BlogPlantilla de política · IA responsable
Política de IA para empresas británicas: una plantilla con reglas aplicables
Una política de IA útil no se limita a decir «use la IA responsablemente». Indica qué cuenta utilizar, qué datos pueden entrar, qué revisar, quién aprueba los casos de mayor riesgo y qué hacer si algo falla.
Vitalij Kolotikov 8 min de lectura
Inicio interactivo de política IA UK
Genere el primer borrador de reglas operativas
Elija el escenario más cercano. La herramienta crea un borrador en inglés británico y destaca controles que necesitan responsable, evidencia o revisión.
Una plantilla de política de IA para Reino Unido solo sirve si ayuda a una persona a tomar una decisión concreta. «Use la IA responsablemente» no dice si puede subir un contrato de cliente, quién aprueba un conector, qué salida se revisa antes de enviarla o qué evidencia se conserva después de un incidente.
La política debe reducir la ambigüedad sin pretender sustituir asesoramiento jurídico, seguridad o criterio profesional. El generador anterior produce un borrador operativo en inglés para un entorno laboral británico: sustituya cada marcador y páselo por su gobernanza real.
Tres capas en vez de un documento sobrecargado
| Capa | Lector | Decisiones | Ritmo de cambio |
|---|---|---|---|
| Gobernanza de IA | Dirección y responsables | Principios, apetito de riesgo, roles y supervisión | Bajo |
| Uso aceptable | Todos los usuarios | Herramientas, cuentas, datos, controles, prohibiciones e incidentes | Medio |
| Procedimiento por caso | Equipo operativo | Flujo, permisos, pruebas, aprobación, logs y rollback | Alto |
La dirección establece el límite; las reglas cotidianas lo hacen comprensible; el procedimiento convierte un uso de mayor riesgo en un proceso comprobable.
Una norma provisional en 48 horas
Para el trabajo, utilice solo cuentas y herramientas aprobadas. No introduzca datos de clientes, personales, confidenciales, contractuales, de pago o acceso sin autorización escrita del responsable. Verifique hechos, fuentes, derechos, sesgos y confidencialidad antes de usar una salida. La IA no puede decidir sola sobre una persona, publicar, enviar, comprar, modificar registros o comprometer a la empresa sin aprobación. Comunique de inmediato cualquier exposición o acción inesperada a [CONTACTO DE INCIDENTES].
No resuelve todo, pero detiene los errores más probables mientras inventaría herramientas, datos y usos reales.
Asignar decisiones a roles
| Decisión | Responsable típico | Evidencia mínima |
|---|---|---|
| Aprobar proveedor o función | Compras + seguridad + dueño de datos | Evaluación y términos |
| Autorizar datos personales | Responsable de protección de datos | Propósito, base, configuración y decisión DPIA |
| Aprobar un caso de uso | Dueño del proceso + assurance | Ficha, pruebas, límites y decisión |
| Publicar o actuar externamente | Dueño del proceso | Evidencia y aprobación registrada |
| Suspender el sistema | Operaciones o incidentes | Criterio de parada y registro |
| Conceder una excepción | Dueño de política | Razón, alcance, duración y controles |
El responsable de negocio es dueño del resultado; tecnología, seguridad, datos, RR. HH., legal y compras aportan la revisión adecuada al riesgo.
Crear primero el registro de herramientas
Por cada herramienta o función integrada, registre propietario, administrador, proveedor, modelo y configuración, propósitos, usuarios, datos verdes/ámbar/rojos, conectores y permisos, uso del proveedor, conservación y transferencias, controles humanos, logs y fechas de aprobación y retirada.
Una aprobación no es global. Resumir contenido público no autoriza expedientes de personal ni acceso de escritura al CRM.
Semáforo de datos con ejemplos reales
Verde — permitido en herramientas nombradas
Contenido público comprobado, datos sintéticos y plantillas internas expresamente autorizadas, respetando derechos y condiciones.
Ámbar — preguntar al responsable antes de usar
Información interna, datos personales ordinarios, documentos de clientes, trabajos no publicados, contenido contractual o clasificación dudosa. La aprobación define propósito, cuenta, configuración, persona y plazo.
Rojo — prohibido sin procedimiento separado
Credenciales, secretos, pagos, categorías especiales de datos, comunicaciones privilegiadas, información regulada o prohibida por contrato.
Doce secciones de una política útil
- Propósito: valor permitido y conducta esperada.
- Alcance: empleados, contratistas, servicios autónomos y funciones incorporadas.
- Propiedad y excepciones: quién aprueba, interpreta, suspende y documenta excepciones temporales.
- Herramientas y compras: cuentas corporativas, revisión de conectores y prohibición de cuentas personales con datos de empresa.
- Usos aceptables: investigación, ideas, resumen, traducción, redacción y clasificación con controles.
- Usos prohibidos: eludir controles, suplantar, ocultar errores, engañar, exponer datos o decidir sin autorización.
- Verificación humana: fuentes, exactitud, integridad, sesgo, confidencialidad, derechos, tono, destinatario e impacto.
- Decisiones sobre personas: intervención significativa, información, impugnación y pruebas.
- Transparencia: cuándo informar a clientes, empleados o público.
- Propiedad intelectual y confidencialidad: derechos de entrada, riesgos de salida, secretos y contratos.
- Registros e incidentes: qué conservar, plazo, acceso, notificación, contención y pruebas.
- Formación y revisión: acceso tras formación, muestreo, métricas y activadores de actualización.
Puerta separada para usos de mayor riesgo
La solicitud debe describir propósito, personas, datos, proveedor, conectores, acciones, peor error plausible, aprobación, pruebas, base jurídica, conservación, transparencia, responsable, alternativa manual, parada y revisión.
El riesgo surge de herramienta + datos + decisión + público + autoridad, no del nombre del producto.
Probar ocho escenarios de trabajo
| Escenario | Ruta probable | Pregunta decisiva |
|---|---|---|
| Resumir una web pública | Verde | ¿Fuente y derechos comprobados? |
| Traducir documento interno | Ámbar | ¿Herramienta y clasificación aprobadas? |
| Enviar propuesta generada | Ámbar | ¿Claims y destinatario aprobados? |
| Pegar un CV en cuenta personal | Rojo | ¿Datos personales en herramienta no autorizada? |
| Clasificar candidatos automáticamente | Alta garantía | ¿Decisión sobre personas e impugnación? |
| Conectar IA al CRM con escritura | Procedimiento técnico | ¿Mínimo privilegio, logs, aprobación y rollback? |
| Crear imagen similar a una persona real | Escalado de derechos/ética | ¿Consentimiento, engaño y derechos? |
| Conector muestra carpetas inesperadas | Incidente | ¿Puede cortarse acceso y conservar pruebas? |
Contexto jurídico británico en agosto de 2026
Reino Unido no reduce la gobernanza laboral de IA a una única lista del «AI Act». Las obligaciones dependen del uso. La orientación del ICO sobre IA y protección de datos aplica principios británicos al tratamiento de datos personales y recuerda que también pueden intervenir igualdad y normas sectoriales.
La Data (Use and Access) Act 2025 modificó partes del marco, incluidas decisiones significativas basadas únicamente en tratamiento automatizado. Sus notas explicativas describen información, posibilidad de formular observaciones o impugnar e intervención humana. Deben verificarse vigencia y aplicación concreta con la experiencia adecuada.
El plan de orientación tecnológica del ICO prevé orientación final sobre decisiones automatizadas e IA agéntica para invierno de 2026. La Competition and Markets Authority mantiene la responsabilidad empresarial por resultados justos al consumidor; el Código de ciberseguridad de IA aporta principios básicos.
Considere también empleo, igualdad, consumidores, propiedad intelectual, confidencialidad, deberes profesionales, registros, finanzas, salud y contratos. La política dirige estas preguntas a responsables competentes; no las resuelve por sí sola.
Fallos comunes y solución
- «Usar responsablemente»: añada cuentas, datos, aprobaciones, incidentes y ejemplos.
- Prohibición total ignorada: cree una vía verde útil y solicitud sencilla.
- Lista de herramientas sin límites: apruebe por separado fines, datos y conectores.
- Revisión humana débil: muestre fuentes, cambio, incertidumbre e impacto antes de actuar.
- Política sin controles técnicos: aplique accesos, límites, logs y bloqueos en sistemas.
- Sin propietario después del lanzamiento: asigne registro, incidentes, pruebas, formación y revisión.
Plan de aplicación en siete días
- Inventariar herramientas, funciones, cuentas, datos y uso informal.
- Publicar límites provisionales y contacto de incidentes.
- Evaluar herramientas, pausar flujos más peligrosos y nombrar responsables.
- Separar gobernanza, uso aceptable y procedimientos de casos.
- Probar ocho escenarios con varios roles y corregir desacuerdos.
- Configurar cuentas, permisos, logs, bloqueos y formación.
- Registrar aprobación, versión, comprensión, muestras, incidentes y próxima revisión.
Evidencia de funcionamiento
Mida formación, herramientas inventariadas y aprobadas, tiempo de solicitudes, casos de riesgo con procedimiento, errores detectados antes de publicar, incidentes, contención y acciones de revisión. Cero incidentes puede significar control excelente o ausencia de canal: combine métricas, muestreo y entrevistas.
Preguntas al proveedor
- ¿Dónde se procesan y conservan los datos?
- ¿Se usan para entrenar o mejorar el servicio?
- ¿Qué subencargados y transferencias intervienen?
- ¿Podemos desactivar memoria, compartir, conectores y acciones?
- ¿Qué registros y versiones podemos exportar?
- ¿Cómo funcionan borrado, derechos y fin de contrato?
- ¿Qué pruebas respaldan las afirmaciones de seguridad?
- ¿Cómo comunican cambios importantes?
- ¿Puede un administrador revocar acceso y tokens inmediatamente?
- ¿Refleja el contrato nuestros datos, usos, responsabilidad y recursos reales?
Próximo paso práctico
Genere con la herramienta anterior un borrador británico en inglés y revíselo durante 45 minutos con negocio, tecnología/seguridad, datos y usuarios. Sustituya marcadores, pruebe los ocho escenarios y apruebe solo después de asignar cada decisión.
Para aplicarlo con el equipo use un taller de IA empresarial o formación corporativa en IA. Para sistemas conectados, añada los controles de agentes de IA para empresas.
Preguntas frecuentes
¿Necesita una empresa británica una política de IA?
No hay un documento universal para toda organización. Pero si la IA se permite o ya se utiliza, hacen falta reglas proporcionadas que conecten protección de datos, seguridad, confidencialidad, propiedad intelectual, empleo, consumidores, requisitos sectoriales y responsabilidades claras.
¿Qué debe incluir una política de uso de IA?
Como mínimo: propósito, alcance, responsable, herramientas y cuentas aprobadas, datos permitidos y prohibidos, usos aceptables, verificación, autoridad humana, transparencia, decisiones sobre personas, incidentes, registros, formación, excepciones y revisión.
¿Pueden los empleados introducir datos personales en ChatGPT?
No por defecto. Se necesita propósito y base jurídica definidos, cuenta y configuración aprobadas, condiciones adecuadas y decisión del responsable de datos sobre DPIA, transparencia, conservación, transferencias, contratos y derechos.
¿Puede la política autorizar agentes autónomos?
Una norma general no basta. Un sistema conectado que modifica registros, envía mensajes o afecta a personas, dinero o accesos requiere procedimiento propio: mínimo privilegio, límites, logs, aprobación, pruebas, rollback, parada y propietario.
¿Cada cuánto debe revisarse la política?
Defina una revisión periódica y activadores tras incidentes, nuevos casos, cambios relevantes de proveedor, modelo o conector y cambios normativos. El invierno de 2026 ya es un hito útil por las orientaciones anunciadas del ICO.