Qué tiene que decir la política de uso de la IA de tu empresa, quién la aprueba y cómo se revisa, según la ISO 42001 y el AI Act, con un ejemplo.
Por Alex Fernández, Auditor Líder ISO/IEC 27001 e ISO/IEC 42001 · Actualizado el
Una política de uso de la IA dice qué herramientas de inteligencia artificial puede usar la plantilla, con qué datos, para qué y quién responde de lo que salga de ellas. Con la ISO 42001 hace falta, porque la norma pide a la alta dirección una política de IA (cláusula 5.2) y estas reglas pueden ir dentro; sin la norma, es la forma más barata de ordenar lo que tu equipo ya hace con la IA. Aquí va qué tiene que decir, quién la firma y cómo se comunica y se revisa, con un esqueleto trabajado.
Va después del inventario, porque no se decide qué herramientas se permiten sin saber cuáles se usan: lo explico en la guía del inventario de sistemas de IA, y el marco de la norma, en qué es la ISO 42001 y cómo se certifica.
Si la política solo prohíbe, la IA se sigue usando, pero con la cuenta personal de cada uno.
| Norma | Qué pide | Qué supone para la política |
|---|---|---|
| ISO/IEC 42001 | Política de IA establecida por la alta dirección y comunicada (5.2); documentarla, alinearla con las demás y revisarla (A.2.2 a A.2.4); uso responsable y conforme a lo previsto (A.9.2 a A.9.4) | Obligatoria; las reglas de uso pueden ir dentro |
| ISO/IEC 27001 | Políticas temáticas aprobadas por la dirección, comunicadas con acuse de recibo y revisadas (5.1); reglas de uso aceptable (5.10) | Puede ser una política temática más |
| AI Act, art. 4 | Desde el Ómnibus, medidas para apoyar la alfabetización en IA de tu personal y de quien la usa en tu nombre, sin garantizar un nivel concreto | La política explicada y con registro es una de esas medidas |
| AI Act, arts. 5 y 50.4 | Prácticas prohibidas, como inferir emociones en el trabajo (5.1.f), desde febrero de 2025; avisar de ultrafalsificaciones (deepfakes) y de ciertos textos publicados, desde agosto de 2026 (50.4) | Usos que se prohíben o se condicionan |
| RGPD | Contrato con quien trata datos personales por tu cuenta (art. 28), evaluación de impacto si el riesgo es alto (art. 35) y límites a las decisiones solo automatizadas (art. 22) | Qué datos personales entran y dónde |
El artículo 4, sin dramatizar. Obliga a proveedores y a responsables del despliegue; estos son quienes usan un sistema de IA bajo su propia autoridad, salvo en un uso personal no profesional (art. 3.4), así que si tu empresa usa un asistente de IA para trabajar, está dentro. El Ómnibus, el Reglamento (UE) 2026/1744 en vigor desde el 27 de julio de 2026, lo reescribió: pide medidas para apoyar la alfabetización y aclara que no obliga a garantizar un nivel concreto en ninguna persona.
Tampoco tiene multa propia: el artículo 99 no lo incluye entre las infracciones con multa máxima fijada y deja las sanciones a cada Estado. La razón para escribir la política es otra: sin ella, cada persona decide sola qué datos mete en cada herramienta. Las fechas del reglamento, en la guía del AI Act.
Así la escribo, y cabe en dos páginas:
Y una regla por defecto: lo que no está en la tabla no se usa hasta que alguien lo pida. Así cada herramienta nueva acaba en el inventario.
Empresa ficticia: la ingeniería del ejemplo del inventario, con Copilot de Microsoft 365, transcripción de reuniones con clientes, un generador de imágenes en marketing y un filtro de candidaturas en el portal de empleo. Su política:
| Apartado | Qué dice | Quién lo decide |
|---|---|---|
| 1. Alcance | Plantilla y personal externo con cuenta de la empresa; cuenta como IA lo que genere, resuma, transcriba o recomiende, también lo que llega con una actualización | Dirección |
| 2. Herramientas | Aprobadas: Copilot con cuenta de empresa, la transcripción contratada y el generador de imágenes. Solo información pública: asistentes gratuitos. Prohibidas: cuentas personales con información de la empresa y extensiones que leen lo que ves en el navegador | Responsable de sistemas, con la directora de operaciones |
| 3. Datos | La tabla de abajo | Responsable de sistemas, con quien lleve la protección de datos |
| 4. Usos prohibidos | Decidir sobre candidaturas o sobre la plantilla con una IA no aprobada para ello; inferir emociones de la plantilla, salvo por motivos médicos o de seguridad (AI Act, art. 5.1.f); pegar contraseñas o claves | Dirección |
| 5. Revisión humana | Antes de que salgan: ofertas, contratos, mensajes a clientes, cálculos de ingeniería y código | Cada jefe de área |
| 6. Transparencia | Aviso cuando lo publicado sea una ultrafalsificación (art. 50.4) y, por decisión propia, en los informes a clientes con partes redactadas por IA | Marketing, con la dirección |
| 7. Excepciones y dudas | Por formulario, con respuesta en cinco días laborables; cualquiera puede avisar de un uso que le preocupe, sin represalias (A.3.3) | Directora de operaciones, dueña de la política |
| 8. Formación | Una hora al entrar y otra al año, distinta para oficina técnica, comerciales y taller, con registro de asistencia | Responsable de personas |
| 9. Incidentes | Aviso al responsable de sistemas en el día; si hay datos personales, se valora si es una brecha que notificar en 72 horas (RGPD, art. 33) | Responsable de sistemas |
| 10. Seguimiento y revisión | Qué registros de uso se revisan y para qué, dicho por adelantado; revisión anual y con cada disparador | Dirección, con los representantes de los trabajadores |
Y la tabla de datos:
| Información | Copilot con cuenta de empresa | Transcripción contratada | Asistentes gratuitos o cuentas personales |
|---|---|---|---|
| Pública: web, catálogos, normas publicadas | Sí | Sí | Sí |
| Interna: procedimientos y ofertas sin datos del cliente | Sí | Sí | No |
| De clientes: planos, contratos y datos técnicos | Sí, si su contrato no lo impide | Solo si el cliente sabe que se graba | No |
| Datos personales de la plantilla o de candidatos | Solo en usos aprobados por el responsable de personas | No | No |
| Contraseñas, claves y certificados | No | No | No |
La alta dirección, que en una pyme es la gerencia. La ISO 42001 le encarga establecer la política de IA (5.2) y que encaje con la estrategia (5.1); la ISO 27001 pide que las políticas temáticas las apruebe la dirección (control 5.1). La redacta quien lleva la seguridad o los sistemas, con quien lleve la protección de datos, pero qué usos se permiten es una decisión de negocio.
Antes de firmarla, consulta a los representantes de los trabajadores, si los hay. El artículo 87.3 de la LOPDGDD pide su participación en los criterios de uso de los dispositivos digitales y que la plantilla los conozca. Mi lectura es que una política que regula las herramientas digitales de la empresa entra ahí; confírmalo con quien lleve lo laboral.
La ISO 42001 pide comunicar la política dentro de la organización (5.2) y que quien trabaja bajo su control la conozca (7.3). Como auditor, pido ver esto:
Si un cliente pregunta en su cuestionario cómo controláis la IA, eso es lo que enseñas; cómo contestarlo, en la guía del cuestionario de seguridad.
La ISO 42001 pide revisar la política de IA a intervalos planificados y cuando haga falta (A.2.4). Además de la revisión anual, yo fijo cuatro disparadores:
La revisión anual entra en la revisión por la dirección, con las excepciones, los incidentes y las herramientas nuevas del año. Cómo se prepara está en la guía de la revisión por la dirección; es de la ISO 27001, y la 42001 tiene la suya en la misma cláusula, la 9.3.
Si quieres partir de la lista real, Salvik tiene un inventario de sistemas de IA y una función, Descubrir IA, que reconoce herramientas en las exportaciones de Microsoft Entra, Google Workspace, Intune o de tus gastos; las dos entran en su prueba de 7 días.
Si prefieres escribirla con alguien al lado, la política de uso y el inventario son uno de los trabajos de la consultoría de IA, y el resto de lo que hago está en servicios.
Con la ISO 42001, sí: la cláusula 5.2 pide una política de IA establecida por la alta dirección. En el AI Act, el artículo 4 pide medidas para apoyar la alfabetización de tu personal, sin decir cuáles, y una política explicada y con registro es de las más fáciles de demostrar.
La alta dirección, que en una pyme es la gerencia. La redacta quien lleva la seguridad o los sistemas, con quien lleve la protección de datos y, si hay representantes de los trabajadores, con su participación en lo que sean criterios de uso de los dispositivos digitales (LOPDGDD, art. 87.3).
Sí, la empresa decide qué herramientas se usan con su información. Pero si no das una alternativa aprobada, el uso pasa a cuentas personales que nadie controla. Mejor aprobar una con cuenta de empresa y prohibir lo que de verdad preocupa: meter información de clientes o datos personales donde la empresa no llega.
Ayuda, pero no basta sola: el artículo 4 pide medidas para apoyar la alfabetización en IA de quien la usa en tu nombre, y lo que mejor lo demuestra es la política explicada a cada perfil, con registro. Desde el Ómnibus no obliga a garantizar un nivel concreto, y el artículo 99 no le fija multa propia.
La ISO 42001 pide revisarla a intervalos planificados y cuando haga falta (A.2.4). Yo la revisaría una vez al año, en la revisión por la dirección, y con cada herramienta nueva, cada cambio del proveedor sobre tus datos y cada incidente.