Por dónde empezar con la inteligencia artificial en una pyme: qué IA se usa ya, una política de uso, un piloto con datos mínimos y cuándo pedir ayuda.
Por Alex Fernández, Auditor Líder ISO/IEC 27001 e ISO/IEC 42001 · Actualizado el
Para empezar con la inteligencia artificial en una empresa pequeña, lo primero es saber qué IA se usa ya, ponerle una regla de uso, probar un caso con datos mínimos y una persona que revise, y decidir después si hace falta más. Aquí va mi método en cuatro pasos, con un ejemplo trabajado de las primeras cuatro semanas y las señales que me dicen que ya conviene pedir ayuda.
Ese es el orden que recomiendo, y no el contrario. Comprar licencias primero y gobernar después es lo que veo más veces cuando entro en una pyme: la IA ya está en casa, nadie la ha contado y nadie sabe con qué datos trabaja.
Una herramienta de IA se prueba en una tarde. Lo que tarda es decidir qué se le puede dar de comer, quién responde de lo que produce y qué se hace cuando se equivoca. Por eso el método que sigo no gira alrededor de un producto, sino de cuatro preguntas:
Hay una razón normativa y otra práctica. La normativa: el Reglamento (UE) 2024/1689, el AI Act, reparte obligaciones según tu papel (proveedor o responsable del despliegue, art. 3) y según el uso que le des al sistema. No te toca lo mismo por usar un asistente para redactar correos que por usarlo para filtrar currículos. La práctica: si no sabes qué usas, no puedes decidir nada de lo demás.
Qué obliga hoy, con fechas, lo tienes en la guía del AI Act y el 2 de agosto. Para este artículo me quedo con lo que cambia el método: el artículo 4 pide medidas que apoyen la alfabetización en IA de quien la usa, no garantizar un nivel; el artículo 50 (transparencia) se aplica desde el 2 de agosto de 2026; y el alto riesgo del anexo III se aplaza al 2 de diciembre de 2027 por el Reglamento (UE) 2026/1744. Ninguna de esas fechas cambia el orden de los cuatro pasos.
Antes de decidir nada, cuenta. Lo que sale casi siempre en una pyme:
El método completo para encontrarlos, con las seis fuentes y las ocho columnas, está en la guía del inventario de sistemas de IA. Aquí solo te doy la versión mínima para arrancar: una hoja con una fila por uso, y tres columnas para empezar, que son qué herramienta y plan, para qué se usa y qué datos recibe.
Lo que no figure en las compras tampoco aparecerá en ninguna consola. Para eso hace falta preguntar a las personas, sin castigo. Cómo se detecta y se gestiona la IA que usa la plantilla por su cuenta lo explico en la guía del shadow AI.
Y una advertencia sobre los agentes: si alguien ha conectado un asistente a tu correo o a tu almacenamiento, esa conexión tiene una credencial, y suele no tener dueño. Cómo controlarlas está en la guía de las credenciales de los agentes de IA.
Con el inventario delante, escribe una regla de uso corta. No hace falta una política de veinte páginas: hace falta que la plantilla la lea. Lo mínimo que le pido a una regla:
Qué debe decir esa política, cláusula por cláusula, lo desarrollo en la guía de la política de uso de la IA. Lo que sí te adelanto es el efecto sobre el artículo 4: una regla de uso, una sesión de formación con su lista de asistentes y el inventario son, juntos, un registro razonable de las medidas que has adoptado. No es una exigencia de certificado de nadie, y ninguna norma te pide que garantices el nivel de cada persona.
Cuando ya sabes qué usas y con qué reglas, elige un caso. Los criterios con los que lo elijo:
Y los casos que dejaría fuera de un primer piloto: cualquier decisión sobre personas, cualquier cosa que hable con clientes sin que alguien lo lea antes, y cualquier uso en el que el error cueste dinero o reputación antes de poder corregirlo.
Si el caso resulta ser un chatbot de cara a clientes, o contenido generado que se publica, entra en juego el artículo 50 del AI Act. Qué evidencia guardar, sistema por sistema, está en el checklist del artículo 50.
Casi todo lo anterior se hace con una hoja de cálculo y un par de tardes. Pido ayuda externa cuando se da alguna de estas señales:
Ninguna de esas señales significa que haya que contratar a nadie a jornada completa. Significa que alguien con método revise lo que has hecho y te deje un plan priorizado. Cómo lo hago yo está en la consultoría de IA, y lo demás que ofrezco, en servicios. Si me contratas para implantar controles, después no puedo ser el auditor de tu certificación: son trabajos separados.
Empresa ficticia, puesta aquí como ejemplo: una distribuidora de material eléctrico de 30 personas, con oficina comercial, almacén y un responsable de administración que hace de informático. Nadie ha decidido nada sobre IA, pero la plantilla usa asistentes desde hace un año.
| Semana | Qué se hace | Quién | Evidencia que queda |
|---|---|---|---|
| 1 | Se pregunta a la plantilla qué IA usa y se cruza con las facturas y las licencias. Salen cinco usos: un asistente para redactar ofertas, la transcripción de reuniones, la IA del CRM, un chatbot de la web y un script de administración que resume albaranes | Dirección y administración | Hoja con una fila por uso, dueño con nombre y fecha |
| 2 | Se anota el dato que recibe cada uso y se marcan dos que tocan datos de clientes. Se redacta la regla de uso de una página | Dirección | Regla de uso firmada y comunicada por correo |
| 3 | Se elige el piloto: borradores de respuesta a consultas de precio y disponibilidad, sin datos personales y con revisión del comercial antes de enviar. Se escribe la medida de éxito | Responsable comercial | Ficha del piloto: alcance, revisor, medida y fecha de cierre |
| 4 | Sesión de una hora con la plantilla sobre la regla, con lista de asistentes. Se decide qué hacer con el chatbot (revisar el aviso de que es una IA) y con la transcripción (revisar el contrato con el proveedor) | Dirección y administración | Acta de la sesión y dos tareas con dueño y fecha |
La fila más delicada es la de la semana 2. Dos usos tocaban datos de clientes con cuentas personales. No hubo que prohibir nada: se pasaron a cuentas de empresa y se escribió qué datos no se pegan. Lo que no estaba escrito era lo que fallaba.
Al cierre del piloto, la decisión se anota: seguir, ampliar a otro equipo o parar. Y la hoja de la semana 1 se revisa de nuevo, porque habrá cambiado.
Si prefieres empezar con una herramienta aparte de la hoja, Salvik tiene un inventario de sistemas de IA donde anotar cada uso con su responsable, y entra en su prueba de 7 días.
Por saber qué IA se usa ya. Haz una hoja con una fila por uso, pregunta a la plantilla sin castigo y cruza el resultado con las compras. Después escribe una regla de uso de una página y elige un caso para un piloto con datos mínimos.
Sí puede, según tu papel y el uso. Como responsable del despliegue tienes obligaciones propias, por ejemplo las de transparencia del artículo 50 si publicas contenido generado o pones un chatbot ante clientes, y las del artículo 26 con sistemas de alto riesgo, que se aplican desde el 2 de diciembre de 2027 en el caso del anexo III. Si lo integras en un producto con tu marca, puedes pasar a ser proveedor.
El artículo 4 del AI Act pide a proveedores y responsables del despliegue adoptar medidas que apoyen la alfabetización en IA del personal que la usa, no garantizar un nivel concreto, y no tiene una multa propia tipificada. Un registro interno de las formaciones y de la regla de uso es una forma razonable de demostrarlo. La formación que hoy sí obliga y se puede evidenciar en el sector público y sus proveedores es la del ENS.
No hay un artículo que la exija con ese nombre, pero sin ella no hay forma de decir qué se puede hacer y con qué datos. Una página basta para empezar. La ISO 42001, si algún día quieres certificarte, sí pide una política de IA aprobada por la dirección (cláusula 5.2).
Los datos personales de clientes y de la plantilla, las contraseñas y claves, los contratos y la información confidencial, salvo que la herramienta tenga contrato y condiciones que lo permitan y lo hayas revisado. Si el uso trata datos personales, tiene que figurar también en tu registro de actividades de tratamiento del RGPD.
Lo que tarde en tener datos suficientes para decidir: en tareas repetitivas, unas semanas suelen bastar. Lo importante es escribir antes la fecha de cierre y la medida de éxito, y tomar una decisión al final, no dejarlo abierto.
Cuando hay decisiones sobre personas, cuando integras un modelo en un producto con tu marca, cuando un cliente te pregunta por escrito cómo gobiernas la IA o cuando quieres certificarte. Entonces tiene sentido que alguien con método revise lo que has hecho y te deje un plan priorizado.