Política de uso de IA para tu empresa: qué incluir y una plantilla para empezar

Puedes copiarla y adaptarla, pero revísala con tu abogado antes de aplicarla.

Política de uso de inteligencia artificial

1. Para qué sirve. Esta política dice cómo se usa la inteligencia artificial (IA) en el trabajo: qué herramientas se permiten, con qué cuentas, con qué datos y quién revisa lo que preparan. Su fin es aprovechar la IA sin poner en riesgo la información de la empresa, de sus clientes ni de su personal.

2. A quién aplica. A todas las personas que trabajan para la empresa o en su nombre, incluidos practicantes, proveedores y asesores externos, cuando usan IA para tareas de trabajo.

3. Responsable. La dirección general aprueba las herramientas de IA, mantiene la lista de herramientas aprobadas, recibe los avisos de incidentes y resuelve las dudas sobre esta política.

4. Herramientas y cuentas. Para trabajar solo se usan las herramientas de IA que la empresa aprueba y paga, con la cuenta de la empresa asignada a cada persona. No se usan cuentas personales ni gratuitas para tareas de trabajo, y nadie comparte su cuenta. Con esas herramientas, la IA se puede usar para redactar, resumir, traducir, analizar información y preparar borradores. Cuando una persona deja la empresa, su acceso se cierra el mismo día.

5. Equipos. Las herramientas aprobadas se pueden usar desde un equipo personal solo con la cuenta de la empresa, con bloqueo de pantalla y sin descargar en él información confidencial.

6. Datos que nunca se suben. Nunca se copian, pegan ni suben a una herramienta de IA:

• Contraseñas, llaves de acceso, tokens y códigos de verificación.
• Datos personales de clientes, empleados y proveedores: nombres con teléfono, correo o domicilio, CURP, RFC de personas físicas, datos bancarios, nómina, expedientes y datos de salud.
• Precios, costos y márgenes.
• Estados financieros y cifras que no se han publicado.
• Contratos y documentos legales.

Si una tarea necesita esa información, se usan datos ficticios. La excepción son las conexiones aprobadas con los sistemas de la empresa (punto 8), que nunca incluyen contraseñas. En caso de duda, no se sube y se pregunta al responsable de esta política.

7. Revisión de una persona. Lo que prepara la IA es un borrador. Antes de enviarlo a un cliente o proveedor, publicarlo, registrarlo en un sistema o usarlo para decidir algo, quien lo usa revisa cifras, nombres, fechas, fuentes y tono. Ninguna decisión sobre una persona, como contratarla, evaluarla, darle crédito o cobrarle, se toma solo con lo que dice la IA. Quien entrega el trabajo responde por él.

8. IA conectada a los sistemas de la empresa. Ninguna herramienta de IA se conecta al correo, a carpetas compartidas, a WhatsApp ni a los sistemas de la empresa sin autorización del responsable de esta política. En las conexiones aprobadas, cada persona entra con su propio usuario y la IA solo ve lo que permite su rol; se empieza en solo consulta; queda bitácora de cada consulta; nada que mueva dinero, facture o escriba a un cliente se ejecuta sin la confirmación de una persona, y las conexiones que ya no se usan se cierran.

9. Herramientas nuevas. Para usar una herramienta nueva, incluidas extensiones del navegador, apps y funciones de IA dentro de programas que ya se usan, se pide autorización al responsable de esta política. Antes de aprobarla se revisa quién es el proveedor, qué plan se contrata, si usa las conversaciones para entrenar sus modelos, dónde guarda la información y cómo se cierra el acceso.

10. Datos personales. La empresa cuida los datos personales conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y a su aviso de privacidad. Los datos personales solo se usan con IA mediante una conexión aprobada para ese fin (punto 8) y cuando el aviso de privacidad lo permite.

11. Si algo sale mal. Si alguien sube información que no debía, recibe de la IA algo incorrecto o riesgoso, o nota un acceso extraño, avisa ese mismo día a su jefe inmediato y al responsable de esta política. Se registra qué pasó, qué información se expuso y qué se hizo. Si hay datos personales de por medio, se revisa con el abogado de la empresa.

12. Capacitación. Cada persona recibe capacitación sobre esta política y sobre las herramientas aprobadas antes de usarlas para trabajar, y otra vez cuando se aprueba una herramienta nueva.

13. Revisión. Esta política se revisa cada seis meses y también cuando la empresa aprueba una herramienta nueva, conecta la IA a un sistema o cambia la ley. Entra en vigor cuando la dirección la aprueba y la comunica al personal.