Tu equipo ya usa IA. ¿Con qué datos?

Una política de uso de IA es un documento breve que fija tres cosas: qué herramientas de inteligencia artificial puede usar el equipo, qué información no se introduce nunca en ellas y quién decide cuando hay dudas. En una pyme cabe en una página. Y conviene escribirla antes de lo que parece, porque es fácil que alguien del equipo ya esté usando IA por su cuenta.

Los datos oficiales apuntan en esa dirección. Según el INE, en el primer trimestre de 2026 el 33,6 % de las empresas de 10 o más empleados utilizaba inteligencia artificial. En Cataluña, el 40,5 %. Y en las empresas de menos de 10 empleados con conexión a internet, el 21,4 %. El propio INE avisa de que estas cifras no son estrictamente comparables con las de años anteriores por cambios en la clasificación de actividades y en el ámbito de la encuesta, así que no voy a hablar de crecimiento. Lo que sí indican es que la IA ya ha entrado en una parte importante de las empresas, también en las de menos de diez personas. La pregunta útil no es si se usa, sino con qué datos y en qué condiciones.

En septiembre escribí sobre lo que se puede hacer con IA gratis, y el artículo incluía una advertencia sobre los datos de terceros. Este es la continuación que esa advertencia pedía: cómo pasar de «ten cuidado» a una regla que todo el equipo entienda.

Por qué «ten cuidado» no es suficiente

«Ten cuidado» deja la decisión en manos de cada persona, en el peor momento: con prisa, delante de un correo que hay que contestar ya. Hay tres motivos para convertir ese consejo en una regla escrita.

1. No todas las cuentas son iguales, aunque se paguen. Es una confusión fácil. En ChatGPT, por ejemplo, el propio centro de ayuda de OpenAI explica que puede usar el contenido de los planes personales (Free, Plus y Pro) para entrenar sus modelos, salvo que el usuario lo desactive en la configuración. Y que, por defecto, no usa el de ChatGPT Business, Enterprise y Edu ni el de su API. Es decir: que alguien de tu equipo pague su suscripción no significa que esté usando una herramienta adecuada para datos de clientes. Lo que importa es el tipo de cuenta y sus condiciones, no el precio.

2. La protección de datos ya obligaba antes de la IA generativa. Introducir datos personales de un cliente en una herramienta externa es un tratamiento de datos. El RGPD exige usar solo los datos necesarios para cada finalidad (principio de minimización) y tratarlos con la confidencialidad y la seguridad adecuadas. Si un proveedor trata datos por cuenta de tu empresa, debe existir un contrato u otro acto jurídico que regule cómo lo hace (el llamado contrato de encargado del tratamiento, del artículo 28 del RGPD). Y la LOPDGDD extiende el deber de confidencialidad a todas las personas que intervienen en el tratamiento, no solo a la empresa.

3. La Agencia Española de Protección de Datos lo ha dejado claro. El 27 de enero de 2026 publicó el decálogo «Cuidado con lo que le confIAs». Entre sus recomendaciones: no compartir datos personales ni información delicada, describir casos ficticios en lugar de reales, revisar las condiciones del servicio antes de usarlo y elegir las versiones más seguras. Y, en el ámbito laboral, seguir las políticas de información y seguridad de cada organización y no incluir información confidencial de la entidad, de su personal o de sus clientes. Fíjate en el detalle: la AEPD remite a las políticas de cada organización. Si no existen, cada persona decide por su cuenta. La propia Agencia publicó la suya en noviembre de 2025, para el uso de IA generativa en sus procesos administrativos.

Qué dice la norma, sin dramatismo

No hace falta ser abogado para entender lo esencial. Este es el mapa, en lenguaje llano:

Sobre el artículo 4 del Reglamento de IA hay una novedad que conviene conocer. El Reglamento (UE) 2026/1744, el llamado Ómnibus digital, reescribió ese artículo este verano. Antes pedía «garantizar» un nivel suficiente de alfabetización en IA. Ahora pide adoptar medidas para apoyarla, y aclara que no exige garantizar un nivel concreto en ninguna persona. Es una suavización, no una desaparición: la obligación sigue alcanzando a toda empresa que use IA en su actividad profesional, sea cual sea el nivel de riesgo. Una política de una página y una sesión de formación documentada pueden formar parte de esas medidas.

Para los despachos hay una capa más. El Estatuto General de la Abogacía extiende el secreto profesional a todos los hechos, comunicaciones, datos, informaciones, documentos y propuestas que el abogado conoce, emite o recibe en su ejercicio profesional. La LOPDGDD añade que su deber de confidencialidad complementa los deberes de secreto profesional. Y la guía de buenas prácticas sobre IA del Colegio de la Abogacía de Madrid (octubre de 2025) insiste en que delegar una tarea en la tecnología no es delegar la responsabilidad: lo que se apoya en herramientas externas debe regirse por los mismos estándares de diligencia, transparencia y confidencialidad. Nada de esto prohíbe la IA. Exige que la herramienta se haya evaluado antes de recibir información de clientes.

La política en una página: seis apartados

No necesitas un manual de cuarenta páginas. Necesitas que cualquier persona del equipo sepa qué hacer en diez segundos. Esta estructura cabe en una hoja:

1. Herramientas autorizadas. Una lista corta, con nombre y tipo de cuenta. Por ejemplo: «Asistente X, cuenta de empresa gestionada por la oficina». Lo que no está en la lista no se usa para trabajar. Si alguien necesita otra herramienta, la pide.

2. Qué datos pueden entrar y cuáles no. Funciona mejor en tres niveles que en una lista infinita:

• Siempre se puede: textos propios, ideas, borradores sin datos de personas, información pública, plantillas.
• Solo en herramientas autorizadas para ello: datos de clientes o proveedores que hagan falta para la tarea, documentos internos, cifras de la empresa.
• Nunca: datos de salud, documentos de identidad, datos bancarios, contraseñas, información sujeta a secreto profesional en herramientas no evaluadas y cualquier cosa que no enseñarías a un desconocido.

Cuando la tarea lo permita, se sustituyen nombres y datos identificativos por otros ficticios. Es lo que recomienda la AEPD.

3. Revisión humana. Lo que genera la IA es un borrador. Antes de enviarlo a un cliente, presentarlo o firmarlo, una persona lo revisa. Quien lo envía responde de su contenido, igual que si lo hubiera escrito desde cero.

4. Quién decide. Una persona con nombre y apellido que resuelve dudas, aprueba herramientas nuevas y actualiza la lista. En una empresa de cinco personas, probablemente seas tú.

5. Formación mínima. Una sesión breve al incorporar a alguien o al aprobar una herramienta nueva: qué hace, qué no hace, qué datos admite y cómo detectar errores. Se anotan la fecha y quién asistió. Con eso puedes acreditar parte de las medidas del artículo 4.

6. Revisión periódica. Las herramientas y sus condiciones cambian. Una fecha en el calendario cada seis meses para revisar la lista y las condiciones de cada servicio.

Plantilla para copiar

Política de uso de IA de [empresa] · Versión [fecha] · Responsable: [nombre]

Herramientas autorizadas: [herramienta, tipo de cuenta, para qué se usa].

Siempre se puede introducir: textos propios, ideas, borradores sin datos personales, información pública.

Solo en las herramientas autorizadas para ello: [datos de clientes necesarios para la tarea, documentos internos].

Nunca: datos de salud, documentos de identidad, datos bancarios, contraseñas, [información sujeta a secreto profesional], [otros].

Si dudas: no lo introduzcas y pregunta a [responsable].

Todo resultado se revisa antes de enviarlo, presentarlo o firmarlo.

Formación: sesión al incorporarse y al aprobar una herramienta nueva. Registro en [lugar].

Próxima revisión: [fecha].

Cómo implantarla en una semana

Lunes. Pregunta sin buscar culpables. Qué herramientas usa cada persona, para qué y con qué cuenta. Si la pregunta suena a auditoría, te contarán la mitad. Si suena a «queremos hacerlo bien entre todos», te contarán lo que de verdad pasa.

Martes. Decide las herramientas. Con lo que hayas aprendido, elige una o dos. Revisa en sus condiciones si usan tus datos para entrenar modelos y si ofrecen contrato de encargado del tratamiento para empresas.

Miércoles. Escribe la página. Con la plantilla de arriba. Si tienes que explicarla, es que todavía es larga.

Jueves. Treinta minutos con el equipo. Repasáis la página con dos o tres ejemplos reales de vuestro trabajo. Anota quién asistió.

Viernes. Publícala donde se vea y pon la fecha de la próxima revisión en el calendario.

Lo que una política de una página no resuelve

Prefiero decirlo yo antes de que lo descubras.

• No sustituye a revisar los contratos. Si una herramienta va a trabajar de forma habitual con datos de clientes, alguien tiene que leer sus condiciones, comprobar dónde se tratan los datos y firmar el contrato de encargado del tratamiento que corresponda. Una página no hace eso por ti.
• No evita los errores de la IA. Reduce el riesgo de que los datos salgan de donde no deben. Que las respuestas sean correctas depende de la revisión humana.
• No es lo mismo que automatizar con datos de clientes. Si quieres que una herramienta procese expedientes o responda a clientes sin intervención, eso ya es un proyecto que se diseña con sus garantías desde el principio, y tiene sus propias obligaciones, como avisar de que se está hablando con una IA (lo expliqué en este artículo sobre el AI Act).
• Si de verdad nadie en tu empresa usa IA, todavía no la necesitas. Pero pregunta antes de darlo por hecho.

¿Quieres saber qué herramientas de IA usa tu equipo y con qué datos? Empieza por el diagnóstico. Diagnóstico IA 99€

Preguntas frecuentes

¿Es obligatorio tener una política de uso de IA?

Ninguna norma exige un documento con ese nombre. Pero el RGPD obliga a aplicar medidas para proteger los datos personales y el artículo 4 del Reglamento de IA obliga a adoptar medidas de alfabetización en IA del personal. Una política breve, junto con una formación documentada, es una forma sencilla y demostrable de avanzar en ambas.

¿Pagar una suscripción personal a un asistente de IA es suficiente para usarlo con datos de clientes?

No necesariamente. Lo que cuenta es el tipo de cuenta y sus condiciones. En algunos asistentes, el proveedor puede usar el contenido de los planes personales, también los de pago, para entrenar sus modelos salvo que el usuario lo desactive, mientras que en los planes de empresa no lo hace por defecto. Revisa siempre las condiciones del plan concreto.

¿Qué datos no deberían introducirse nunca en una herramienta de IA no autorizada?

Datos personales de clientes o empleados, datos de salud, documentos de identidad, datos bancarios, contraseñas e información sujeta a secreto profesional. La AEPD recomienda además describir casos ficticios en lugar de reales cuando sea posible.

¿Cada cuánto hay que revisar la política?

Cada seis meses es una referencia razonable, y siempre que se apruebe una herramienta nueva o cambien las condiciones de una que ya uséis.

Para terminar

La IA ya está en tu empresa, la hayas invitado o no. Una página bien escrita convierte eso en una ventaja: el equipo sabe qué puede hacer sin preguntar, qué no debe hacer nunca y a quién acudir cuando no lo tiene claro. No requiere presupuesto, solo una semana y la voluntad de hablarlo sin buscar culpables.

Si quieres ayuda para revisar qué herramientas usa tu equipo y dejar la política escrita y aplicada, puedo acompañarte desde Cumplimiento IA. Y si prefieres empezar por ver dónde tiene sentido la IA en tu caso, el Diagnóstico IA es un primer paso sin compromiso.

Nota de transparencia: este artículo se ha elaborado con asistencia de herramientas de IA y ha pasado por revisión humana con responsabilidad editorial de Isenzo IA. Es contenido divulgativo y no constituye asesoramiento jurídico. Las normas y condiciones citadas reflejan su estado a octubre de 2026; verifica siempre la fuente oficial antes de tomar decisiones.

Fuentes

• INE. Encuesta sobre el uso de TIC y del comercio electrónico en las empresas. Año 2025, primer trimestre 2026. Datos definitivos (22 de octubre de 2026).
• Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA), que modifica el Reglamento (UE) 2024/1689. BOE, DOUE-L-2026-81147.
• Reglamento (UE) 2016/679 (RGPD), artículos 5 y 28. EUR-Lex.
• Ley Orgánica 3/2018 (LOPDGDD), artículo 5. BOE.
• Real Decreto 135/2021, Estatuto General de la Abogacía Española, artículos 21 y 22. BOE.
• Ley Orgánica 5/2024, del Derecho de Defensa, artículo 16. BOE.
• AEPD. Nota de prensa del decálogo «Cuidado con lo que le confIAs» (27 de enero de 2026) y documento del decálogo.
• AEPD. Política general para el uso de IA generativa en procesos administrativos de la AEPD (versión de 27 de noviembre de 2025).
• OpenAI, centro de ayuda. How your data is used to improve model performance.
• Ilustre Colegio de la Abogacía de Madrid. Presentación de la Guía de Buenas Prácticas para el Uso de la Inteligencia Artificial en la Abogacía (7 de octubre de 2025).