Llevamos dos años revisando documentos internos sobre inteligencia artificial y hemos perdido la cuenta de cuántos empezaban con la frase "la presente normativa tiene como objetivo regular". Casi todos acababan en la misma carpeta compartida que nadie abre. Firmados, sellados, inservibles.
Este texto no es otro listado de buenas intenciones. Es el esqueleto que usamos nosotros cuando una compañía nos pide ordenar el uso de modelos generativos: las decisiones previas, la tabla que casi nadie rellena bien, las cláusulas redactadas y el calendario de implantación. Puedes copiarlo, adaptarlo y tenerlo funcionando en cuatro semanas.
El error de descargar un documento genérico y firmarlo
¿Cuánto tarda alguien en descargar un PDF, cambiar el nombre de la organización en la portada y enviarlo a toda la plantilla? Unos once minutos. Lo hemos cronometrado con un cliente del sector logístico que nos pidió exactamente eso en enero de 2025.
El problema aparece después. Un marco interno copiado tal cual regula herramientas que esa compañía no usa, ignora las que sí usa y establece responsables que no existen en su organigrama. Cuando llegó la primera consulta real (un comercial que había subido una lista de precios a un asistente conversacional para redactar una oferta), el documento no decía nada aplicable.
Un marco normativo prestado describe la realidad de otra organización. Y aquí está el quid: lo que protege no es el texto, es la coherencia entre el texto y lo que la gente hace cada martes por la tarde.
Por qué casi ningún modelo que circula resiste una auditoría
Revisamos 31 documentos internos entre marzo y noviembre de 2025. Veintidós mencionaban el Reglamento (UE) 2024/1689 en la introducción. Solo cuatro concretaban qué obligación específica estaban cumpliendo con qué cláusula.
Esa es la diferencia entre citar una norma y aplicarla. El reglamento europeo entró en vigor el 1 de agosto de 2024, las prohibiciones y el deber de alfabetización del artículo 4 son exigibles desde el 2 de febrero de 2025, las obligaciones sobre modelos de propósito general desde el 2 de agosto de 2025, y el grueso del texto se aplica desde el 2 de agosto de 2026. Un documento que no distingue esas fases no está preparado para nada.
Luego está el asunto de los datos personales. Si tu equipo introduce información de clientes en una herramienta externa, existe un tratamiento y existe un tercero que lo procesa. El artículo 28 del RGPD no desaparece porque la interfaz sea un chat.
Las tres carencias que se repiten
Primera: ausencia de clasificación de información. El texto dice "no compartir información confidencial" sin definir qué entra en esa categoría. Lo encontramos en 26 de los 31 casos revisados.
Segunda: no hay procedimiento de alta de herramientas. Nadie sabe a quién pedir permiso para probar un servicio nuevo, así que no se pide.
Tercera: cero trazabilidad. Si mañana un cliente pregunta si su propuesta comercial fue generada con asistencia automatizada, no hay forma de responder. Llevar ese registro a mano en una hoja compartida aguanta dos meses como mucho, así que acabamos centralizándolo todo en nuestra plataforma de cumplimiento del AI Act, que deja constancia de qué sistemas se emplean y bajo qué condiciones en cada departamento.
Las cinco decisiones que hay que tomar antes de escribir una sola cláusula
Nos equivocamos durante bastante tiempo en esto. Empezábamos redactando y luego preguntábamos.
Ahora bloqueamos una sesión de noventa minutos con dirección, IT y la persona responsable de protección de datos. Se contestan cinco preguntas y ninguna se deja "para después":
- ¿Qué herramientas quedan aprobadas por defecto?
- ¿Quién autoriza una excepción?
- ¿Qué información no sale nunca de la organización?
- ¿Se declara el uso al cliente final?
- ¿Quién revisa el documento y cada cuánto?
Total, que sin esas cinco respuestas cerradas por escrito, cualquier redacción posterior es decoración. La quinta es la que más se pospone y la que más caro sale: un marco sin fecha de revisión caduca en seis meses.
La tabla de clasificación de información: el bloque que nadie rellena bien
Aquí se decide todo. Si tu documento tiene una sola tabla, que sea esta. Mira, lo que pasa es que la gente no incumple las normas por maldad: incumple porque no sabe en qué categoría cae el fichero que tiene abierto.
| Nivel | Tipo de información | Herramientas permitidas | Condición |
|---|---|---|---|
| Público | Notas de prensa, contenido web publicado, catálogos abiertos | Cualquiera aprobada | Revisión humana antes de publicar |
| Interno | Actas, procedimientos, formación interna | Entorno corporativo con cuenta de empresa | Sin entrenamiento sobre los datos |
| Confidencial | Precios, márgenes, propuestas, código propietario | Solo instancias contratadas con acuerdo de tratamiento | Autorización previa del responsable |
| Restringido | Datos personales de clientes, salud, nóminas, menores | Ninguna externa | Prohibición absoluta |
Dos columnas convierten esta rejilla en operativa: la tercera y la cuarta. Sin ellas tienes un diagrama bonito. Con ellas, un empleado resuelve su duda en once segundos sin escribir a nadie.
Un apunte que descubrimos tarde: conviene añadir ejemplos reales de tu negocio en la segunda columna, con nombres de ficheros que la gente reconozca. "Plantilla_Margenes_Q3.xlsx" comunica muchísimo mejor que "información económica sensible".
Cláusulas redactadas y listas para adaptar, bloque por bloque
Una política de uso de IA es el documento interno que fija qué herramientas puede emplear la plantilla, con qué información, bajo qué nivel de verificación humana y con qué consecuencias si alguien incumple. No es una declaración de principios: es un procedimiento operativo, con responsables, plazos de respuesta y anexos actualizables sin reabrir la aprobación.
Estos son los ocho bloques que debe contener el articulado:
- Ámbito de aplicación y personas afectadas
- Herramientas autorizadas y procedimiento de alta
- Clasificación de información y datos prohibidos
- Verificación humana y responsabilidad del resultado
- Transparencia hacia el cliente
- Propiedad intelectual y generación de código
- Formación obligatoria y régimen disciplinario
- Anexos y calendario de revisión
Lo que sigue es el texto que usamos como base para los bloques críticos. Está escrito para copiarse y modificarse, no para admirarse. Sustituye los corchetes y elimina lo que no aplique.
Ámbito de aplicación
Esta normativa afecta a toda persona que preste servicios para [ORGANIZACIÓN], incluyendo personal laboral, becarios, autónomos y proveedores con acceso a sistemas internos. Aplica a cualquier herramienta de generación automatizada de texto, imagen, audio, vídeo o código, con independencia de que su licencia haya sido contratada por la compañía o sea de uso gratuito.
Si quitas la referencia a proveedores externos, acabas de abrir el agujero más común. En un proyecto de febrero de 2025 descubrimos que la agencia de contenidos subcontratada procesaba el calendario editorial completo en una cuenta personal gratuita. No incumplía nada: no estaba dentro del ámbito.
Herramientas autorizadas y procedimiento de alta
Solo podrán emplearse las herramientas incluidas en el Anexo I. La incorporación de una nueva requiere solicitud al [RESPONSABLE], que valorará condiciones de tratamiento de datos, ubicación de servidores y uso de las entradas para reentrenamiento. El plazo máximo de respuesta será de cinco días hábiles.
Ese plazo importa. Si la respuesta tarda tres semanas, la gente prueba la herramienta igualmente y pide perdón después.
Verificación y responsabilidad del resultado
Toda salida generada con asistencia automatizada deberá ser verificada por la persona que la utiliza antes de su envío, publicación o incorporación a un entregable. La responsabilidad sobre errores, invenciones factuales o infracciones de derechos de terceros recae en quien firma el documento final, no en el sistema empleado.
Esta cláusula vale el documento entero. Elimina la excusa de me lo dio la herramienta y traslada el control a donde siempre estuvo.
Transparencia hacia el cliente
Cuando un entregable haya sido generado de forma sustancial mediante sistemas automatizados, se informará al cliente conforme al criterio establecido en el Anexo II. No se considerarán sustanciales las tareas de corrección ortográfica, traducción de apoyo o resumen de documentación interna.
Definir qué es "sustancial" ahorra discusiones. Nosotros usamos un umbral sencillo: si el resultado no existiría sin la herramienta, es sustancial.
Formación y régimen disciplinario
[ORGANIZACIÓN] garantizará formación básica sobre capacidades y límites de estos sistemas a todo el personal con acceso a ellos, en cumplimiento del artículo 4 del Reglamento (UE) 2024/1689. El incumplimiento reiterado de esta normativa se valorará conforme al régimen disciplinario vigente en el convenio aplicable.
Si quieres el inventario completo de bloques antes de ponerte a redactar, con el detalle de cada anexo y su contenido mínimo, lo desglosamos en el análisis sobre qué debe incluir una política de uso de IA, que entra apartado por apartado con bastante más profundidad que este resumen.
Lo que no funciona: prohibir ChatGPT y confiar en el sentido común
Dos compañías de las que hemos acompañado optaron por el bloqueo total a nivel de red. Funcionó durante unas tres semanas. (Justo el tiempo que tarda alguien en recordar que su móvil tiene datos propios.) Después, el tráfico simplemente se trasladó a los terminales personales, fuera de cualquier registro y de cualquier control.
La prohibición genera uso opaco. Es la conclusión más incómoda de nuestro trabajo y la que más resistencia encuentra en comités de dirección. ¿Funciona vetar? Jamás del todo. ¿Tiene sentido alguna restricción? Solo si es por nivel de información, como en la tabla anterior, y no por nombre de producto.
El otro extremo falla igual. "Usad el sentido común" no es una instrucción: es una transferencia de responsabilidad hacia alguien que no tiene criterio técnico para ejercerla. Un administrativo no puede intuir si un servicio reentrena con las entradas que recibe.
Señales de que tu documento ya está obsoleto
Hay cinco síntomas que detectamos en revisión y que deberías comprobar hoy mismo. Si reconoces tres o más, tu texto necesita una actualización antes de que acabe el trimestre.
- Menciona herramientas por nombre comercial sin anexo modificable
- No distingue entre cuentas gratuitas y licencias corporativas
- Guarda silencio sobre agentes autónomos y automatizaciones encadenadas
- No contempla generación de código ni sus implicaciones de licencia
- Su última revisión tiene más de nueve meses
El tercer punto es el que más ha cambiado en los últimos dieciocho meses. Un marco de 2024 regula conversaciones puntuales; en 2026 hay flujos que ejecutan tareas sin intervención humana entre paso y paso. Son dos problemas distintos y el segundo exige registro de actividad, no solo buenas prácticas.
Del papel al uso diario: implantación realista en 30 días
Teníamos la convicción de que el cuello de botella era la redacción. Después de siete implantaciones medimos los tiempos reales: redactar supuso de media un 18% del esfuerzo total. El 82% restante fue comunicación, formación y ajuste. Cambiamos el enfoque por completo.
Semana 1: inventario y decisiones
Encuesta anónima de seis preguntas a toda la plantilla sobre qué herramientas usa realmente. En el 100% de los casos aparecieron servicios que dirección desconocía. Con ese mapa sobre la mesa, se celebra la sesión de noventa minutos y se cierran las cinco decisiones.
Semana 2: redacción y validación jurídica
Adaptación del articulado, construcción de la tabla de clasificación con ejemplos propios y revisión legal. Reserva al menos cuatro días: el retorno de asesoría externa rara vez baja de 72 horas.
Semana 3: formación por departamentos
Sesiones de cuarenta minutos, separadas por área. Ventas, administración y desarrollo tienen dudas incompatibles entre sí y mezclarlas desactiva la conversación. En cada sesión se resuelven tres casos reales del propio equipo, no ejemplos abstractos.
Semana 4: publicación, canal de dudas y primera revisión
Publicación en la intranet, acuse de recibo documentado y apertura de un canal específico de consultas. Fija ya la fecha de la primera revisión: nosotros la ponemos a los noventa días, no a los doce meses. Y aquí viene lo bueno: esa primera revisión suele generar más mejoras que todo el proceso anterior, porque llega con casos reales en la mano.
Preguntas frecuentes sobre normativas de IA en la empresa
¿Es obligatorio tener una política de uso de IA?
El reglamento europeo no exige ese documento con ese nombre. Sí impone obligaciones (alfabetización del personal desde el 2 de febrero de 2025, transparencia, prohibiciones concretas) que resultan muy difíciles de acreditar sin un texto interno que las ordene. En la práctica, es el instrumento más eficiente para demostrar diligencia.
¿Quién redacta el documento: legal o tecnología?
Ninguno de los dos en solitario. Funciona un comité mixto de cumplimiento, perfil técnico y asesoría jurídica, con una única persona que firma y responde. Cuando legal redacta sin IT, el resultado veta herramientas que el equipo necesita; cuando IT redacta sin legal, falta el encaje con el RGPD.
¿Cuántas páginas debe tener el documento?
Entre cuatro y ocho, más anexos. Todo lo que pase de ahí no se lee. Nuestro récord fue un texto de 34 páginas en una consultora de 40 personas: en la encuesta posterior, solo 3 empleados sabían dónde estaba la tabla de clasificación.
¿Quién debe firmar y custodiar la normativa?
La aprueba dirección, la custodia quien lleve cumplimiento o protección de datos, y conviene que la plantilla deje acuse de recibo. Sin ese acuse documentado, el régimen disciplinario del último bloque pierde casi toda su eficacia.
¿Hay que actualizarla cuando aparece una herramienta nueva?
No el texto completo, solo el anexo de herramientas autorizadas. Por eso el listado va en anexo y nunca en el cuerpo del articulado: separar ambas partes permite actualizar en veinte minutos en lugar de reabrir una aprobación formal cada trimestre.
¿Qué hacemos si alguien ya ha subido datos de clientes?
Documentar el incidente, valorar si constituye una brecha notificable conforme al RGPD y revisar la configuración de retención del servicio implicado. La reacción habitual (callar y esperar) es la que convierte un error menor en un expediente.
Conclusión
Un documento interno funciona cuando resuelve dudas concretas de gente concreta. No cuando cita reglamentos con elegancia. La tabla de clasificación, el procedimiento de alta con plazo y la cláusula de responsabilidad sobre el resultado hacen más por tu organización que veinte páginas de principios éticos.
Descarga la estructura, bórrale la mitad, añade los nombres de tus ficheros reales y ponle fecha de revisión a noventa días. Eso es un marco vivo. Lo demás es un PDF firmado.