Una política de IA en una página

Nota Este artículo describe una estructura básica practicable y no sustituye al asesoramiento jurídico. Si en vuestro caso existen obligaciones adicionales —por el Reglamento de IA, por normas sectoriales o por contratos con clientes— hay que comprobarlo caso por caso.

Lo esencial

Bastan seis apartados en una página: accesos, entradas prohibidas, obligación de verificar, responsabilidad, casos excluidos, persona de contacto.
El apartado más importante es el de los casos excluidos, formulado en concreto y no como advertencia general.
Una prohibición sin un acceso profesional puesto a disposición lleva a accesos privados, no a menos uso.
La política va al principio de la introducción, no al final.

Por qué una página

Un reglamento extenso se aprueba una vez y después ya no se lee. Una página sí se lee de verdad, y solo lo que se lee produce efecto.

La brevedad obliga además a decidir: quien quiere regularlo todo no regula nada de forma vinculante. Seis apartados cubren los casos que de verdad aparecen en el día a día.

Los seis apartados

1. Qué accesos

Accesos profesionales nominales, facilitados por la empresa. Los accesos privados quedan excluidos para fines laborales.

Justificación en el texto: en las tarifas empresariales suele estar excluido el uso de las entradas para el entrenamiento; en las tarifas privadas no siempre.

2. Qué no se introduce

Datos personales de clientes sin base aclarada, credenciales y claves, cifras de negocio no publicadas, documentos bajo acuerdo de confidencialidad.

Concreto en lugar de general: nombrar ejemplos de vuestro día a día, no categorías.

3. Qué se verifica siempre

Todo dato comprobable antes de usarlo: cifras, estudios, referencias legales, plazos, precios, citas, nombres.

Añadido importante: el tono seguro de una respuesta no dice nada sobre su exactitud.

4. Quién responde

Quien publica o envía algo responde del contenido, con independencia de cómo se haya generado. Igual que con cualquier otro texto.

5. Dónde no se emplea en absoluto

Cinco casos concretos de vuestro campo. El apartado más importante y el único que no se puede copiar.

Ejemplos: informaciones jurídicas a clientes sin revisión de un profesional; temas sin conocimiento propio en casa; todo aquello donde un error no se notaría.

6. A quién se pregunta

Una persona nombrada expresamente para dudas y casos límite. Sin esa línea, cada cual decide por su cuenta y de forma distinta.

¿Sabías que…?

El apartado cinco es el único que no se puede tomar de una plantilla, y justo por eso es el más valioso. Exige decidir dónde, en vuestra empresa, un error no se notaría.

Esa pregunta es incómoda porque presupone nombrar los propios puntos ciegos. Pero es el núcleo de cualquier política aprovechable: casi todos los casos problemáticos surgen allí donde nadie tiene la competencia técnica para reconocer una respuesta equivocada como equivocada.

Qué no debe entrar

No incluir	Por qué
Una lista de productos permitidos	queda desfasada en meses; mejor: accesos nominales
Instrucciones de prompting	corresponde a la formación, no a la norma
Explicaciones técnicas del funcionamiento	interesantes, pero no cambian ningún comportamiento
Una prohibición general sin alternativa	lleva a accesos privados en lugar de a menos uso
Obligación de etiquetar cada uso	no se cumple; mejor: nombrar la responsabilidad

Desde la práctica

El error de construcción más frecuente es la cuarta fila: una prohibición sin que haya disponible un acceso profesional utilizable. El resultado nunca es menos uso: es uso a través de accesos privados, sin visión de conjunto y bajo otras condiciones.

Quien se toma en serio la situación de los datos pone primero un acceso a disposición y regula después. El orden es decisivo: acceso, después norma, después formación, no al revés.

La relación con el Reglamento de IA

Para la mayoría de las empresas pequeñas que usan modelos de lenguaje para textos y análisis, del Reglamento de IA no se derivan obligaciones de gran alcance: por regla general son usuarias, no proveedoras de un sistema de IA.

Se vuelve relevante en tres casos: si ofrecéis vosotros mismos un sistema de IA o lo modificáis de forma sustancial, si lo empleáis en un ámbito clasificado como de alto riesgo —por ejemplo en decisiones de personal—, o si operáis sistemas que interactúan directamente con personas. En esos casos la valoración corresponde a un profesional.

Al margen de eso, el Reglamento de IA exige a los usuarios un mínimo de competencia en el manejo, lo que en la práctica habla a favor de la formación que de todos modos hace falta.

Prompt

Ayúdame a formular una política de IA de una página para nuestra
empresa.

Nuestra situación:
- Sector: [dato]
- Personas que usan herramientas de IA: [número y funciones]
- Para qué se van a emplear: [tareas]
- ¿Trabajamos con datos personales? [sí / no / en parte]
- ¿Tenemos clientes con acuerdos de confidencialidad? [sí/no]
- ¿Qué accesos ponemos a disposición? [dato o "todavía
  ninguno"]
- Ámbitos en los que no tenemos competencia propia pero sí
  recibimos preguntas: [lista]

Tareas:
1. Formula los seis apartados: accesos, entradas prohibidas,
   obligación de verificar, responsabilidad, casos excluidos,
   persona de contacto. En conjunto, una página como mucho.
2. Formula el apartado 2 con ejemplos concretos de nuestro
   sector, no con categorías generales.
3. Formula el apartado 5 —dónde no se emplea en absoluto— como
   cinco casos concretos. Usa para ello mi lista de ámbitos sin
   competencia propia.
4. Si todavía no ponemos accesos a disposición: di con claridad
   por qué una norma sin acceso disponible no funciona.
5. Nombra los puntos en los que, por nuestro sector, deberíamos
   recurrir a un profesional.

No inventes artículos de ley ni plazos.

Conclusión

Seis apartados, una página, legible en cinco minutos. Cinco de ellos se formulan en media hora; el sexto —dónde no se emplea en absoluto— exige una mirada honesta a los propios puntos ciegos y es el verdadero valor del documento.

Y el orden cuenta: primero poner a disposición un acceso utilizable, después regular. Una prohibición sin alternativa solo desplaza el uso a donde nadie lo ve.

Preguntas frecuentes

¿Qué debe contener una política de IA?

Seis apartados: qué accesos se usan, qué no se puede introducir, qué hay que verificar siempre, quién responde del contenido publicado, en qué casos concretos no se emplea en absoluto, y a quién se pregunta en los casos límite. Todo junto en una página.

¿Por qué basta con una página?

Porque solo funciona lo que se lee. Un reglamento extenso se aprueba una vez y después ya no se mira. La brevedad obliga además a decidir: quien quiere regularlo todo no regula nada de forma vinculante.

¿Cuál es el apartado más importante?

El de los casos excluidos, porque no se puede tomar de una plantilla. Exige decidir dónde, en la propia empresa, un error no se notaría, y casi todos los casos problemáticos surgen justo allí donde nadie tiene la competencia para reconocer una respuesta equivocada como equivocada.

¿Habría que prohibir sin más las herramientas de IA?

Una prohibición sin un acceso profesional disponible no lleva a menos uso, sino a un uso mediante accesos privados: sin visión de conjunto y bajo otras condiciones, por ejemplo respecto al uso de las entradas para el entrenamiento. Lo sensato es el orden acceso, norma, formación.

¿Qué significa el Reglamento de IA para las empresas pequeñas?

Quien usa modelos de lenguaje para textos y análisis es por regla general usuario y no proveedor, y de ahí no suelen derivarse obligaciones de gran alcance. Se vuelve relevante al ofrecer o modificar sustancialmente un sistema propio, al emplearlo en ámbitos de alto riesgo como las decisiones de personal, y en sistemas con interacción directa con personas. Esos casos corresponden a un profesional.