¿Qué debe incluir una política de uso de IA?

Una política de uso de IA debe indicar qué herramientas de IA están aprobadas, qué pueden hacer los empleados con ellas y qué nunca deben hacer, cómo se protege la información personal y confidencial, cómo deben revisarse los resultados de la IA y a quién contactar con preguntas o problemas. También debe abordar la divulgación, la propiedad intelectual, la notificación de incidentes y la frecuencia con la que se revisa la política, y terminar con una constancia de firma de cada empleado.

A continuación encontrará una guía sección por sección que puede usar para redactar o revisar su propia política. Esta es información general, no asesoría legal. Pida a su responsable legal o de privacidad que revise la versión final.

¿Por qué una empresa necesita una política de uso de IA?

Es probable que sus empleados ya usen herramientas de IA como ChatGPT, Microsoft Copilot, Claude o Gemini, con o sin permiso. Sin reglas claras, suelen pasar tres cosas:

• Algunas personas pegan datos de clientes o empleados en cuentas personales.
• Otras evitan la IA por completo por miedo a hacer algo mal.
• Nadie revisa los resultados y los errores llegan a los clientes.

Una política resuelve las tres situaciones. Protege a la empresa y da a las personas la confianza para usar bien la IA.

¿Cuáles son las secciones esenciales de una política de uso de IA?

Estas son las secciones que incluyen la mayoría de las buenas políticas, con lo que conviene poner en cada una.

1. Propósito

Dos o tres oraciones sobre por qué existe la política: para ayudar a las personas a usar la IA de forma segura y útil. Mantenga un tono positivo. Usted quiere que las personas usen la IA, solo que con cuidado.

2. Alcance

A quién se aplica (empleados, contratistas, pasantes) y qué abarca. Incluya las herramientas independientes y las funciones de IA integradas en el software que ya usa, como el correo electrónico, los documentos y las herramientas de reuniones. Es fácil olvidarse de estas funciones integradas.

3. Herramientas aprobadas

Enumere las herramientas que las personas pueden usar y, si es necesario, para qué está aprobada cada una. Explique cómo solicitar una herramienta nueva. Indique claramente que deben usarse las cuentas de la empresa en lugar de las personales.

4. Lo que puede hacer

Dé ejemplos concretos de buenos usos: redactar correos, resumir documentos públicos, generar ideas, reescribir textos, explicar una fórmula. Los ejemplos ayudan mucho más que las declaraciones generales.

5. Lo que nunca debe hacer

Esta es la lista más importante. Reglas habituales:

• Nunca ingrese información personal en una herramienta que no esté aprobada para ello.
• Nunca ingrese información confidencial del negocio, contraseñas o código fuente en herramientas no aprobadas.
• Nunca permita que la IA tome decisiones finales sobre personas, como contrataciones o sanciones, sin revisión humana.
• Nunca presente resultados de la IA como hechos verificados sin haberlos comprobado.
• Nunca grabe ni transcriba reuniones con IA sin avisar a los participantes.

6. Datos y privacidad

Explique cómo se aplican las leyes de privacidad. Para las empresas canadienses, esto suele significar PIPEDA y, en Quebec, la Ley 25. Una política que tenga en cuenta la Ley 25 debe mencionar:

• La persona responsable de la protección de la información personal y cómo comunicarse con ella.
• Que se realiza una evaluación de impacto en la privacidad antes de introducir una nueva tecnología que maneje información personal.
• El uso de la menor cantidad de datos necesaria, eliminando nombres e identificadores cuando sea posible.
• El uso de la información personal solo para su fin original, o con el consentimiento adecuado.
• La obligación de informar a las personas cuando una decisión sobre ellas la toma únicamente un sistema automatizado.

7. Exactitud y revisión

Las herramientas de IA pueden sonar seguras y aun así equivocarse. Indique que el empleado es responsable de todo lo que produzca con IA, que los hechos y las cifras deben verificarse y que todo lo que vaya dirigido a clientes o al público necesita revisión humana.

8. Transparencia y divulgación

¿Cuándo deben las personas decir que usaron IA? Reglas comunes: informar al gerente cuando la IA hizo una gran parte del trabajo, respetar las reglas de los clientes sobre el uso de la IA y asegurarse de que los clientes sepan cuando están hablando con un chatbot de IA.

9. Propiedad intelectual

Cubra dos aspectos: no ingresar en herramientas de IA contenido protegido de otras personas sin tener derecho a hacerlo, y tener cuidado con los resultados de la IA que puedan copiar obras existentes. Mencione que la ley sobre la propiedad del contenido generado por IA todavía está en desarrollo en Canadá.

10. Cómo obtener ayuda

Indique un contacto real, con su cargo y su correo. El mensaje debe ser: “Pregunte antes de actuar”.

11. Infracciones e incidentes

Explique a las personas exactamente qué hacer si pegan algo que no debían: informarlo de inmediato a un contacto designado. Según la Ley 25, las empresas deben registrar los incidentes de confidencialidad y notificar a la Commission d’accès à l’information y a las personas afectadas cuando exista riesgo de perjuicio grave. Informar rápidamente lo hace posible.

12. Revisión de la política

Comprométase a revisarla al menos una vez al año, y cuando cambien las herramientas o las leyes.

13. Constancia de firma

Termine con una breve declaración que cada empleado firme o confirme, en la que indique que leyó la política y que la cumplirá. Lleve un registro de quién firmó.

¿La política debe ser diferente para sectores regulados o agencias?

Sí. La misma estructura funciona, pero las reglas cambian.

• Salud, finanzas y seguros necesitan reglas más estrictas: herramientas aprobadas solo para tipos de datos específicos, un profesional calificado que revise cualquier asesoría o decisión asistida por IA y registros que se conserven para auditorías. Si su autoridad reguladora o colegio profesional tiene reglas más estrictas, esas son las que prevalecen.
• Las agencias de marketing y las consultoras necesitan reglas adicionales sobre los datos y la propiedad intelectual de los clientes: revisar cada contrato con clientes, nunca mezclar el material de un cliente con el de otro y verificar las condiciones de uso comercial antes de entregar imágenes o videos generados con IA.

¿Qué errores debe evitar al redactar una política de IA?

• Prohibir la IA por completo. Las personas la usarán de todos modos, con cuentas personales que usted no puede controlar.
• Redactarla como un contrato. Si los empleados no la entienden, no la cumplirán. Use palabras sencillas.
• Enumerar reglas sin ejemplos. “No comparta datos sensibles” es vago. “No pegue una lista de clientes en ChatGPT” es claro.
• Olvidar el francés. En Quebec, una política que los empleados deben cumplir debe estar disponible en francés.
• Publicarla y olvidarla. Combine la política con capacitación y lleve un seguimiento de las firmas.

¿Cómo se implementa la política?

Preséntela en una reunión breve de equipo, explique el porqué y vincúlela con la capacitación para que las personas vean cómo se ve un buen uso. Recopile la constancia de firma de todos y haga seguimiento con quienes no hayan firmado.

Si quiere adelantar trabajo, Team Tutor AI ofrece una plantilla gratuita de política de uso de IA para empresas canadienses, con los fundamentos de la Ley 25 incluidos. Dentro de la plataforma Team Tutor AI, también puede elegir versiones general, para sectores regulados o para agencias, en inglés y en francés, enviarlas al personal y ver quién las ha firmado, junto a su capacitación en IA.