Política de IA para empresas: qué es y cómo cumplir el AI Act

Es un marco aprobado por la dirección y escrito en lenguaje claro, accesible a toda la plantilla. Establece principios, usos permitidos y prohibidos, responsabilidades y procedimientos.

No es un manual técnico. Es la regla común que todos conocen y que cualquier persona de la empresa puede consultar antes de usar una herramienta de IA.

Porque ya hay obligaciones en vigor y otras con plazo cercano:

• Prácticas prohibidas (art. 5). Aplicables desde el 2 de febrero de 2025. Incluyen, entre otras, ciertas formas de manipulación y de puntuación social.
• Alfabetización en IA (art. 4). La empresa debe adoptar medidas para apoyar la promoción de la alfabetización en IA de su personal, sin que se exija garantizar un nivel específico de cada persona.
• Transparencia (art. 50). Aplicable desde el 2 de agosto de 2026. Incluye informar de la interacción con IA y del contenido generado por IA en los supuestos que recoge el artículo. Consulta las disposiciones transitorias aplicables a cada sistema en las fuentes oficiales.
• Sistemas de alto riesgo (anexo III). Fecha de aplicación: 2 de diciembre de 2027, según el calendario publicado por la Comisión Europea. Tienen obligaciones adicionales según el sistema y el rol de la empresa.

Una política útil cubre, como mínimo, estos puntos:

01Ámbito

Qué sistemas cubre, incluidas las herramientas de terceros y el uso individual que los empleados hacen con cuentas propias.

02Usos permitidos y prohibidos

Incluyendo las prácticas que el artículo 5 veta.

03Datos

Qué información nunca se introduce en una herramienta de IA. Por ejemplo, datos personales sin base legal, secretos empresariales o datos de clientes sin las garantías y acuerdos necesarios.

04Roles

Si la empresa actúa como proveedor, responsable del despliegue, importador o distribuidor (arts. 2, 3 y 26). El rol cambia las obligaciones.

05Supervisión humana

Quién revisa cada sistema y con qué capacidad real para corregir o revertir una decisión (art. 14, para sistemas de alto riesgo). También, qué decisiones no pueden ser solo automatizadas (art. 22 RGPD, con sus excepciones y garantías).

06Transparencia

Cómo se informa a clientes y empleados cuando hay IA de por medio, en los supuestos previstos por el artículo 50.

07Formación

Quién recibe formación, sobre qué contenido y con qué periodicidad (art. 4).

08Proveedores

Cláusulas contractuales, encargos de tratamiento (art. 28 RGPD) y transferencias internacionales de datos (capítulo V RGPD).

09Incidentes

Qué se considera incidente, quién decide y a qué autoridad se notifica, cuando corresponda (AESIA o AEPD, según el caso).

10Gobierno

Responsable designado, fecha de aprobación y periodicidad de revisión.

1. 1

   Inventario

   Se listan todos los sistemas de IA en uso, incluidos los que usan los empleados por su cuenta. Sin inventario, el alcance de la política es una suposición.

2. 2

   Clasificación

   Cada sistema se clasifica por nivel de riesgo: prohibido, alto riesgo, riesgo limitado o mínimo. La clasificación determina qué obligaciones aplican.

3. 3

   Redacción con la dirección

   La política la aprueba quien tiene autoridad para hacerla cumplir. Debe reflejar lo que la gente hace y las medidas que la empresa puede aplicar.

4. 4

   Formación y comunicación

   Se explica en qué consiste la política y se resuelven dudas con ejemplos reales de la empresa.

5. 5

   Revisión

   Se revisa periódicamente y siempre que cambie un sistema, un proveedor o la normativa.

• Copiar una plantilla genérica sin hacer antes el inventario.

  El resultado es un documento bonito que no describe la realidad.

• Prohibir la IA en bloque.

  Puede llevar a que los empleados sigan usándola con cuentas personales, sin control.

• Creer que la política sustituye a todo lo demás.

  Necesita formación, contratos con proveedores y un procedimiento de incidentes que funcione.