Política de uso responsable de IA (incluida la IA generativa)

Cómo usar este documento

• Para qué sirve. Es la política base que fija qué herramientas de IA puede usar el personal, para qué, con qué información y bajo qué controles. Es la medida de contención del primer día frente al uso de IA no autorizada: conviene aprobarla antes que cualquier otro documento de IA.
• Es modular. Un núcleo (secciones 1 a 11) aplica a todas las organizaciones. Los módulos 12 a 15 se conservan solo si la organización integra modelos por API, aloja modelos propios, entrena modelos o usa agentes, y la sección 16 solo si opera en un sector con reglas propias. Elija los módulos con la tabla «Selección de módulos».
• Niveles. Los párrafos marcados [NIVEL BÁSICO], [NIVEL ESTÁNDAR] o [NIVEL REFORZADO] aplican solo en ese nivel. El nivel Básico (menos de unas 50 personas, solo herramientas compradas, sin datos sensibles ni decisiones sobre personas) forma por sí solo una política completa.
• Quién debe ser su dueño. El Responsable de IA, con apoyo de Seguridad de la información, Legal, el Delegado de protección de datos (o el rol equivalente del país) y Recursos Humanos. Indique el área en [ÁREA RESPONSABLE] y la persona en [RESPONSABLE].
• Decisiones previas. Decida qué herramientas quedan autorizadas (sección 4), qué información puede usarse en cada una (sección 6), qué usos van a cada carril de aprobación (sección 5.2) y cómo se conecta con su régimen disciplinario (sección 11).
• Campos a completar. Sustituya los textos entre corchetes, como [NOMBRE DE LA ORGANIZACIÓN], [EMAIL DE GOBERNANZA DE IA] y [COMPLETAR]. Conserve las cláusulas [OPCIONAL] solo si aplican y borre la marca al conservarlas.
• Variantes por país. No tiene variantes por país. Use «Referencias normativas relacionadas» para identificar las normas que pueden aplicar y ajuste las secciones 5.3, 6 y 8 si alguna pide algo adicional.
• Revisión. Pida a su asesoría jurídica interna o externa que revise la versión adaptada, en especial las prohibiciones, los datos personales, la relación con los contratos de trabajo y el régimen de sanciones. Consulte a la representación de las personas trabajadoras cuando la normativa laboral lo prevea.
• Aprobación y publicación. Apruébela por la Dirección, regístrela en «Control de versiones», publíquela en un lugar accesible para todo el personal y recoja el acuse de recibo (ayuda F). Las ayudas de implementación son de uso interno del equipo que implanta la política.

Selección de módulos

Los perfiles se acumulan: una organización puede ser P1 y P2 y P5 a la vez. Los niveles no se acumulan hacia abajo: el nivel Reforzado conserva también el contenido Estándar.

Perfil o nivel	Cuándo aplica	Secciones que se conservan
Núcleo	Siempre	Secciones 1 a 11 y ayudas B, C, D, F y «Documentos relacionados»
P1	Usa IA dentro de software que compra: asistentes (ChatGPT, Copilot, Gemini…) y funciones de IA en SaaS	Solo el núcleo
P2	Integra modelos mediante API o RAG en sus procesos o productos	Núcleo y sección 12
P3	Aloja modelos en infraestructura propia o alquilada, incluidos modelos de pesos abiertos de cualquier origen	Núcleo y sección 13
P4	Entrena o ajusta modelos	Núcleo y sección 14
P5	Usa agentes que actúan en sistemas (envían, compran, cambian registros, ejecutan código)	Núcleo y sección 15
Sector	Servicios financieros y seguros, salud, Recursos Humanos o sector público	Núcleo y la subsección que corresponda de la sección 16
Nivel Básico	Menos de unas 50 personas, solo P1, sin datos sensibles ni decisiones sobre personas	Núcleo, párrafos [NIVEL BÁSICO] y ayuda A.1
Nivel Estándar	Por defecto para el resto	Núcleo, párrafos [NIVEL ESTÁNDAR] y ayuda A.2
Nivel Reforzado	Algún sistema de riesgo Alto, sector regulado o P3 a P5 en producción	Núcleo, párrafos [NIVEL ESTÁNDAR] y [NIVEL REFORZADO], y ayuda A.2

Borre las secciones, los párrafos y las ayudas que no correspondan a sus perfiles y a su nivel, y renumere si lo desea. Si conserva solo el núcleo, borre también las referencias a las secciones 12 a 16.

Política de uso responsable de IA (incluida la IA generativa)

Campo	Valor
Organización	[RAZÓN SOCIAL]
Área propietaria	[ÁREA RESPONSABLE]
Responsable de la política	[RESPONSABLE]
Perfiles y nivel adoptados	[COMPLETAR: p. ej., P1 + P2, nivel Estándar]
Aprobada por	[APROBADO POR]
Fecha de entrada en vigor	[FECHA]
Frecuencia de revisión	[FRECUENCIA DE REVISIÓN]
Contacto para consultas	[EMAIL DE GOBERNANZA DE IA]

1. Propósito

[NOMBRE DE LA ORGANIZACIÓN] usa la inteligencia artificial para mejorar su trabajo y los servicios que presta. Esta política fija las reglas para hacerlo de forma segura, lícita, transparente y coherente con nuestros valores. Sus objetivos son:

a) aprovechar los beneficios de la IA, incluida la IA generativa, con riesgos controlados;
b) proteger la información confidencial y los datos personales;
c) asegurar que las personas sigan siendo responsables de las decisiones y de los contenidos que producen con ayuda de la IA;
d) evitar usos que puedan causar daños, discriminación o engaño;
e) asignar responsabilidades claras y conservar evidencia de cómo gestionamos la IA.

2. Alcance y definiciones

2.1 Esta política aplica a todas las personas empleadas, directivas y en prácticas, a contratistas y consultores, y a cualquier tercero que actúe en nombre de [NOMBRE DE LA ORGANIZACIÓN] o que use IA con información o recursos de la organización (en adelante, «el personal»). Aplica con equipos, cuentas o redes de la organización y también con dispositivos o cuentas personales usados para tareas de la organización.

2.2 Cubre las herramientas de IA generativa de uso general (asistentes de chat, generadores de texto, imagen, audio o video, asistentes de programación, transcriptores de reuniones, extensiones de navegador y funciones de IA integradas en software de oficina), los sistemas de IA que la organización compra, integra, aloja, entrena o despliega, los datos que se usan con ellos y los resultados que generan.

2.3 Complementa, y no sustituye, las políticas de seguridad de la información, privacidad, uso aceptable de recursos tecnológicos, confidencialidad, compras y el código de conducta. En caso de conflicto se aplica la regla más protectora.

2.4 Definiciones:

• Sistema de IA: sistema basado en máquinas que, a partir de la información que recibe, infiere cómo generar resultados como predicciones, contenidos, recomendaciones o decisiones que pueden influir en entornos físicos o virtuales. [OPCIONAL] Sustituir por la definición de la norma aplicable.
• Herramienta autorizada: herramienta, función o sistema de IA registrado como autorizado en el Inventario de sistemas de IA, en las condiciones allí indicadas.
• Herramienta no autorizada: cualquier otra, incluidas las versiones gratuitas o de consumo de herramientas que la organización tiene contratadas en versión corporativa.
• Instrucción (prompt): texto, archivo u otra información que se introduce en una herramienta de IA.
• Resultado: contenido, respuesta, clasificación, puntuación o decisión producida por un sistema de IA.
• Decisión sobre personas: uso de IA que puede afectar de forma significativa los derechos, las oportunidades, la seguridad o el acceso a servicios de una persona; por ejemplo, en empleo, crédito, seguros, educación, salud, biometría o prestaciones públicas.
• Agente de IA: sistema de IA que, además de generar contenido, puede ejecutar acciones por sí mismo, como enviar mensajes, modificar registros, realizar operaciones o ejecutar código.
• Información confidencial, datos personales y datos sensibles: según se definen en la política de clasificación de la información y en la política de privacidad de [NOMBRE DE LA ORGANIZACIÓN].