Política de uso de IA
Aprobada por dirección y comunicada a la plantilla, con lo permitido, lo que requiere autorización y lo prohibido.
La gobernanza IA es el conjunto de reglas, registros y responsables que permite a una empresa explicar qué sistemas de inteligencia artificial usa, con qué datos, quién responde de cada uno y qué supervisa una persona. Es lo que exige la ley de inteligencia artificial europea y lo que hace posible una IA responsable. En la mayoría de las organizaciones la IA entró antes que la política: personas de cada departamento usan asistentes con datos de clientes, contratos o código sin que nadie lo haya decidido. Es el shadow AI, y cuando un cliente, un auditor o un regulador pide evidencia, no hay registro que enseñar.
Construimos esa gobernanza en semanas, con documentos que se usan y una plataforma que registra por sí sola. No es un freno: es lo que permite poner agentes en producción con confianza.
Pedir un diagnóstico de 30 minutosInventario de los usos actuales de IA, sueltos o de plataforma, mediante entrevistas cortas y revisión de accesos, con responsable, datos tratados y finalidad de cada uno. El primer trabajo de gobernanza es hacer visible lo que ya existe sin castigarlo: un inventario honesto muestra las necesidades reales de la plantilla. Qué riesgos tiene y cómo encauzarlo, en shadow AI.
Cada uso se clasifica en uno de los cuatro niveles del reglamento europeo de inteligencia artificial (AI Act): riesgo mínimo, limitado, alto o prohibido, por finalidad y nunca a la baja. Para cada sistema o agente, una ficha de riesgo: para qué existe, qué datos trata, qué puede salir mal y quién lo vigila. Un mapa de obligaciones separa las generales de las de alto riesgo y transparencia . La guía, en cómo adaptar su empresa al reglamento europeo de IA.
Una política de uso de IA en dos páginas que la plantilla lee: qué está permitido, qué requiere autorización y qué está prohibido, con reglas para datos personales, información confidencial y asistentes externos. Nivel de supervisión humana y puntos de aprobación por sistema, con registro de quién aprueba y cuándo. Seguridad desde el diseño: mínimo privilegio en cada conexión, aislamiento por ejecución, datos que no salen de la organización ni entrenan modelos de terceros, y protección conforme al RGPD.
La gobernanza de la IA no se sostiene con hojas de cálculo. En Génesis cada agente lleva su ficha de riesgo y su clasificación, las aprobaciones quedan con autor y hora y cada ejecución deja traza y coste; los sistemas que no viven en la plataforma se incorporan al mismo inventario . La auditoría de IA deja de ser un proyecto anual y pasa a ser una consulta al registro, con un procedimiento de incidentes, revisión periódica y formación de los perfiles implicados.
Aprobada por dirección y comunicada a la plantilla, con lo permitido, lo que requiere autorización y lo prohibido.
Todos los sistemas de IA con responsable, datos, finalidad y nivel de riesgo según el reglamento europeo.
Nivel de supervisión humana y puntos de aprobación definidos para cada sistema o agente, útil al auditor y a quien opera.
Las obligaciones aplicables a su empresa, separando las generales de las de alto riesgo y transparencia.
Qué hacer cuando un sistema falla o se usa fuera de su finalidad, con revisión periódica del inventario.
Trazas, aprobaciones y cambios de versión disponibles para revisión, y un responsable interno formado para mantener la gobernanza.
Dirección general y de cumplimiento. Necesitan responder ante el consejo, un cliente o un regulador qué IA usa la empresa y con qué garantías.
Responsables de IT y de protección de datos. Quieren integrar la IA en los controles que ya tienen, sin duplicar registros.
Dirección de sectores regulados. En finanzas y sanidad la trazabilidad no es opcional y el registro debe existir antes de que lo pidan.
Es usar inteligencia artificial sabiendo en todo momento qué sistemas hay, con qué datos trabajan, quién responde de cada uno y qué decisiones revisa una persona. Se concreta en una política de uso, un inventario clasificado por riesgo, supervisión humana definida y un registro que permite explicar cualquier resultado ante un cliente, un auditor o un regulador.
A todas las empresas que usan IA les exige retirar los usos prohibidos y asegurar la alfabetización en IA de su personal. Las obligaciones más exigentes (gestión de riesgos, documentación, supervisión, registro) recaen en los sistemas de alto riesgo y en algunos de transparencia. Por eso el primer paso es inventariar y clasificar .
Haciéndolo visible y dándole una alternativa. Un inventario honesto de lo que la plantilla ya usa muestra las necesidades reales. Después, una política clara de lo permitido y herramientas autorizadas con los datos dentro de la organización. Prohibir sin ofrecer alternativa solo esconde el uso; gobernarlo lo convierte en capacidad.