimientos y revisión. Un cauce claro para comunicar errores, sin sanción por un error de buena fe comunicado a tiempo, con la notificación a la AEPD en 72 horas cuando haya una brecha de datos personales. Formación en un plazo de 30 días, que sirve también como medida de alfabetización en IA. Un canal para denunciar incumplimientos a través del sistema interno de información. Una revisión anual, o antes si cambia algo significativo.
La plantilla está pensada para complementar las guías de la AESIA, las orientaciones de la AEPD y sus políticas de privacidad y seguridad. No las sustituye.
Cómo implantarla en 30 días
Una política solo funciona si la gente sabe que existe. Esta es la implantación que propondría a una empresa mediana.
Semana 1: averiguar qué está pasando. Designe al responsable ejecutivo y al responsable de IA. Haga una encuesta breve, sin buscar culpables, para saber qué herramientas de IA usan los empleados y para qué. Compruebe qué plataformas de software que ya utiliza han activado funciones de IA. Casi siempre encontrará más de lo que esperaba.
Semana 2: decidir las reglas. Elija la herramienta o las dos herramientas que va a aprobar, a ser posible versiones empresariales sin entrenamiento con sus datos. Rellene la plantilla, empezando por la lista de herramientas aprobadas y el semáforo. Revise los contratos con clientes por si limitan el uso de la IA. Pida a su delegado de protección de datos que revise las secciones 5 y 8, y a recursos humanos que identifique cualquier uso que afecte a las condiciones de trabajo.
Semana 3: aprobar y preparar. Haga que el responsable ejecutivo apruebe la política y llévela al consejo o a la comisión de auditoría. Abra el registro de IA con lo que encontró en la semana 1 y marque los usos que puedan ser de alto riesgo. Informe al comité de empresa de los algoritmos que le correspondan. Configure las cuentas de empresa y planifique cómo retirar las cuentas personales.
Semana 4: lanzar y formar. Organice una sesión breve para todo el personal, con ejemplos reales de su empresa, y pida a todos que firmen el acuse de recibo. Entregue a los mandos un resumen de una página. Después, agende la primera revisión para dentro de tres meses y revise sus cláusulas informativas de protección de datos.
No espere a la perfección. Una política clara y breve en marcha este mes es mejor que una exhaustiva dentro de seis, mientras el personal sigue trabajando sin reglas.
Dónde encaja
Una política de uso de la IA es uno de los cuatro elementos básicos con los que propongo empezar a cualquier empresa mediana, junto con un responsable con nombre y apellidos, un registro de IA y una revisión de riesgos antes de poner en marcha cualquier uso nuevo. Mi checklist de gobernanza de la IA para el consejo cubre el resto, en forma de preguntas que el consejo debería hacer.
La política también debe facilitar la ejecución, no frenarla. Los equipos dudan cuando no saben qué está permitido, y asumen riesgos cuando nadie lo ha dicho. Unas reglas claras sobre qué se introduce y quién revisa lo que sale son lo que le permite ir más rápido. Eso importa todavía más cuando la IA empieza a realizar acciones en lugar de limitarse a redactar, como explico en IA agéntica en el mid-market.
Para ver dónde está su empresa en gobernanza y en las otras cuatro áreas de madurez en IA, haga mi AI Readiness Scorecard gratuito. Se tarda unos cinco minutos. Si quiere ayuda para adaptar la política y llevar la IA a producción de forma segura, trabajo con equipos directivos del mid-market como Fractional Chief AI Officer, un directivo a tiempo parcial en la línea del interim management, siempre en inglés. También puede ponerse en contacto conmigo para hablarlo.
Preguntas frecuentes
¿Es obligatorio en España tener una política de uso de la IA?
Ninguna norma exige un documento con ese nombre. Pero el Reglamento Europeo de IA obliga a toda empresa que use IA a adoptar medidas de alfabetización en IA para su personal y le prohíbe determinadas prácticas desde el 2 de febrero de 2025, y el RGPD y el Estatuto de los Trabajadores se aplican a cualquier uso de la IA. Una política breve, con formación, es la forma más sencilla de cumplirlo y de demostrarlo.
¿Pueden los empleados usar ChatGPT u otras herramientas de IA gratuitas en el trabajo?
Es una decisión de la empresa, pero fije antes las reglas. La AEPD recomienda no compartir datos personales con la IA y, en el trabajo, respetar las políticas de la organización. La mayoría de las empresas medianas aprueban la versión empresarial de una o dos herramientas y limitan las cuentas gratuitas a información pública.
¿Qué extensión debe tener una política de uso de la IA?
La suficiente para cubrir lo esencial y lo bastante breve para que la gente la lea. En una empresa de 50 a 500 personas suelen bastar unas pocas páginas, una lista de herramientas aprobadas y un registro de IA. Puede añadir detalle a medida que crezca el uso.
¿Hay que informar al comité de empresa del uso de la IA?
Sí, cuando la IA afecta a las personas trabajadoras. El artículo 64.4.d) del Estatuto de los Trabajadores da al comité de empresa derecho a conocer los parámetros, reglas e instrucciones de los algoritmos o sistemas de IA que afectan a las condiciones de trabajo y al acceso y mantenimiento del empleo, incluida la elaboración de perfiles. Si el sistema es de alto riesgo, el Reglamento Europeo de IA exige además informar a los representantes y a los trabajadores afectados antes de usarlo.
¿En qué se diferencia esta plantilla de las guías de la AESIA?
Las 16 guías de la AESIA, elaboradas en el entorno español de pruebas regulatorias, explican sobre todo los requisitos técnicos del Reglamento, como la gestión de riesgos, la supervisión humana o la documentación técnica. Mi plantilla es más breve y práctica, una política para todo el personal de una empresa mediana, con un semáforo de datos, tres niveles de aprobación y los usos prohibidos ya redactados. Son complementarias.
