Política de uso de IA para empleados: qué incluir, con plantilla

Una política de uso de IA para empleados deja claras cinco cosas: qué herramientas están aprobadas, qué datos pueden entrar y cuáles nunca, que todo resultado se revisa antes de usarlo, a quién se pregunta en caso de duda y quién recibe formación. En una pyme de 5 a 50 personas cabe en una o dos páginas. Más abajo tienes una plantilla para adaptar.

Esto no es asesoramiento jurídico, sino lo que recomiendan las autoridades llevado a la práctica en una empresa pequeña.

¿Necesita una pyme una política de uso de IA?

Ninguna ley pide un documento llamado «política de uso de IA». Lo que sí existe son las obligaciones que ese documento cubre.

El artículo 29 del RGPD dice que las personas que actúan bajo tu autoridad solo pueden tratar datos personales siguiendo tus instrucciones. Cuando alguien de la oficina pega en un chat el correo de un cliente con su nombre y su número de póliza, eso es un tratamiento. Si nadie le ha dicho cómo hacerlo, el problema es de la empresa.

Además, desde febrero de 2025 el Reglamento de IA obliga a las empresas que usan IA a tomar medidas de alfabetización en IA para su plantilla. La versión vigente de tus normas internas forma parte de lo que documentas. Lo explicamos en el artículo sobre alfabetización en IA y el artículo 4.

¿Qué hace la propia AEPD con su personal?

La Agencia Española de Protección de Datos publicó en noviembre de 2025 su política interna de uso de IA generativa, y en enero de 2026 un resumen de obligaciones y recomendaciones. Está pensada para una administración pública, no para una pyme, y la AEPD aclara que no supone una evaluación ni una forma de aplicar el Reglamento de IA. Aun así, es útil ver qué comunica explícitamente a su gente:

• la prohibición de usar sistemas de IA que no estén en el inventario de la organización
• la obligación de revisar y validar a mano los resultados antes de usarlos o publicarlos
• la obligación de no compartir información confidencial ni introducir datos personales o información no pública
• el respeto a la propiedad intelectual
• nada generado por IA en documentos con efectos jurídicos sin revisión humana

Si el regulador se pone estas reglas a sí mismo, una gestoría de doce personas no se pasa por tener una página parecida.

¿Qué debe incluir la política?

Ocho bloques.

A quién se aplica. Plantilla, personal temporal y autónomos que trabajan para ti. Y a todo trabajo hecho en nombre de la empresa, también desde el móvil personal.

Herramientas aprobadas. Una lista con nombre y plan. «ChatGPT» no basta: la cuenta gratuita de un empleado y un plan de empresa con contrato son cosas distintas. La AEPD recomienda contratar servicios externos en modalidad empresarial que permita a la organización gobernarlos. Por qué importa el plan lo cuenta el artículo ¿ChatGPT cumple el RGPD en la empresa?.

Qué datos pueden entrar. La parte central. Funciona mejor como semáforo, lo tienes más abajo.

Revisión humana. Todo resultado se lee antes de usarse. Cifras, plazos, nombres y citas, siempre contra la fuente.

Qué no decide la IA. Candidaturas, despidos, solvencia de un cliente: decide una persona. La IA prepara, no decide.

Derechos de terceros. Nada de documentos confidenciales de clientes o socios en herramientas no aprobadas. En textos e imágenes para publicar, comprobar que no se ha copiado contenido ajeno.

Persona de contacto. Un nombre, no un departamento. Quien dude, pregunta antes de subir nada.

Formación y revisión. Quien recibe la política recibe también una explicación. Y la política lleva fecha de próxima revisión, porque las herramientas cambian antes que cualquier norma interna.

¿Qué datos van en cada color?

Ejemplos de una oficina normal:

Color	Ejemplos
Verde: en cualquier herramienta aprobada	textos públicos, borradores propios sin nombres, preguntas técnicas generales, traducir una ficha de producto
Amarillo: solo en la herramienta de empresa aprobada	correos de clientes, presupuestos, contratos, actas internas, cálculos de precios
Rojo: en ninguna herramienta de IA, salvo autorización expresa	datos de salud, nóminas, candidaturas, datos bancarios y de DNI, todo lo que esté bajo secreto profesional

El amarillo es donde está el trabajo de verdad, y donde la IA ahorra tiempo. Para eso hace falta una herramienta con contrato de encargado del tratamiento y cuentas de empresa. Sin ella, el amarillo se convierte en rojo y tu equipo acaba usando su cuenta personal.

¿Cómo es una plantilla?

Cambia lo que va entre corchetes y borra lo que no aplique.

1. Objetivo. [Empresa] usa IA para hacer más rápido el trabajo repetitivo. Esta política dice cómo hacerlo con seguridad.
2. Ámbito. Se aplica a todas las personas que trabajan para [Empresa], incluido personal temporal y autónomos, y a todo trabajo hecho en nombre de la empresa.
3. Herramientas aprobadas. Solo se permite [herramienta, plan], siempre con la cuenta de empresa. Las cuentas personales y las extensiones del navegador no se usan para trabajar.
4. Datos. Verde, en cualquier herramienta aprobada. Amarillo, solo en [herramienta]. Rojo, en ninguna. La lista de ejemplos va anexa.
5. Revisión. Todo resultado de IA se lee y se revisa antes de usarlo. Cifras, plazos, nombres y citas se comprueban en la fuente. Responde del texto quien lo envía.
6. Límites. La IA no toma decisiones sobre personas. Prepara, decide una persona.
7. Dudas e incidencias. La persona de contacto es [nombre]. Si alguien introduce por error datos en rojo, avisa enseguida a [nombre] para poder reaccionar a tiempo.
8. Formación. Cada persona recibe una explicación antes del primer uso. Las nuevas incorporaciones, en su primera semana.
9. Vigencia. Versión del [fecha]. Próxima revisión el [fecha].

¿Hay que contar con el comité de empresa?

Depende del uso. El artículo 64.4.d del Estatuto de los Trabajadores reconoce al comité el derecho a ser informado de los parámetros, reglas e instrucciones de los algoritmos o sistemas de IA que afectan a decisiones sobre condiciones de trabajo, acceso y mantenimiento del empleo, incluida la elaboración de perfiles.

Si la IA solo ayuda a redactar correos y presupuestos, ese deber específico no se activa. Si va a intervenir en turnos, selección o evaluación del personal, sí. Aun así, presentarla al comité antes evita malentendidos. Si no hay comité, la comunicas como instrucción de empresa y guardas el acuse de recibo.

¿Cómo se introduce sin que acabe en un cajón?

Un PDF enviado por correo no lo lee nadie. Tres cosas cambian el resultado.

Preséntala en una reunión de equipo con los ejemplos del semáforo y pregunta qué casos faltan.

Acompáñala de formación. La AEPD pide restringir el uso de la IA generativa a usuarios formados y autorizados, y formarlos de forma continua. Es la misma medida que documentas para el artículo 4.

Y ten la herramienta aprobada lista el mismo día. Una norma que prohíbe las cuentas personales sin ofrecer alternativa solo saca el uso de tu vista. Cómo hacerlo paso a paso, en el artículo sobre IA en la sombra en la empresa.

¿Qué parte de la política puede asumir una herramienta?

Hay puntos organizativos y puntos técnicos. Verselo, un espacio de trabajo con IA para pymes, cubre los técnicos:

• Cuentas de empresa, no personales. Invitas a tu equipo como administrador y asignas roles. Quien se va pierde el acceso con un clic.
• Modelos permitidos y conservación. El administrador decide qué modelos se pueden usar y cuánto se guardan los chats: sin límite, 30, 90 o 365 días. Un registro de auditoría guarda doce meses de actividad. Más en Administración y control.
• El amarillo tiene sitio. La IA funciona en centros de datos de la UE y los datos de clientes no entrenan ningún modelo. La excepción: con la búsqueda web, los términos de búsqueda van a Google, y el administrador puede desactivarla. Todo el detalle en Seguridad.
• Buen uso por defecto. Los prompts revisados viven en la biblioteca común y las tareas repetidas van por asistentes con instrucciones fijas.

El contrato de encargado del tratamiento llega con el lanzamiento. Lo que ninguna herramienta hace por ti: decidir qué es amarillo y qué es rojo en tu empresa, quién revisa y a quién se pregunta. Eso va en tu política, y la escribes tú.