El teu equip ja fa servir IA. Amb quines dades?

Com escriure una política d'ús de la IA d'una pàgina per a la teva pime o despatx. Una política d'ús de la IA d'una pàgina: quines eines fa servir el teu equip, quines dades no hi entren mai i qui decideix. Amb plantilla, base legal verificada i passos per implantar-la en una setmana.

Rafael Vidal Barreda ·

Persones caminant davant d'una gran paret de vidre en quadrícula, imatge sobre la política d'ús de la IA a pimes i despatxos
Imatge generada amb IA

Una política d'ús de la IA és un document breu que fixa tres coses: quines eines d'intel·ligència artificial pot fer servir l'equip, quina informació no s'hi introdueix mai i qui decideix quan hi ha dubtes. En una pime cap en una pàgina. I convé escriure-la abans del que sembla, perquè és fàcil que algú de l'equip ja faci servir la IA pel seu compte.

Les dades oficials apunten en aquesta direcció. Segons l'INE, el primer trimestre del 2026 el 33,6 % de les empreses de 10 o més treballadors utilitzava intel·ligència artificial. A Catalunya, el 40,5 %. I a les empreses de menys de 10 treballadors amb connexió a internet, el 21,4 %. El mateix INE adverteix que aquestes xifres no són estrictament comparables amb les d'anys anteriors per canvis en la classificació d'activitats i en l'àmbit de l'enquesta, així que no parlaré de creixement. El que sí que indiquen és que la IA ja ha entrat en una part important de les empreses, també en les de menys de deu persones. La pregunta útil no és si es fa servir, sinó amb quines dades i en quines condicions.

Al setembre vaig escriure sobre el que es pot fer amb IA gratuïta, i l'article incloïa una advertència sobre les dades de tercers. Aquest n'és la continuació: com passar de «vés amb compte» a una norma que tot l'equip entengui.

Per què no n'hi ha prou amb «vés amb compte»

«Vés amb compte» deixa la decisió en mans de cada persona, en el pitjor moment: amb pressa, davant d'un correu que cal respondre ara mateix. Hi ha tres motius per convertir aquest consell en una norma escrita.

1. No tots els comptes són iguals, encara que es paguin. És una confusió fàcil. A ChatGPT, per exemple, el mateix centre d'ajuda d'OpenAI explica que pot fer servir el contingut dels plans personals (Free, Plus i Pro) per entrenar els seus models, tret que l'usuari ho desactivi a la configuració. I que, per defecte, no fa servir el de ChatGPT Business, Enterprise i Edu ni el de la seva API. És a dir: que algú del teu equip pagui la seva subscripció no vol dir que faci servir una eina adequada per a dades de clients. El que importa és el tipus de compte i les seves condicions, no el preu.

2. La protecció de dades ja obligava abans de la IA generativa. Introduir dades personals d'un client en una eina externa és un tractament de dades. El RGPD exigeix fer servir només les dades necessàries per a cada finalitat (principi de minimització) i tractar-les amb la confidencialitat i la seguretat adequades. Si un proveïdor tracta dades per compte de la teva empresa, hi ha d'haver un contracte o un altre acte jurídic que reguli com ho fa (l'anomenat contracte d'encarregat del tractament, de l'article 28 del RGPD). I la LOPDGDD estén el deure de confidencialitat a totes les persones que intervenen en el tractament, no només a l'empresa.

3. L'Agència Espanyola de Protecció de Dades ho ha deixat clar. El 27 de gener de 2026 va publicar el decàleg «Cuidado con lo que le confIAs». Entre les seves recomanacions: no compartir dades personals ni informació delicada, descriure casos ficticis en lloc de reals, revisar les condicions del servei abans de fer-lo servir i triar les versions més segures. I, en l'àmbit laboral, seguir les polítiques d'informació i seguretat de cada organització i no incloure informació confidencial de l'entitat, del seu personal o dels seus clients. Fixa't en el detall: l'AEPD remet a les polítiques de cada organització. Si no existeixen, cada persona decideix pel seu compte. La mateixa Agència va publicar la seva al novembre del 2025, per a l'ús de la IA generativa en els seus processos administratius.

Què diu la norma, sense dramatisme

No cal ser advocat per entendre l'essencial. Aquest és el mapa, en llenguatge planer:

NormaQuè demanaQuè vol dir en una pime
RGPD, article 5Minimització de dades, confidencialitat i seguretatNo posar en una eina més dades personals de les necessàries per a la tasca
RGPD, article 28Contracte amb qui tracta dades per compte teuSi una eina ha de treballar amb dades de clients, comprovar que el seu pla ofereix aquest contracte
LOPDGDD, article 5Deure de confidencialitat de totes les persones que intervenen en el tractamentL'obligació arriba també a cada persona de l'equip
Reglament d'IA (AI Act), article 4Adoptar mesures per donar suport a l'alfabetització en IA del personalFormar l'equip en les eines que fa servir i poder-ho demostrar
Estatut general de l'advocacia espanyola (articles 21 i 22) i Llei orgànica 5/2024 del dret de defensa (article 16)Secret professional i confidencialitat de les comunicacionsEn un despatx, la informació del client no surt cap a eines sense garanties avaluades

Sobre l'article 4 del Reglament d'IA hi ha una novetat que convé conèixer. El Reglament (UE) 2026/1744, l'anomenat Òmnibus digital, va reescriure aquest article aquest estiu. Abans demanava «garantir» un nivell suficient d'alfabetització en IA. Ara demana adoptar mesures per donar-hi suport, i aclareix que no exigeix garantir un nivell concret en cap persona. És una suavització, no una desaparició: l'obligació continua afectant tota empresa que faci servir la IA en la seva activitat professional, sigui quin sigui el nivell de risc. Una política d'una pàgina i una sessió de formació documentada poden formar part d'aquestes mesures.

Per als despatxos hi ha una capa més. L'Estatut general de l'advocacia espanyola estén el secret professional a tots els fets, comunicacions, dades, informacions, documents i propostes que l'advocat coneix, emet o rep en el seu exercici professional. La LOPDGDD hi afegeix que el seu deure de confidencialitat complementa els deures de secret professional. I la guia de bones pràctiques sobre IA del Col·legi de l'Advocacia de Madrid (octubre del 2025) insisteix que delegar una tasca en la tecnologia no és delegar-ne la responsabilitat: el que es recolza en eines externes s'ha de regir pels mateixos estàndards de diligència, transparència i confidencialitat. Res de tot això prohibeix la IA. Exigeix que l'eina s'hagi avaluat abans de rebre informació de clients.

La política en una pàgina: sis apartats

No et cal un manual de quaranta pàgines. Et cal que qualsevol persona de l'equip sàpiga què ha de fer en deu segons. Aquesta estructura cap en un full:

1. Eines autoritzades. Una llista curta, amb el nom i el tipus de compte. Per exemple: «Assistent X, compte d'empresa gestionat per l'oficina». El que no és a la llista no es fa servir per treballar. Si algú necessita una altra eina, la demana.

2. Quines dades hi poden entrar i quines no. Funciona millor en tres nivells que en una llista infinita:

  • Sempre es pot: textos propis, idees, esborranys sense dades de persones, informació pública, plantilles.
  • Només en eines autoritzades per a això: dades de clients o proveïdors que calguin per a la tasca, documents interns, xifres de l'empresa.
  • Mai: dades de salut, documents d'identitat, dades bancàries, contrasenyes, informació subjecta a secret professional en eines no avaluades i qualsevol cosa que no ensenyaries a un desconegut.

Quan la tasca ho permeti, se substitueixen els noms i les dades identificatives per uns altres de ficticis. És el que recomana l'AEPD.

3. Revisió humana. El que genera la IA és un esborrany. Abans d'enviar-lo a un client, presentar-lo o signar-lo, una persona el revisa. Qui l'envia respon del contingut, igual que si l'hagués escrit des de zero.

4. Qui decideix. Una persona amb nom i cognom que resol dubtes, aprova eines noves i actualitza la llista. En una empresa de cinc persones, probablement ets tu.

5. Formació mínima. Una sessió breu quan s'incorpora algú o quan s'aprova una eina nova: què fa, què no fa, quines dades admet i com detectar errors. S'anoten la data i qui hi va assistir. Amb això pots acreditar una part de les mesures de l'article 4.

6. Revisió periòdica. Les eines i les seves condicions canvien. Una data al calendari cada sis mesos per revisar la llista i les condicions de cada servei.

Plantilla per copiar

Política d'ús de la IA de [empresa] · Versió [data] · Responsable: [nom]
Eines autoritzades: [eina, tipus de compte, per a què es fa servir].
Sempre s'hi pot introduir: textos propis, idees, esborranys sense dades personals, informació pública.
Només en les eines autoritzades per a això: [dades de clients necessàries per a la tasca, documents interns].
Mai: dades de salut, documents d'identitat, dades bancàries, contrasenyes, [informació subjecta a secret professional], [altres].
Si dubtes: no ho introdueixis i pregunta a [responsable].
Tot resultat es revisa abans d'enviar-lo, presentar-lo o signar-lo.
Formació: sessió en incorporar-se i en aprovar una eina nova. Registre a [lloc].
Propera revisió: [data].

Com implantar-la en una setmana

Dilluns. Pregunta sense buscar culpables. Quines eines fa servir cada persona, per a què i amb quin compte. Si la pregunta sona a auditoria, t'explicaran la meitat. Si sona a «ho volem fer bé entre tots», t'explicaran el que passa de veritat.

Dimarts. Decideix les eines. Amb el que hagis après, tria'n una o dues. Revisa a les seves condicions si fan servir les teves dades per entrenar models i si ofereixen contracte d'encarregat del tractament per a empreses.

Dimecres. Escriu la pàgina. Amb la plantilla de més amunt. Si l'has d'explicar, vol dir que encara és llarga.

Dijous. Trenta minuts amb l'equip. Repasseu la pàgina amb dos o tres exemples reals de la vostra feina. Anota qui hi ha assistit.

Divendres. Publica-la on es vegi i posa la data de la propera revisió al calendari.

El que una política d'una pàgina no resol

Prefereixo dir-ho jo abans que ho descobreixis.

  • No substitueix la revisió dels contractes. Si una eina ha de treballar de manera habitual amb dades de clients, algú n'ha de llegir les condicions, comprovar on es tracten les dades i signar el contracte d'encarregat del tractament que correspongui. Una pàgina no ho fa per tu.
  • No evita els errors de la IA. Redueix el risc que les dades surtin d'on no han de sortir. Que les respostes siguin correctes depèn de la revisió humana.
  • No és el mateix que automatitzar amb dades de clients. Si vols que una eina processi expedients o respongui a clients sense intervenció, això ja és un projecte que es dissenya amb les seves garanties des del principi, i té les seves pròpies obligacions, com ara avisar que s'està parlant amb una IA (ho vaig explicar en aquest article sobre l'AI Act).
  • Si de debò ningú a la teva empresa fa servir la IA, encara no la necessites. Però pregunta-ho abans de donar-ho per fet.

Vols saber quines eines d'IA fa servir el teu equip i amb quines dades? Comença pel diagnòstic. Diagnòstic IA 99€

Preguntes freqüents

És obligatori tenir una política d'ús de la IA?

Cap norma no exigeix un document amb aquest nom. Però el RGPD obliga a aplicar mesures per protegir les dades personals i l'article 4 del Reglament d'IA obliga a adoptar mesures d'alfabetització en IA del personal. Una política breu, juntament amb una formació documentada, és una manera senzilla i demostrable d'avançar en totes dues coses.

Pagar una subscripció personal a un assistent d'IA és suficient per fer-lo servir amb dades de clients?

No necessàriament. El que compta és el tipus de compte i les seves condicions. En alguns assistents, el proveïdor pot fer servir el contingut dels plans personals, també els de pagament, per entrenar els seus models tret que l'usuari ho desactivi, mentre que en els plans d'empresa no ho fa per defecte. Revisa sempre les condicions del pla concret.

Quines dades no s'haurien d'introduir mai en una eina d'IA no autoritzada?

Dades personals de clients o treballadors, dades de salut, documents d'identitat, dades bancàries, contrasenyes i informació subjecta a secret professional. L'AEPD recomana, a més, descriure casos ficticis en lloc de reals sempre que sigui possible.

Cada quant cal revisar la política?

Cada sis mesos és una referència raonable, i sempre que s'aprovi una eina nova o canviïn les condicions d'una que ja feu servir.

Per acabar

La IA ja és a la teva empresa, tant si l'has convidada com si no. Una pàgina ben escrita converteix això en un avantatge: l'equip sap què pot fer sense preguntar, què no ha de fer mai i a qui ha d'adreçar-se quan no ho té clar. No requereix pressupost, només una setmana i la voluntat de parlar-ne sense buscar culpables.

Si vols ajuda per revisar quines eines fa servir el teu equip i deixar la política escrita i aplicada, et puc acompanyar des de Compliment IA. I si prefereixes començar per veure on té sentit la IA en el teu cas, el Diagnòstic IA és un primer pas sense compromís.

Nota de transparència: aquest article s'ha elaborat amb l'assistència d'eines d'IA i ha passat per una revisió humana amb responsabilitat editorial d'Isenzo IA. És contingut divulgatiu i no constitueix assessorament jurídic. Les normes i condicions citades reflecteixen el seu estat a l'octubre del 2026; verifica sempre la font oficial abans de prendre decisions.

Fonts