Qué debe resolver una política interna de uso de IA

1. Identifica usos, personas y responsables

Recoge las herramientas que ya utiliza el equipo y las tareas para las que se emplean. Incluye asistentes, funciones integradas en aplicaciones y automatizaciones. Describe quién propone un nuevo uso, quién revisa sus condiciones y quién responde por el proceso de negocio. Un inventario sencillo permite discutir situaciones concretas.

La política interna publicada por la AEPD puede servir como referencia organizativa. La propia Agencia aclara que solo se aplica a sus procesos y que no certifica ni interpreta el cumplimiento del Reglamento de IA. Adaptar un documento requiere analizar tu contexto; copiarlo no resuelve ese trabajo.

2. Autoriza combinaciones de herramienta y uso

Evita una lista que solo marque aplicaciones como permitidas. Una misma herramienta puede ser adecuada para preparar un borrador público y requerir otra revisión para analizar documentación interna. Registra la cuenta o edición autorizada, los casos de uso admitidos y la persona de contacto.

Establece un camino breve para pedir nuevas funciones. La solicitud puede explicar la tarea, los datos implicados, los destinatarios y la necesidad que no cubre el entorno actual.

3. Traduce la clasificación de información a ejemplos

El personal necesita reconocer qué puede introducir en cada entorno. Usa ejemplos propios: un folleto publicado, un presupuesto pendiente, una ficha de cliente o un expediente laboral. Define qué categorías están admitidas en cada uso aprobado y qué información exige consulta previa.

Para pruebas exploratorias, la AEPD recomienda recurrir a situaciones ficticias y evitar aportar datos personales o información delicada. Eliminar un nombre no garantiza anonimato si el resto del documento permite identificar a la persona. Cuando haya datos personales, revisa la finalidad, los accesos y las condiciones del tratamiento con los responsables correspondientes.

4. Especifica qué significa revisar una respuesta

Escribir que una persona revisará todo resulta insuficiente si nadie sabe qué comprobar. Vincula cada tarea a una revisión concreta: hechos y fuentes en un informe; importes y destinatarios en una comunicación; pruebas funcionales en una automatización. Indica quién puede aprobar el resultado y qué debe ocurrir cuando falta evidencia.

También establece límites de actuación. Por ejemplo, preparar una respuesta puede estar autorizado mientras que enviarla requiere una validación separada. Diseña estos controles en el flujo para que no dependan únicamente de recordar una frase del documento.

• Qué revisar antes de utilizar el resultado.
• Quién tiene capacidad para corregirlo o rechazarlo.
• Qué registro mínimo conservar sin acumular información innecesaria.

5. Da una salida clara a errores e incidentes

Define un canal interno para comunicar una carga de información equivocada, una respuesta problemática o una acción inesperada. La instrucción inicial debe ser fácil de aplicar: detener el flujo cuando proceda, avisar al responsable y conservar las evidencias necesarias sin volver a difundir los datos afectados.

La valoración de una posible brecha y sus obligaciones asociadas corresponde al procedimiento de la organización. La política de IA debe conectarse con ese procedimiento. Añade una alternativa manual para las tareas que deban continuar mientras se investiga el problema o falla el servicio.

6. Publica una versión que se pueda usar

Acompaña el documento completo con una página de decisiones frecuentes y ejemplos. Pruébala con personas de distintos departamentos: plantea una situación y observa si encuentran la respuesta.

Asigna una fecha de revisión y un responsable de actualización. Para trabajar la política con TechValley, prepara el inventario de usos y los procesos prioritarios. Eso permite conectar las normas con prácticas, formación y controles concretos, coordinando las decisiones jurídicas con los especialistas de la organización.