Política de uso de IA de una página para una pyme, con el registro de sistemas de IA: plantilla para copiar

Quien busca "política de IA para mi empresa" suele temer dos cosas: a que sea un documento de cincuenta páginas que nadie va a leer, y a que sea papel mojado. Las dos se evitan igual: escribiendo solo lo que de verdad hay que decidir, en una cara, y firmándola en la sesión de formación que el Reglamento ya te obliga a dar. Lo que sigue son las seis decisiones, la plantilla, la tabla del registro y de dónde hemos sacado el criterio.

De dónde sale el criterio: la política de la AEPD

En noviembre de 2025 la Agencia Española de Protección de Datos publicó su "Política general interna para el uso de la IA generativa", la primera de una administración española. En enero de 2026 añadió un resumen básico de obligaciones y recomendaciones con un anexo de casos de uso. No es una guía para empresas; es lo que la Agencia se exige a sí misma. Por eso es la mejor referencia: quien va a supervisar cómo se tratan los datos ha dejado por escrito cómo lo hace ella.

Sus reglas caben en cuatro frases. No se introducen datos personales en herramientas de IA generativa sin garantías (contrato, configuración, evaluación previa). Se usan solo herramientas aprobadas, con contrato que fije responsabilidades. Lo que sale se revisa por una persona antes de usarse en cualquier decisión. Y se es transparente sobre dónde se ha usado IA, sobre todo si afecta a alguien. Nuestra plantilla traduce esas cuatro reglas a una empresa de diez personas.

Las seis decisiones

1. Qué herramientas y con qué cuenta. Lista cerrada. Lo que no está en la lista no se usa con datos de la empresa. Al lado de cada una, el tipo de cuenta: personal gratuita (solo para cosas sin datos de nadie), de empresa con contrato de tratamiento, o herramienta contratada a un proveedor (el chat de la web, el lector de facturas). Esta decisión es la tabla del registro.

2. Qué no se mete nunca. Datos personales de clientes, empleados o proveedores (nombre con teléfono, correo, DNI, nómina, dirección); datos de salud; contraseñas y accesos; contratos, presupuestos y facturas con nombre; información que un competidor querría. Con una excepción explícita: las herramientas de la lista que tienen contrato de tratamiento, y solo lo necesario para la tarea.

3. Quién revisa antes de usar. Lo que sale de una herramienta es un borrador. Quien lo envía, publica o aplica responde de él y lo lee entero antes. Cifras, fechas, nombres y referencias legales se comprueban siempre. Ninguna decisión sobre una persona (contratar, evaluar, despedir, conceder o negar algo) se toma con una herramienta de IA; ahí el Reglamento sitúa el alto riesgo y no queremos estar.

4. Dónde se avisa de que hay IA. En el chat de la web y en WhatsApp, en el primer mensaje, siempre. En un texto publicado sobre un asunto de interés público sin revisión humana, con una nota. En correos, ofertas y descripciones revisadas por una persona, no hace falta. Los textos concretos están en la guía del aviso de IA en el chat.

5. Quién responde y a quién se avisa. Una persona con nombre. Aprueba herramientas nuevas, guarda esta política y el acta, y recibe el aviso el mismo día si alguien ha metido un dato que no tocaba. Sin sanciones internas escritas en la primera versión; una política que amenaza no se lee.

6. Cuándo se revisa. Fecha en el pie, revisión anual y con cada herramienta nueva. Cada revisión, una línea en el registro.

La plantilla, para copiar

POLÍTICA DE USO DE INTELIGENCIA ARTIFICIAL DE [EMPRESA]
Versión 1, [fecha]. Responsable: [nombre y puesto].

1. Herramientas. Usamos las herramientas de IA del registro adjunto y solo esas. Una herramienta nueva
   se pide a [responsable], que la añade al registro con el tipo de cuenta y el contrato antes de usarla.

2. Datos que no se introducen. En ninguna herramienta se introducen datos personales de clientes,
   empleados o proveedores, datos de salud, contraseñas, ni contratos, presupuestos o facturas con
   nombre. Excepción: las herramientas del registro marcadas "con contrato de tratamiento", y solo
   con los datos necesarios para la tarea. En cuentas personales o gratuitas, ningún dato de nadie.

3. Revisión. Lo que produce una herramienta es un borrador. Quien lo envía, publica o aplica lo lee
   entero y responde de él; comprueba cifras, fechas, nombres y normas. No se usa IA para decidir
   sobre personas (selección, evaluación, despido, concesión o denegación de algo).

4. Aviso. Cuando un sistema de IA habla con clientes (chat de la web, WhatsApp, teléfono) lo dice en
   el primer mensaje. Un texto generado por IA que se publique sin revisión humana sobre un asunto
   de interés público lleva una nota que lo indica.

5. Incidentes. Si se introduce un dato que no tocaba o una herramienta produce algo que causa un
   problema, se avisa a [responsable] ese mismo día. No se borra ni se oculta.

6. Formación y revisión. Todas las personas que usan IA reciben la sesión de formación al
   incorporarse y firman esta política. La política y el registro se revisan cada año y con cada
   herramienta nueva.

Firma de la persona: ______________________   Fecha: __________

El registro de sistemas de IA, para copiar

Es la tabla que se rellena en voz alta en la sesión de formación. Una fila por herramienta. Las cuatro últimas columnas son las que importan cuando alguien pregunta.

Dos notas sobre la tabla. La columna "Contrato de tratamiento" es la que decide la de "Datos que entran": sin contrato, ningún dato personal. Y la fila del chat de la web es la única que lleva "Sí" en la última columna, porque es la única que habla con gente de fuera; es la obligación del artículo 50.

Qué no arregla la política

No sustituye a lo que ya tenías que tener por el RGPD: el registro de actividades de tratamiento (donde el chat con IA es una actividad más), la cláusula de privacidad en la web y el contrato con cada proveedor. No convierte en legal el uso de una herramienta sin contrato con datos de clientes por mucho que lo firme todo el mundo. Y no vale nada si la persona responsable no existe: el hueco de "responsable" con el nombre del gerente, que no sabe que está ahí, es la forma más rápida de que una política sea papel.

Tampoco es el registro europeo. La base de datos del artículo 71 del Reglamento es para sistemas de alto riesgo y para sus fabricantes; una pyme con ChatGPT y un chat de horarios no inscribe nada en ningún sitio. La tabla de arriba se guarda en tu carpeta, con el acta de la sesión de formación, y ahí termina.

Lo que hacemos de pago, y lo que no hace esta guía

La plantilla y la tabla se pueden copiar tal cual. Lo que entregamos por 149 € en textos y avisos de IA es lo que una plantilla no puede hacer. Adaptarlas a tu caso: tus herramientas de verdad, tus cuentas, qué datos entran en cada una y si hay contrato o no. Colocarlas donde toca: la política firmada en el expediente, el registro relleno, el aviso en tu chat y el párrafo en tu política de privacidad. Y revisar que el aviso legal y la política de privacidad que ya tienes en la web no digan lo contrario, que es lo habitual cuando se hicieron antes de 2024. Va incluido en cualquier asistente que montemos y en el taller de medio día.