Política de uso de IA en la empresa: reglas para tu equipo

Fecha editorial: viernes 9 de octubre de 2026. Una política de uso de IA en la empresa empieza con una pregunta concreta: ¿qué puede pegar tu equipo en un asistente y qué debe quedarse fuera? Una cotización, un contrato o una conversación con un cliente pueden contener información que nadie debería compartir por iniciativa propia.

La intención de ahorrar tiempo suele ser buena. El problema aparece cuando cada persona decide qué herramienta usar, desde qué cuenta y con qué archivos. Para ordenar ese trabajo, proponemos reglas breves, un responsable y ejemplos que el equipo pueda reconocer en su operación diaria.

Qué debe resolver una política de uso de IA en la empresa

La política debe indicar herramientas autorizadas, información permitida, usos que requieren aprobación y quién revisa los resultados. También necesita explicar qué hacer cuando alguien comparte datos por error. Un documento que solo diga “usar la IA responsablemente” deja demasiadas decisiones abiertas.

Antes de escribirlo, identifica qué asistentes utiliza el equipo y para qué tareas. Pide categorías generales, sin recopilar contraseñas ni copiar conversaciones privadas. Si todavía estás definiendo oportunidades, nuestra guía de IA para empresas pequeñas complementa este paso. Aquí nos concentramos en las condiciones para trabajar con información.

Qué permitir y qué información mantener fuera

Como punto de partida, permite materiales públicos, ejemplos ficticios y documentos internos de bajo riesgo autorizados por la empresa. Cada entrada debe contener solo lo necesario. Pedir ayuda para mejorar una plantilla no exige subir el historial completo de tus clientes.

Imagina que ventas necesita reorganizar una cotización. Puede preparar un ejemplo con “Cliente A”, cantidades inventadas y un producto genérico. Antes de compartirlo, debe retirar nombres, teléfonos, domicilios, firmas, folios y cualquier detalle que permita reconstruir la identidad del cliente.

Quitar el nombre no siempre basta. La combinación de un puesto, una ubicación y un incidente concreto puede identificar a alguien. Si no puedes separar el contenido de la persona o del secreto comercial, trabaja con un ejemplo totalmente ficticio.

1. Prohibir en asistentes generales: contraseñas, claves API, tokens de acceso, datos bancarios completos y documentos de identidad.
2. Exigir un proceso especializado: expedientes médicos, información financiera identificable, contratos confidenciales y bases de datos de clientes.
3. Solicitar aprobación: conectar correo, almacenamiento, sistemas internos o carpetas completas a una herramienta.

Estas son reglas operativas propuestas por LoboGeek. Las excepciones deben depender de una evaluación del proveedor, del contrato y del tratamiento de datos; la urgencia de una tarea no sustituye esa revisión.

Cuentas personales y cuentas de empresa

Una cuenta personal pagada no equivale a un espacio empresarial autorizado. La empresa debe decidir qué cuenta se utiliza, quién administra el acceso y cómo se retira cuando una persona cambia de puesto o sale del equipo.

La documentación oficial de OpenAI señala que, en espacios Business, Enterprise y Edu, los datos empresariales no se usan para entrenar modelos por defecto. También explica que los controles dependen del plan, la configuración y las integraciones habilitadas.

Esa protección no autoriza por sí sola a subir cualquier archivo. Retención, accesos y permisos de servicios conectados requieren atención propia. Para las cuentas personales, verifica los controles vigentes antes de usarlas; nuestra recomendación de política es limitar allí el trabajo a contenido público o ficticio.

Quién revisa resultados y responde ante un incidente

Designa un puesto responsable de aprobar herramientas y resolver dudas. En una pyme puede ser gerencia de operaciones, con apoyo técnico y de privacidad cuando sea necesario. Evita compartir una contraseña entre empleados: cada acceso debe tener una persona identificable.

Antes de enviar una respuesta al cliente, alguien debe verificar cifras, condiciones comerciales y referencias. La salida del asistente es material de trabajo pendiente de revisión. Una cotización equivocada puede causar un problema aunque el texto esté bien escrito.

Si se cargó información indebida, detén el uso y avisa al responsable. Registra la herramienta, la hora y las categorías afectadas, sin volver a difundir el archivo. Solicita revocar las credenciales expuestas si las hubo y evalúa las opciones de eliminación y respuesta disponibles.

Genera un primer borrador de tus reglas

La siguiente herramienta utiliza seis respuestas generales para preparar una plantilla. No introduzcas datos reales de clientes ni información confidencial. El generador funciona en el navegador y no necesita enviar las respuestas a un servicio de IA.

El resultado requiere aprobación interna. No acredita cumplimiento legal ni sustituye una evaluación de privacidad para sectores o datos sensibles. Revísalo con quienes conocen tus procesos y comunica la versión aprobada al equipo.

Cómo llevar la política a la operación

Empieza por una tarea acotada, muestra un ejemplo permitido y otro que necesita aprobación, y establece un canal para preguntas. Revisa las reglas cuando incorpores otra herramienta o conectes un sistema nuevo. El objetivo es que cada persona sepa cómo avanzar y cuándo detenerse.

Si necesitas integrar IA con permisos y procesos propios, puedes revisar nuestro servicio de desarrollo de software a la medida. Primero define qué información debe circular y quién puede autorizar cada acción; después elige la solución técnica.

Referencia: OpenAI: seguridad y controles de ChatGPT Work en la nube. Las reglas, ejemplos y plantilla son propuestas editoriales de LoboGeek. Fuentes consultadas el 4 de octubre de 2026; conviene comprobar posibles cambios antes de publicar.