Norma de uso de la IA en tu empresa
Cada vez que alguien pega un texto o sube un archivo a un asistente de IA, esa información sale de tu control. Decide qué puede entrar, en qué herramienta y con qué reglas, y déjalo escrito en cuatro líneas.
3 min de lectura
Puedes adaptarlo a tu empresa. También puedes imprimir esta página o guardarla como PDF desde tu navegador.
Qué información puede entrar en una IA
- Pública o genérica (un texto para la web, una duda general): sí, en una herramienta autorizada y sin añadir datos internos que no hagan falta.
- Crítica para operar (pedidos, trazabilidad, datos del ERP): solo en una herramienta autorizada, con la cuenta corporativa, lo justo para la tarea y con revisión humana.
- Confidencial de negocio (recetas, procesos, tarifas, listados de clientes): nunca en servicios no autorizados ni en cuentas personales.
- Datos personales (nóminas, socios, temporeros, contactos): no, salvo herramienta autorizada para ese tratamiento; anonimiza nombres, DNI, cuentas y cifras.
Cinco comprobaciones antes de autorizar una herramienta
- ¿Está autorizada y se usa con cuenta de empresa, no personal?
- ¿Qué puede ver? Un asistente conectado al correo o a las carpetas ve lo que ve la persona que lo usa.
- ¿Usa nuestras conversaciones para entrenar, cuánto tiempo las guarda y dónde las trata? En muchos servicios gratuitos ese uso viene activado y hay que desactivarlo.
- ¿Trata datos personales por cuenta de la empresa? Entonces necesitamos contrato de encargado del tratamiento (RGPD, art. 28).
- ¿Quién revisa la respuesta? La IA puede inventar cifras, artículos de una ley o plazos con total seguridad.
Cuando el documento da órdenes
Un correo, un PDF o una página web pueden esconder instrucciones que la IA obedece al resumirlos (inyección de instrucciones), y unos datos alterados hacen que sus respuestas salgan sesgadas o falsas. La IA resume; una persona verifica.
- Trato como no fiable todo contenido que llega de fuera, también cuando me lo resume una IA.
- Ninguna IA ejecuta pagos, envíos, cambios de cuenta ni borrados sin la confirmación de una persona.
- El asistente tiene solo los permisos imprescindibles: si no necesita leer el correo o la carpeta de nóminas, no se conectan.
- Cualquier cambio de cuenta o pago urgente se verifica por un segundo canal, diga lo que diga el resumen.
La norma, en cuatro líneas
- Solo IA autorizada, con cuenta de empresa, configurada para no usar nuestros datos para entrenar y con un responsable que la revise.
- Nada confidencial ni datos personales sin autorización, y siempre lo mínimo o anonimizado.
- Toda respuesta la revisa una persona antes de enviar, publicar o registrar nada.
- La IA propone y las personas deciden: ningún asistente envía, paga, cambia cuentas o borra sin confirmación humana.
Formar al equipo también lo pide la ley
Una empresa que usa IA en su trabajo es responsable del despliegue según el Reglamento europeo de Inteligencia Artificial (Reglamento (UE) 2024/1689), cuyo artículo 4 le pide medidas de alfabetización en IA de su personal. Empieza por algo sencillo: esta norma escrita y diez minutos de explicación al equipo.