Generador de políticas de IA

Esta política regula cómo nuestra empresa utiliza la inteligencia artificial (IA) en el trabajo diario. Se aplica a todos los empleados, con independencia del departamento, el puesto o el tipo de contrato, así como a todas las personas que trabajen con herramientas de IA por encargo de la empresa.

Esta política abarca todas las aplicaciones de IA utilizadas con fines laborales: asistentes de texto, servicios de traducción, generadores de imágenes y herramientas similares. También se aplica cuando una herramienta no se nombra expresamente aquí.

Para el trabajo con datos de la empresa, solo están autorizadas las siguientes herramientas de IA: ChatGPT (Team/Enterprise) y Claude.

Otras herramientas de IA solo pueden utilizarse tras una autorización expresa. La autorización la concede la dirección. Así se mantiene la trazabilidad de qué datos fluyen a qué sistemas y se evita que surja una IA en la sombra (shadow AI) a través de herramientas no verificadas.

Las siguientes categorías de datos no pueden introducirse en herramientas de IA salvo que exista una autorización expresa y documentada para el caso concreto: datos personales de clientes, datos de salud, secretos comerciales y contenidos de contratos, credenciales de acceso y código fuente que contenga secretos y datos financieros.

Con independencia de ello, siempre se aplica lo siguiente: los datos personales o confidenciales nunca deben introducirse en herramientas de IA públicas o privadas sin un contrato con la empresa (por ejemplo, las versiones web gratuitas). En caso de duda: anonimice o pregunte primero, y introduzca los datos después.

Los resultados de la IA pueden contener errores, desde datos desactualizados hasta información completamente inventada. Por tanto: toda salida de la IA es revisada por una persona antes de su uso. La responsabilidad de los contenidos que siga utilizando recae en usted, no en la herramienta de IA.

Para los contenidos que se publican o que salen de la empresa (sitio web, ofertas, comunicación con clientes, contratos), se aplica además el principio de los cuatro ojos: una segunda persona revisa el contenido antes de su aprobación.

Los contenidos creados predominantemente por IA y que se dirigen a terceros externos (por ejemplo, textos, imágenes o respuestas en la comunicación con clientes) se identifican como generados por IA. Esto genera confianza y cumple los requisitos de transparencia del AI Act de la UE.

Basta con una breve nota, por ejemplo: «Este contenido se ha creado con ayuda de IA». Los documentos de trabajo internos no necesitan identificarse.

Desde el 2 de febrero de 2025 es aplicable el artículo 4 del AI Act de la UE: las empresas deben garantizar que todos los empleados que utilicen sistemas de IA tengan un nivel suficiente de alfabetización en IA. Esta obligación se aplica con independencia del tamaño de la empresa.

Por tanto: todos los empleados que utilicen herramientas de IA completan una formación básica sobre IA antes de utilizar herramientas de IA con datos de la empresa. La participación se documenta, por ejemplo mediante un certificado; en caso de inspección, esta acreditación es la que cuenta. Los nuevos empleados completan la formación como parte de su incorporación.

Las cuentas de IA privadas (por ejemplo, un acceso personal y gratuito a ChatGPT) no pueden utilizarse para datos de la empresa. Con las cuentas privadas y gratuitas no se garantiza que las entradas permanezcan confidenciales; muchos proveedores las utilizan para entrenar sus modelos.

Las cuentas corporativas autorizadas están disponibles para el trabajo. Si no tiene acceso, diríjase al departamento responsable (véase el § 8).

La responsabilidad de esta política y de su interpretación corresponde a la dirección. Diríjase a este departamento para consultas sobre el uso de la IA, dudas en casos concretos y sugerencias de nuevas herramientas.

Si comete un error (por ejemplo, la introducción accidental de datos confidenciales), comuníquelo de inmediato. Una comunicación rápida protege a la empresa: en determinadas circunstancias, las violaciones de la seguridad de los datos deben notificarse a la autoridad de control en un plazo de 72 horas (art. 33 RGPD). La transparencia ante los errores tiene prioridad sobre las sanciones; las infracciones intencionadas o reiteradas pueden tener consecuencias en el ámbito laboral.

Esta política entra en vigor el 12/11/2026 y permanece vigente hasta nuevo aviso. Se revisa periódicamente y se adapta cuando sea necesario, en particular cuando se autoricen nuevas herramientas o cambie la situación jurídica.

Al utilizar herramientas de IA, los empleados confirman haber leído y comprendido esta política.