Política de uso de IA en pymes: reglas claras para el equipo
Una política de uso de IA para pymes no consiste en prohibir los asistentes: consiste en decidir qué herramientas se pueden emplear, qué información no puede introducirse y quién revisa las salidas antes de que afecten a un cliente o a una decisión. Cuando cada persona usa la IA con su cuenta, sus propias instrucciones y datos distintos, la empresa pierde control aunque la intención sea ahorrar tiempo.
La actualidad de la IA empresarial está mostrando una brecha sencilla: las herramientas se adoptan rápido, mientras que las reglas de uso, formación y supervisión llegan tarde. Además, la Agencia Española de Protección de Datos ha advertido recientemente de que un prompt puede incluir datos personales, información confidencial, precios, márgenes, proveedores o estrategias. Por eso una norma breve y aplicable es un primer paso más útil que una lista de herramientas de moda.
Qué debe resolver una política de IA
El documento debe responder a situaciones reales. ¿Puede una persona copiar un correo de un cliente en un asistente? ¿Se puede usar IA para redactar una propuesta? ¿Quién aprueba una automatización que actualiza el CRM? ¿Qué ocurre si una salida contiene un error? Si el equipo no conoce la respuesta, la política todavía no está lista.
No hace falta empezar con un manual jurídico extenso. Para la mayoría de pymes, una política inicial de una o dos páginas, con responsables y ejemplos, ayuda a ordenar el uso. Debe revisarse al incorporar nuevas herramientas, integrar datos corporativos o cambiar el tipo de tareas automatizadas.
Las siete reglas mínimas para una pyme
- Define las herramientas autorizadas. Indica cuáles puede utilizar el equipo, con qué cuentas y quién aprueba una nueva aplicación. Una suite corporativa con controles de administración no es equivalente a que cada empleado abra una herramienta con una cuenta personal.
- Clasifica la información antes de compartirla. Separa información pública, interna, confidencial y datos personales. La política debe dejar claro que no se introducen contraseñas, documentos de identidad, datos de salud, información bancaria, contratos, precios no publicados, código sensible o bases completas de clientes sin un análisis y autorización previos.
- Mantén revisión humana en tareas con impacto. La IA puede proponer un borrador, resumir o clasificar. No debe enviar por sí sola una oferta, modificar una factura, aceptar condiciones, decidir sobre una persona o comunicar una respuesta sensible sin el control definido por la empresa.
- Exige fuentes y comprobación. Una respuesta aparentemente correcta puede contener un dato inventado, desactualizado o incompleto. Para contenidos técnicos, fiscales, legales, comerciales o de seguridad, el equipo debe comprobar la fuente original antes de utilizar el resultado.
- Documenta automatizaciones e integraciones. Si una IA recibe datos del CRM, ERP, correo o gestor documental, registra qué entra, qué sale, quién tiene acceso, cómo se corrigen errores y cómo se puede detener el flujo.
- Forma según el puesto. Administración, ventas, dirección y personal técnico no usan la IA con el mismo riesgo. El artículo 4 del Reglamento europeo de IA exige adoptar medidas para que personal y personas que actúan por cuenta de la empresa tengan un nivel suficiente de alfabetización en IA, atendiendo al contexto de uso.
- Establece un canal de incidencias. El equipo debe poder informar de un dato compartido por error, una respuesta dañina, una automatización incorrecta o una herramienta no autorizada sin ocultar el problema.
Una matriz sencilla: permitido, revisar o prohibido
Para que la política sea operativa, incorpora ejemplos. No se trata de asumir que todo caso está permitido o prohibido: se trata de poner condiciones visibles.
- Permitido: generar ideas para una campaña con información pública, resumir una reunión sin datos sensibles o preparar un borrador que el responsable revisará.
- Permitido con revisión: clasificar consultas de contacto, redactar una respuesta comercial basada en una ficha aprobada o extraer datos de documentos en un entorno autorizado y con validación humana.
- Prohibido hasta nueva evaluación: cargar bases de datos completas de clientes, compartir credenciales, usar IA para decisiones laborales o enviar automáticamente comunicaciones que puedan crear compromisos económicos, legales o reputacionales.
La clasificación debe adaptarse a la actividad. Una academia, una clínica, un despacho o una empresa industrial manejan información distinta. La regla útil no es copiar una plantilla, sino identificar qué información puede causar daño si se revela, se interpreta mal o queda almacenada fuera del control esperado.
Cómo vincular la política con ERP, CRM y automatización
La política debe llegar también a los sistemas donde la información ya está estructurada. Si un asistente consulta oportunidades comerciales, documentos de proveedores o incidencias, conviene empezar por los permisos existentes. Un ERP o CRM bien configurado permite definir responsables, campos y estados; eso hace que una automatización pueda ser auditable en lugar de depender de hojas de cálculo o correos reenviados.
Antes de conectar una herramienta, realiza un inventario breve: sistema origen, datos usados, finalidad, usuarios con acceso, proveedor, ubicación de la información, conservación y mecanismo de baja. Si la solución utiliza datos personales, la empresa debe valorar sus obligaciones de protección de datos y, cuando proceda, contar con asesoramiento especializado.
Formación: de la norma al comportamiento diario
Enviar una política por correo no demuestra que el equipo sepa aplicarla. La formación práctica puede durar poco si se centra en ejemplos del trabajo: qué se puede pegar en un prompt, cómo comprobar un resultado, cuándo parar una automatización y a quién avisar. La alfabetización en IA no significa que todas las personas deban programar; significa que comprendan los límites de la herramienta que usan.
Una evaluación de formación puede medir si las reglas se entienden: por ejemplo, presentando tres situaciones de ventas, administración y atención al cliente para que la persona identifique el nivel de riesgo y el paso siguiente. Así se detectan dudas antes de que se conviertan en una incidencia.
Checklist para publicar la primera versión
- Nombrar a una persona responsable de aprobar herramientas y cambios relevantes.
- Listar las aplicaciones autorizadas y las cuentas corporativas que deben usarse.
- Clasificar datos y dar ejemplos de información que nunca se introduce sin revisión.
- Definir tareas que exigen revisión humana y las que no se automatizan.
- Explicar cómo validar resultados y documentar fuentes.
- Crear un canal de consulta e incidencias.
- Impartir una sesión breve por perfiles y revisar la política en una fecha definida.
Una política clara no frena la innovación: evita que el aprendizaje ocurra a costa de datos, clientes o errores difíciles de reconstruir. Et Tamimi puede ayudarte a convertir estas reglas en un flujo conectado con tus herramientas y tu equipo mediante automatización de IA con revisión y trazabilidad. Puedes solicitar un diagnóstico desde contacto.
Nota informativa: este contenido resume fuentes públicas disponibles el 21 de septiembre de 2026 y no sustituye asesoramiento jurídico, laboral ni de protección de datos. La aplicación del Reglamento de IA y del RGPD depende del sistema, los datos y el contexto de cada organización.
