Su plantilla ya usa IA generativa. La pregunta es con qué reglas
En la mayoría de las empresas la inteligencia artificial no entró por una decisión de dirección, sino por la puerta de atrás: alguien empezó a usarla para redactar un correo, otro para resumir un informe, un tercero para preparar una propuesta. Cuando la dirección se plantea el asunto, el uso ya está extendido y sin ninguna regla.
El problema no es la herramienta. El problema es que, sin instrucciones, cada persona decide por su cuenta qué información introduce en ella.
Qué se está jugando la empresa
- Protección de datos. Introducir datos personales de clientes, pacientes, candidatos o empleados en una herramienta de terceros es una comunicación de datos. Requiere base jurídica, contrato de encargo de tratamiento, análisis de las transferencias internacionales y actualización del registro de actividades. Hacerlo sin nada de eso es una infracción del RGPD.
- Secreto empresarial. La Ley 1/2019 protege la información empresarial siempre que se hayan adoptado medidas razonables para mantenerla secreta. Si la plantilla vuelca presupuestos, listados de clientes o condiciones contractuales en herramientas abiertas, la propia empresa está debilitando el requisito que le permitiría defender ese secreto frente a un tercero.
- Confidencialidad contractual. Muchos contratos con clientes contienen cláusulas que prohíben ceder su información a terceros sin autorización. Un uso descuidado de la IA puede constituir un incumplimiento contractual con consecuencias indemnizatorias.
- Propiedad intelectual y contenido erróneo. El contenido generado puede reproducir obras de terceros o contener errores presentados con total aparente seguridad. La responsabilidad frente al cliente sigue siendo de quien firma el trabajo, no de la herramienta.
- Decisiones sobre personas. Usar IA para cribar currículos, evaluar el desempeño o decidir sobre trabajadores entra en un terreno especialmente sensible, con obligaciones de información a la representación legal de los trabajadores y, en el futuro, con el régimen de alto riesgo del Reglamento europeo.
Lo que nunca debería introducirse
- Datos personales identificables, y con mayor razón datos de salud, biométricos o de menores.
- Documentación de clientes sujeta a confidencialidad o a secreto profesional.
- Código fuente propietario, fórmulas, procesos o cualquier activo que constituya secreto empresarial.
- Documentación de operaciones no públicas, negociaciones en curso o información financiera sensible.
Qué debería contener una política interna de uso
No hace falta un documento extenso. Hace falta uno claro:
- Qué herramientas están autorizadas y cuáles no, distinguiendo las versiones corporativas contratadas de las gratuitas de uso personal.
- Qué categorías de información pueden y no pueden introducirse, con ejemplos concretos del sector.
- Obligación de revisión humana antes de utilizar cualquier resultado, y de verificación de datos, citas y referencias.
- Reglas de identificación del contenido generado con IA cuando la normativa lo exija.
- Canal para consultar dudas y consecuencias del incumplimiento, comunicadas de forma expresa.
- Registro de las herramientas utilizadas, que además servirá para el inventario que exige el Reglamento europeo.
A ello se suma la formación del personal, que desde febrero de 2025 no es una buena práctica sino una obligación legal derivada del Reglamento europeo de Inteligencia Artificial.
El enfoque que recomendamos
Prohibir el uso de IA no funciona: se usa igual, pero sin control y sin que nadie lo cuente. Es más eficaz autorizar herramientas concretas, fijar límites comprensibles y formar a quien las va a utilizar.
La empresa gana productividad y conserva el control sobre su información.
