Política de uso de IA para empleados: qué incluir y plantilla

Qué debe cubrir una política de uso de IA

Antes de redactar, responde a estas preguntas. Si alguna no tiene respuesta, es la conversación que tienes que tener con dirección, IT y protección de datos:

• ¿Qué herramientas de IA están aprobadas y con qué cuentas (de empresa, no personales)?
• ¿Qué datos no se pueden introducir nunca en una IA, y cuáles solo en las herramientas aprobadas?
• ¿Qué tiene que revisar una persona antes de que algo salga de la empresa?
• ¿Cuándo hay que decir que un texto o un análisis se ha hecho con IA?
• ¿Quién aprueba una herramienta nueva y cuánto tarda en responder?
• ¿A quién se comunica un error (un dato que no debía salir, una respuesta incorrecta enviada)?

Plantilla (1/2): objeto, herramientas y datos

Copia y adapta. Sustituye lo que va entre corchetes. Es un punto de partida, no un texto jurídico cerrado:

• 1. Objeto. Esta política explica cómo usamos la inteligencia artificial en [Empresa] para trabajar mejor sin poner en riesgo los datos de clientes, compañeros y proveedores. Aplica a toda la plantilla, colaboradores y personal en prácticas.
• 2. Herramientas aprobadas. Para el trabajo se usan solo estas herramientas, con la cuenta de la empresa: [lista]. Las cuentas personales gratuitas no se usan con información de la empresa. Para proponer una herramienta nueva, escribe a [persona o canal]; respondemos en [plazo].
• 3. Datos que nunca se introducen en una IA no aprobada: datos de clientes, de empleados o de candidatos; contratos, ofertas y precios no públicos; credenciales y claves; código o documentos internos marcados como confidenciales.
• 4. Datos especialmente protegidos (salud, afiliación sindical, ideología, datos de menores): no se introducen en ninguna IA salvo autorización expresa de [protección de datos].
• 5. Minimización. Aunque la herramienta esté aprobada, introduce solo lo necesario para la tarea. Si no hace falta el nombre de una persona, no lo pongas.

Plantilla (2/2): revisión humana, transparencia y dudas

• 6. Revisión humana. La IA propone y una persona decide. Todo lo que se envía fuera de la empresa en nombre de [Empresa] lo revisa antes quien lo envía. Las decisiones sobre personas (contratar, evaluar, sancionar, conceder o denegar algo) no se toman solo con IA.
• 7. Responsabilidad. Quien usa la IA responde del resultado como si lo hubiera hecho a mano: comprueba cifras, nombres, fechas y citas antes de usarlas.
• 8. Transparencia. Indica que se ha usado IA cuando el destinatario pueda esperar razonablemente un trabajo hecho por una persona, o cuando lo exija el cliente o la normativa.
• 9. Sin vigilancia. [Empresa] no usa la IA para medir la actividad ni la productividad individual de nadie.
• 10. Incidencias. Si un dato sale por error o la IA produce algo dañino, avisa a [persona o canal] el mismo día. Avisar a tiempo nunca se sanciona.
• 11. Formación y revisión. Toda persona que use IA recibe una formación breve. Esta política se revisa cada [6 o 12] meses. Responsable: [nombre y cargo].

RGPD: lo que la política no puede olvidar

Cuando una herramienta de IA trata datos personales por cuenta de tu empresa, el proveedor es un encargado del tratamiento y el RGPD (art. 28) exige un contrato de encargo. Por eso la lista de herramientas aprobadas es el corazón de la política: solo deben estar las que lo tienen, con datos guardados en la UE o con garantías para transferencias.

Añade el tratamiento a vuestro registro de actividades, informa a la plantilla y valora con tu DPO o asesor si hace falta una evaluación de impacto. El Reglamento europeo de IA, además, pide que quien usa estos sistemas tenga conocimientos suficientes sobre ellos: la formación del punto 11 no es un adorno.

Cómo conseguir que se cumpla

Una política que nadie conoce no protege a nadie. Lo que ayuda de verdad:

• Explícala en 15 minutos con ejemplos reales del trabajo de cada equipo.
• Ofrece una alternativa aprobada que sea igual de cómoda que la cuenta personal.
• Pon las reglas en la herramienta cuando sea posible (aprobación previa, enmascarado de datos) en lugar de confiar en la memoria.
• Publica una lista de preguntas frecuentes y actualízala con las dudas que lleguen.

Dónde encaja Tessa

Tessa puede ser una de las herramientas aprobadas de tu política para el trabajo diario con correo, Slack, reuniones y documentos. Ofrece contrato de encargo, lista de subencargados y política de seguridad publicados; guarda los datos cifrados en la UE; enmascara correos y teléfonos antes de enviarlos al modelo; y, si lo pides, procesa el análisis con un modelo de IA europeo. Lo que sale de la empresa espera aprobación, y el panel de control registra todo lo que hace. Aun así, esta guía es orientativa: revisa tu política con tu asesor.