Hagamos un ejercicio. Pregunta en tu equipo, en confianza, quién ha pegado un contrato, una base de clientes o un informe financiero en un chat de IA en el último mes. La respuesta suele sorprender.
La IA ya está en tu empresa. La pregunta no es si permitirla, sino con qué reglas. Una política de uso de IA no es un documento para frenar la adopción. Bien hecha, la acelera, porque le da a la gente claridad sobre qué puede hacer.
Los riesgos que la política debe cubrir
- Fuga de información: datos de clientes, estrategia o propiedad intelectual enviados a herramientas externas.
- Errores con consecuencias: respuestas inventadas que terminan en un correo a un cliente o en un informe a la junta.
- Cumplimiento: protección de datos personales (en Colombia, la Ley 1581 de 2012), confidencialidad contractual y regulación sectorial.
- Sesgos: decisiones sobre personas (selección, crédito, precios) apoyadas en modelos que nadie revisó.
- Herramientas fuera de control: cada área contratando su propia herramienta sin que nadie sepa qué datos procesa.
La estructura que recomiendo
1. Propósito y alcance
Para qué existe la política, a quién aplica (empleados, contratistas, proveedores) y qué se entiende por IA en este contexto.
2. Clasificación de la información
El corazón de la política. Tres o cuatro niveles, por ejemplo:
- Pública: se puede usar en cualquier herramienta.
- Interna: solo en herramientas aprobadas por la empresa.
- Confidencial: solo en herramientas aprobadas que procesen los datos dentro de la infraestructura de la empresa o con garantías contractuales específicas.
- Restringida: datos personales sensibles, información financiera no publicada, secretos comerciales. No se usa en IA salvo casos aprobados expresamente.
3. Herramientas aprobadas
Lista de herramientas autorizadas, para qué nivel de información y quién las administra. Y un proceso simple para solicitar una nueva.
4. Usos permitidos, condicionados y prohibidos
- Permitidos: redactar borradores, resumir información pública, generar ideas, apoyar en código no sensible.
- Condicionados (requieren revisión humana): comunicaciones a clientes, análisis que soportan decisiones, contenido publicado.
- Prohibidos: decisiones automatizadas sobre personas sin revisión, ingresar información restringida en herramientas no aprobadas, presentar contenido generado como verificado sin haberlo verificado.
5. Responsabilidad
Quien usa la IA es responsable del resultado. "Lo dijo la IA" no es una justificación válida.
6. Gobierno
Quién aprueba nuevos casos de uso, quién mantiene la política, cada cuánto se revisa y a quién se reportan incidentes.
7. Formación
Nadie cumple una política que no entiende. La política debe venir con una capacitación corta y ejemplos concretos por área.
Errores frecuentes
- Prohibir todo. La gente sigue usando IA, pero a escondidas y sin controles.
- Copiar la política de otra empresa. Tus riesgos y tus datos son distintos.
- Escribirla solo desde legal. Necesita a tecnología, operaciones y negocio en la mesa.
- No dar alternativas. Si prohíbes enviar datos confidenciales a herramientas externas, ofrece una opción interna segura. Esa es una de las razones por las que trabajamos con IA local en Lynkko.
Cómo lanzarla
- Borrador con los cinco riesgos principales de tu empresa.
- Revisión con legal, tecnología y dos o tres áreas usuarias.
- Lanzamiento con capacitación, no por correo.
- Revisión a los tres meses con los incidentes y las preguntas reales.