Plantilla de política de uso aceptable de IA para el Reglamento de IA

Una política de uso aceptable de IA es el documento de gobernanza más útil para una empresa que usa IA en lugar de construir sistemas de alto riesgo. No es en sí misma una obligación legal, pero sí es la forma de cumplir la alfabetización en IA del artículo 4, mantener a la plantilla del lado correcto de las prohibiciones del artículo 5 y evitar errores con los datos y la divulgación. Esta página plantea las secciones que debe incluir.

Por qué importa bajo el Reglamento

El artículo 4 exige alfabetización en IA en toda la plantilla desde el 2 de febrero de 2025, para cualquier IA. Una política clara más una breve sesión informativa es una forma proporcionada de cumplirlo. La política es también donde se operativizan las líneas que de verdad importan: qué está aprobado, qué está prohibido y cómo tratar los datos, para que un empleado con buena intención no pegue datos de clientes en una herramienta de consumo ni monte sin querer un flujo de trabajo de alto riesgo.

La política — secciones que debe incluir

1. Finalidad y ámbito. A quién y a qué cubre; que se aplica a todas las herramientas de IA usadas para el trabajo.

2. Herramientas aprobadas. La lista de herramientas de IA sancionadas y el proceso para solicitar una nueva (de modo que la "IA en la sombra" aflore).

3. Usos prohibidos (artículo 5). Nada de usos manipuladores o basados en el engaño; nada de inferir las emociones de empleados u otras personas en el trabajo; nada de puntuación social; nada de extracción no selectiva de imágenes faciales. Estas prácticas están prohibidas de plano.

4. Conciencia sobre el alto riesgo. La plantilla no debe, sin autorización, usar IA para tomar o influir de forma material en decisiones sobre contratación, promoción, crédito o acceso a servicios (ámbitos del anexo III), y debe señalar cualquier uso de este tipo para su clasificación.

5. Tratamiento de datos. Qué se puede y qué no se puede introducir en las herramientas de IA; reglas sobre datos personales y de categorías especiales (RGPD); confidencialidad; niveles aprobados/contratos de tratamiento de datos.

6. Transparencia (artículo 50). Cuándo una IA orientada al cliente debe revelar que es IA y cuándo el contenido generado por IA debe marcarse o divulgarse (el marcado de contenido se aplica desde el 2 de diciembre de 2026).

7. Supervisión humana y rendición de cuentas. La salida de la IA es un borrador, no una decisión; quién responde de ella; expectativas de revisión.

8. Formación y revisión. Expectativas de alfabetización por rol; responsable de la política; cadencia de revisión.

Ejemplo práctico: una empresa de servicios de 250 personas

Castellan Group, una empresa de servicios profesionales de 250 personas, no tiene sistemas de alto riesgo pero hace un uso intensivo de IA en el día a día. Su política de uso aceptable enumera las herramientas aprobadas, prohíbe de plano las prácticas del artículo 5, establece la regla de que cualquier IA que toque decisiones de contratación o de elegibilidad de clientes debe señalarse para su clasificación, prohíbe los datos personales de clientes en herramientas no aprobadas y exige que el chatbot de atención al cliente revele que es IA. Combinado con una sesión informativa de 30 minutos, esto cumple la alfabetización del artículo 4 y contiene los riesgos reales.

Cómo ayuda Confir

Confir complementa la política con el motor de clasificación que la sustenta: cuando llega un uso señalado, devuelve el nivel y el rol con una justificación citada, de modo que "¿esto está permitido?" tiene una respuesta defendible en lugar de quedar al criterio de cada uno. El motor es determinista y basado en reglas, y mantiene al día el registro de usos aprobados.

Preguntas frecuentes

¿Exige el Reglamento de IA una política de uso aceptable de IA?

No como obligación con nombre propio. Pero es la forma práctica de cumplir la alfabetización en IA del artículo 4 (en vigor desde el 2 de febrero de 2025 para cualquier IA), mantener a la plantilla lejos de las prohibiciones del artículo 5 y evitar errores con los datos y la divulgación. Es muy recomendable incluso para empresas sin sistemas de alto riesgo.

¿Qué debe cubrir la política para cumplir el artículo 4?

Lo suficiente para que la plantilla use la IA con competencia en su puesto: qué herramientas están aprobadas, qué está prohibido, cómo tratar los datos, cuándo hace falta divulgar y que la salida de la IA es un borrador que exige criterio humano. Una política más una breve sesión informativa es una forma proporcionada de cumplir el deber de alfabetización.

¿Qué usos prohibidos debería nombrar la política?

Las prohibiciones del artículo 5: el uso manipulador o engañoso que causa daño, inferir emociones en el trabajo, la puntuación social y la extracción no selectiva de imágenes faciales. Están prohibidos de plano desde el 2 de febrero de 2025, con el tramo de sanción más alto, así que la política debería enunciarlos con claridad.

¿Debe la política abordar la IA orientada al cliente?

Sí. Cuando la IA interactúa con clientes, debe revelar que es IA (artículo 50(1)), y el contenido generado por IA que se publica externamente debe marcarse o divulgarse (artículo 50(2)/(4), marcado de contenido desde el 2 de diciembre de 2026). La política debería fijar esas expectativas.

¿Quién debería ser responsable de la política?

Un responsable nombrado —normalmente de cumplimiento, jurídico o dirección de TI— con una cadencia de revisión, porque tanto las herramientas aprobadas como la normativa cambian. La política debe dejar claro quién clasifica los usos de IA nuevos o señalados.

Guías relacionadas

• Alfabetización en IA del artículo 4
• Prácticas prohibidas del artículo 5
• El registro de casos de uso de IA
• Obligaciones de transparencia del artículo 50
• El Reglamento de IA para startups