La política de IA para equipos pequeños, en una sola página
Diez pasos hacia una norma interna para dos a diez personas que de verdad se lea y se cumpla. Con plantilla para copiar.
En algún momento llega el día en que ya no eres el único de tu equipo que trabaja con IA. La becaria redacta presupuestos con ella, el freelance se hace explicar código, alguien sube una lista de clientes para que se la ordenen. Casi siempre te enteras después.
Una política es la respuesta más barata a eso. No porque un documento impida nada, sino porque sin una base común cada uno se inventa la suya. Y la versión que alguien se monta en silencio para sí mismo es, en caso de duda, la más arriesgada.
Lo que viene aquí es una plantilla de trabajo, no asesoramiento legal. Qué obligaciones te afectan en concreto depende de tu sector y de tu papel, y para eso DACH legal, EU AI Act y GDPR es la entrada correcta. Aquí hablamos del manual de operaciones que va al lado.
1. Limitarla a una página
La tentación es regularlo todo. Doce páginas, bien estructuradas, con definiciones al principio. Un documento así se hojea una vez en el onboarding y no se vuelve a abrir nunca.
Ponte un límite duro: una página. Lo que no quepa o no es lo bastante importante o pertenece a un documento propio. En un equipo de tres a diez personas cubres con eso el noventa por ciento de los casos reales sin esfuerzo.
La prueba es sencilla. Cuando entra alguien nuevo, tiene que leer la cosa en cuatro minutos y saber después qué puede hacer.
2. Tres niveles de aprobación en vez de una lista de prohibiciones
Las listas de prohibiciones envejecen en el momento en que aparece una herramienta nueva. Los niveles duran más.
Verde, sin preguntar. Todo lo que no tenga datos personales ni referencias a clientes. Redactar textos, reunir ideas, resumir información pública, hacerse explicar código, pulir un correo que has escrito tú.
Amarillo, con revisión de una segunda persona. Todo lo que sale hacia fuera o respalda una decisión. Presupuestos, correos a clientes, cifras en una presentación, respuestas a candidatos. Puede nacer con IA, pero no sale hasta que lo haya mirado una persona.
Rojo, solo tras hablarlo contigo. Todo lo que lleve datos de clientes, datos de personal, datos de salud, contratos, credenciales. Y cualquier herramienta nueva que nadie del equipo haya usado todavía.
Tres niveles se los aprende cualquiera. Cinco ya no.
3. Hacer concreta la lista de datos
"Nada de datos sensibles" no es una regla, es una sensación. Cada uno pone la raya en un sitio distinto.
Escribe la lista de forma concreta, con ejemplos de tu propio negocio. Para una agencia pequeña se parece a esto: ningún nombre de cliente combinado con facturación, ninguna candidatura de empleo, ninguna factura con direcciones completas, ninguna credencial ni clave, ningún contrato en su versión original.
Y luego la parte más importante, que es la salida. Anonimizar casi siempre es posible. "Cliente A, facturación anual en la franja media de cinco cifras" da para la mayoría de preguntas respuestas igual de buenas que el nombre real. Si tu política solo prohíbe y no enseña ningún camino, se acabará esquivando. Protección de datos con herramientas de IA entra más a fondo.
4. Llevar una lista positiva de herramientas
No qué herramientas están prohibidas, sino cuáles están aprobadas. De tres a cinco nombres, un equipo pequeño no necesita más.
Además, una línea por herramienta con lo relevante: qué contrato hay detrás, si es una cuenta de empresa o privada, y si los contenidos que se introducen ahí se usan para entrenamiento. Estos puntos difieren bastante entre las tarifas privadas y las de empresa del mismo proveedor, y justo ahí está el error silencioso más frecuente.
Añade una frase sobre cómo llega una herramienta a la lista. En un equipo de tu tamaño basta con esto: herramienta nueva significa hablarlo un momento contigo, y luego entra o no entra.
5. Resolver la cuestión de la responsabilidad en una frase
La frase más importante de toda la política, y es corta: quien lo envía, responde por ello.
No la herramienta, no el proveedor, no el compañero que escribió el prompt. La persona que le da a enviar.
Suena duro, pero es la única versión que funciona. Termina con la discusión de "es que lo dijo la IA" antes de que empiece, y de paso hace que la gente lea de verdad sus resultados en lugar de limitarse a pasarlos. Cómo comprobar de forma sistemática las afirmaciones de una respuesta de IA está en Verificar una respuesta de IA.
6. Regular el etiquetado hacia fuera
Aquí es donde más se separan las opiniones dentro del equipo, y por eso hay que regularlo. Si no, uno etiqueta cada correo y otro no etiqueta nunca nada.
Una línea base utilizable: donde una persona responde del contenido y la IA solo ha ayudado a formular, no hace falta ningún aviso. Donde el contenido ha nacido esencialmente de una máquina, hay que dejarlo claro. Y donde los clientes quieren expresamente hablar con una persona, dices con honestidad quién o qué está respondiendo.
Los detalles y los matices están en Detectar y etiquetar correctamente el contenido de IA.
7. Tratar los datos de clientes aparte
En cuanto los datos de tus clientes entran en una herramienta, deja de ser un asunto interno. Ahí cuelgan compromisos que asumiste frente a tus clientes, a menudo en contratos más antiguos que las herramientas.
Dos líneas en la política bastan para el día a día. Primera: los datos de clientes solo entran en herramientas cuya base contractual esté aclarada. Segunda: en caso de duda, anonimizar o preguntar, nunca dar por hecho en silencio que encaja.
La aclaración en sí es tarea tuya como titular, no de tu gente. Lo que hace falta para eso va en el playbook legal, no en esta única página.
8. Fijar por escrito una vía de aviso sin miedo
Antes o después alguien sube por descuido algo que no debería haber subido. No es cuestión de si pasa.
Lo que ocurra después decide el tamaño del daño. Si la persona lo dice enseguida, puedes reaccionar. Si tiene miedo del follón, te enteras tres meses más tarde y por otra persona.
Así que escríbelo, en este orden: avisar de inmediato, mirar juntos qué hay que hacer, sin consecuencias para los errores honestos. La última media frase es la que hace que la vía sea usable.
9. Probarla con tres casos reales
Antes de repartir la cosa, coge tres situaciones de la última semana y recórrelas. Nada inventado, reales.
Por ejemplo estas tres: alguien quiere que le redacten un presupuesto para un cliente existente. Alguien quiere que le analicen un Excel con cifras de facturación. Alguien quiere probar un generador de imágenes nuevo.
Para cada caso tu página tiene que dar una respuesta inequívoca, en menos de treinta segundos. Si tú mismo tienes que pararte a pensar, la regla es demasiado vaga. Si dos personas del equipo llegan a resultados distintos, más todavía.
10. Darle un sitio y un ritmo
Un documento que nadie encuentra no existe. Va donde tu equipo mira de todas formas, y el enlace va en el onboarding.
Añade una fecha fija de revisión. Dos veces al año basta en este tamaño. Veinte minutos, tres preguntas: qué herramientas usamos ya que no están en la lista. Qué regla ha molestado en la práctica. Qué ha salido mal y todavía falta.
Pon una fecha en la página al escribirla. Una política sin fecha ya no se puede situar al cabo de un año, y en este campo un año es mucho tiempo.
La plantilla
Para copiar y adaptar:
KI-NUTZUNG BEI [FIRMA] Stand: [Datum]
FREIGABE-STUFEN
Grün ohne Rückfrage: keine Personen-, keine Kundendaten
Gelb ein Zweiter schaut drauf: alles was nach aussen geht
Rot vorher mit [Name] sprechen: Kunden-, Personaldaten,
Verträge, Zugangsdaten, neue Tools
NIE EINGEBEN
[eure konkrete Liste, 4 bis 6 Punkte]
Ausweg: anonymisieren ist fast immer möglich.
FREIGEGEBENE TOOLS
[Tool] | [Konto: geschäftlich/privat] | [Training: ja/nein]
VERANTWORTUNG
Wer es abschickt, verantwortet es.
KENNZEICHNUNG
[eure Grundlinie in zwei Sätzen]
WENN ETWAS SCHIEFGEHT
Sofort bei [Name] melden. Keine Konsequenzen für ehrliche Fehler.
ÜBERPRÜFUNG
Nächster Termin: [Datum]
Lo que tienes después
Una página que cuesta cuatro minutos de lectura y que decide de antemano los tres conflictos más frecuentes: qué puede entrar, quién responde, qué pasa cuando hay un fallo.
Lo que no consigue: no sustituye ni una revisión de tus obligaciones concretas ni la aclaración contractual con tus clientes. Las dos cosas siguen siendo tarea tuya, y las dos se vuelven más fáciles con una base interna clara.
El termómetro más honesto llega a los tres meses. Si entonces alguien te pregunta "¿esto es verde o amarillo?", la página ha funcionado. Si ya nadie recuerda que existe, era demasiado larga.