En 2026, buena parte de los empleados de empresas mid-market usa ChatGPT o una herramienta similar en su trabajo, al menos ocasionalmente. En la mayoría de los casos, sin que la empresa haya definido políticas internas claras de uso. Lo que parecía un detalle de control se ha convertido en exposición no medida.
Permitir el uso de IA sin política es asumir riesgos invisibles. Prohibirlo del todo no funciona (los empleados lo usan en su cuenta personal pegando datos sensibles igualmente). El equilibrio correcto es una política clara que permita uso productivo sin asumir riesgos innecesarios.
Este artículo lista las 7 políticas mínimas que una empresa B2B necesita definir.
Política 1 — Qué herramientas están autorizadas
No es lo mismo ChatGPT Plus que ChatGPT Enterprise, ni Claude que Gemini, ni cualquiera de ellos que herramientas autoservicio de empresas de las que nunca se ha oído hablar.
La política define explícitamente: lista de herramientas autorizadas para uso laboral. Si se usa otra, requiere aprobación previa. La diferencia entre versiones sin coste (que entrenan con tu input) y versiones empresariales (que normalmente no) debe estar clara.
Política mínima: ChatGPT Enterprise (o Plus Team), Claude for Work, o equivalente con contrato empresarial. Versiones sin contrato empresarial, autorizadas solo con datos no sensibles.
Política 2 — Qué datos pueden entrar en la IA
Esta es la política más importante y la más violada en la práctica.
Tres categorías de datos:
Categoría A — Datos públicos o creados por el empleado para uso interno. Texto que ya iba a ser público (post de LinkedIn, descripción de producto), notas de reunión propia, ideas que aún no son confidenciales. Uso libre dentro de herramientas autorizadas.
Categoría B — Datos internos no confidenciales. Información de procesos generales de la empresa, plantillas, documentos no marcados como confidenciales. Uso permitido solo en herramientas con contrato empresarial (no en versiones sin contrato).
Categoría C — Datos confidenciales o personales. Información de clientes identificable, datos de contratos privados, comunicaciones internas sensibles, datos personales (RGPD). Prohibido salvo aprobación específica para sistemas IA on-premise o con contrato de tratamiento de datos firmado.
Sin esta política, los empleados pegan información de clientes en ChatGPT para "que les ayude a redactar la propuesta". Esto es una infracción potencial del RGPD y un compromiso de confidencialidad con el cliente.
Política 3 — Qué decisiones pueden tener output IA sin revisión
Tres niveles.
Nivel verde — Asistencia sin consecuencias formales. Redactar borradores, resumir información para uso propio, buscar ideas. El humano revisa antes de cualquier uso externo. Sin requisito de documentación.
Nivel amarillo — Asistencia con revisión humana obligatoria. Output que va a clientes o a decisiones formales internas, pero donde la IA solo asiste y el humano confirma. Requiere revisión documentada.
Nivel rojo — Prohibido sin supervisión específica. Decisiones contractuales, comunicaciones formales en nombre de la empresa sin revisión, output que entra directamente en sistemas críticos. Requiere capa adicional de supervisión y trazabilidad.
Política 4 — Trazabilidad y documentación
Para output IA en nivel amarillo o que entra en flujos críticos, qué documentación hay que mantener.
Mínimo razonable: registro de qué herramienta se usó, qué prompt se introdujo, qué output se obtuvo y quién lo revisó. Para sectores regulados (financiero, sanitario), requisitos adicionales que la política debe alinear con la regulación específica.
Sin trazabilidad, en caso de incidencia (un cliente reclama por una respuesta automatizada incorrecta, un regulador pide explicación de una decisión), la empresa no puede defender qué pasó.
Política 5 — Política de comunicación al cliente
¿El cliente sabe cuándo está recibiendo output IA o cuándo interactúa con un sistema IA?
El AI Act europeo obliga a transparencia: el receptor debe saber que está interactuando con un sistema IA cuando es relevante. Saltarse esto es una infracción regulatoria.
La política debe definir: qué canales son transparentes (atención al cliente con chatbot etiquetado como tal), qué comunicaciones formales firmadas por una persona requieren participación humana real, qué casos requieren consentimiento explícito del receptor para el uso de IA.
Política 6 — Política de propiedad intelectual del output
Tres preguntas a responder.
- ¿El output IA producido por un empleado en horario laboral es propiedad de la empresa? (Habitualmente sí, pero conviene definirlo.)
- ¿La empresa autoriza que ese output se use en producto o servicio comercializado al cliente? (Depende; algunos sectores tienen restricciones.)
- ¿Quién responde si el output IA infringe derechos de terceros (plagio inadvertido, copia de texto protegido)? (La empresa, no el empleado, pero la política debe documentar cómo se previene.)
Sin estas tres respuestas escritas, hay una ambigüedad legal que puede acabar en litigio interno o con el cliente.
Política 7 — Política de revisión y actualización
La IA cambia rápido. Una política definida hoy puede quedarse obsoleta en 6-12 meses. La política debe definir su propio proceso de revisión.
Mínimo: revisión semestral del comité responsable (típicamente dirección general + tecnología + legal). Actualización formal con comunicación al equipo. Acuse de recibo de los cambios importantes.
Cómo se redacta una política IA interna sin sobre-regular
Tres principios para que la política sea operativa y no se convierta en papel mojado.
Principio 1 — Permisiva por defecto, restrictiva en zonas sensibles. Si la política dice "todo prohibido salvo aprobación", el equipo la salta. Si dice "uso libre con estas restricciones claras", se respeta.
Principio 2 — Documento corto, no manual de 80 páginas. Una política operativa cabe en 6-10 páginas. Si necesita más, se ha sobre-regulado.
Principio 3 — Acompañada de formación, no impuesta sin contexto. Una política sin formación se vive como burocracia. Una política con formación se entiende y se aplica.
Por qué Nexus incluye este componente en la formación
En los programas de formación B2B en IA de Nexus, una de las primeras sesiones del nivel directivo es trabajar la política IA de la empresa cliente. No imponemos un modelo; ayudamos a la dirección a definir su política sobre su contexto real.
Después, la formación operativa se ancla en esa política. El equipo aprende a usar IA respetando lo que la propia empresa ha definido. Coherencia entre lo que se enseña y lo que la empresa permite.
Sin política definida, la formación crea expectativas que la empresa luego no apoya. Con política definida, la formación es palanca de adopción ordenada.
Sigue leyendo
- Formación Corporativa en IA: Cómo Capacitar a tu Equipo Sin Perder Semanas de Productividad
- Formación IA a la Plantilla vs Contratar Perfiles Nuevos: Cuál Conviene en 2026
- Cómo formar a tu equipo en IA aplicada sin gastar una fortuna
- Guía de formación B2B en IA
- Formación B2B en IA
- Formación en IA bonificable por FUNDAE