Cinco errores que dejan sin efecto la gobernanza de la IA en tu empresa

Firmar una política de uso de IA y guardarla en una carpeta compartida te cuesta una tarde. Que tu equipo la cumpla dentro de seis meses es otra cosa, y ahí se rompe casi todo. El error más caro es tenerlo sin que nadie sepa que existe, y sin ningún canal para preguntar cuando surge una duda real.

Puede que reconozcas esta situación en tu empresa: alguien de tu equipo copia el contrato de un cliente en una herramienta de IA para que le haga un resumen, y nadie sabe si eso está permitido. Tu política, si existe, no lo dice. Y si lo dice, está en un documento que nadie ha abierto desde que se firmó.

No dejas un responsable claro cuando algo sale mal

Escribes la política, la cuelgas en la intranet y queda archivada sin revisión. No identifica a la persona responsable de autorizar el uso de una herramienta nueva, ni establece un canal para notificar fallos. Cuando alguien de tu equipo introduce en una IA un dato que no debía, no existe un canal claro para reportarlo, y el problema queda sin resolver hasta que aparece en otro lugar.

El Reglamento de IA (Reglamento UE 2024/1689) ya te asigna un papel, aunque tu política no lo mencione: si tu empresa usa una herramienta de IA en el trabajo, eres responsable del despliegue. Esa figura legal —cualquier persona física o jurídica que use un sistema de IA bajo su propia autoridad— ya existe aunque tu documento no la nombre. Falta que hayas asignado, dentro de tu empresa, un responsable que se encargue de ella en el día a día.

La forma de evitarlo es sencilla y no necesita ni abogado ni departamento nuevo: asigna una persona, puede ser quien lleva sistemas o quien lleva RRHH, con nombre y apellido, a la que todo tu equipo pueda escribir cuando algo no esté claro. Esa persona no decide sola; decide con un criterio escrito que puede consultar en dos minutos, el mismo principio que ya deberías aplicar al delegar tareas con un sistema detrás.

No fijas los datos que entran en la herramienta, ni los que no

Es el fallo más repetido y el que más daño hace. Una política que te dice "usad la IA con sentido común" no dice nada: cada persona de tu equipo interpreta el sentido común de forma distinta, y antes o después alguien sube un dato que no debía.

El Reglamento de IA lo deja escrito en su artículo 2.7: no afecta al RGPD. Si metes datos personales de un cliente o de un empleado en una herramienta de IA, el RGPD se aplica exactamente igual que si lo metieras en un Excel o lo mandaras por email. La IA es una herramienta más de las que ya tienes que proteger, con las mismas reglas.

La forma de evitarlo es escribir una lista corta y concreta con dos columnas: los datos que no salen nunca de tu sistema interno (nóminas, contratos con cláusulas de confidencialidad, datos de salud de clientes si los manejas) y los datos que sí pueden procesarse en una IA externa, especificando la herramienta permitida en cada caso. No necesitas una lista de cien líneas. Necesitas una de diez que tu equipo recuerde.

Copias una plantilla de internet en vez de partir de tu forma de trabajar

La ley no exige una política de uso de IA con ese nombre, ni hay un modelo oficial que tengas que seguir. Aun así, es fácil encontrar en internet un documento genérico de cinco páginas, cambiarle el nombre a tu empresa y darlo por bueno.

El problema de una plantilla genérica es que no menciona las herramientas que usa tu equipo de verdad. Habla de "sistemas de inteligencia artificial" en abstracto, cuando lo que tu equipo necesita saber es si puede pegar un email de un cliente en ChatGPT, si el agente de atención que tienes montado puede acceder al historial de compra, o si el borrador que genera una IA para un informe necesita revisión antes de salir.

La forma de evitarlo es empezar por una lista de las herramientas que ya usa tu equipo, aunque las usen sin que nadie lo haya aprobado, y escribir una regla por cada una. Una política que nombra herramientas concretas se lee. Una que habla en abstracto, no.

La dejas en un PDF que nadie ha leído

Puedes tener la mejor política del sector escrita en el documento más completo, y si nadie la ha leído, no existe. El artículo 4 del Reglamento de IA, vigente desde febrero de 2025 y reescrito en julio de 2026, obliga a las empresas a adoptar medidas para apoyar la formación en IA de su personal, teniendo en cuenta su perfil y el uso que hace de ella. No exige un certificado: la Comisión Europea ha aclarado que basta con un registro interno de esa formación, según explica en sus preguntas y respuestas sobre formación en IA.

Eso cambia lo que de verdad hace falta: una sesión corta que deje claros a cada persona de tu equipo los límites de uso de las herramientas que maneja a diario, y un listado de las personas que la han recibido. El calendario de la ley tras la reforma de julio lo tienes en lo que ha cambiado en la ley de IA desde el verano.

La AESIA (Agencia Española de Supervisión de la Inteligencia Artificial) tiene publicadas 16 guías para aplicar el Reglamento de IA, entre ellas una de transparencia y otra de vigilancia humana. No son vinculantes y la mayoría desarrollan los requisitos técnicos de los sistemas de alto riesgo, pero la introductoria sirve para entender el reglamento sin leerlo entero. Están en la web de la AESIA.

Te olvidas de la línea roja de selección y evaluación de personal

Hay un uso de la IA que pesa más que los demás y que es fácil dejar fuera: usar IA para filtrar candidaturas, evaluar a un candidato, decidir una promoción o evaluar el rendimiento de tu equipo. El Reglamento de IA lo clasifica como alto riesgo en su anexo III, y esas obligaciones se aplican desde el 2 de diciembre de 2027.

Falta tiempo, así que conviene marcarlo ahora mismo. Si tu empresa usa o piensa usar una herramienta de IA para cribar currículums o puntuar el desempeño de alguien de tu equipo, esa línea tiene que estar escrita en tu política desde el primer día, aunque la obligación legal completa todavía no haya entrado en vigor.

No conviene esperar al plazo. Además, es la parte de la política que menos cuesta escribir, porque no depende de ninguna herramienta que ya tengas montada: depende solo de decidir, por escrito, que esos usos no entran sin pasar por el responsable que ya has asignado.

Una política que tu equipo usa de verdad

Una política de uso de IA que funciona se parece más a un procedimiento operativo estándar que a un contrato: corta, con nombres de herramientas, con un responsable identificado y con una lista clara de los datos que entran y los que no. Se revisa cada vez que entra una herramienta nueva en tu empresa, no una vez al año por calendario.

Desde el 2 de agosto de 2026 hay una obligación de transparencia que conviene incorporar ya a tu política, con independencia del tamaño de tu empresa: si tu equipo publica contenido generado con IA para informar al público sobre asuntos de interés público, tiene que decirlo, salvo que haya revisión humana y alguien asuma la responsabilidad editorial. La Comisión Europea publicó en junio de 2026 un código de buenas prácticas, voluntario, para marcar y etiquetar ese contenido, con iconos de la UE para hacerlo.

Nada de esto sustituye el trabajo de fondo que ya deberías tener hecho en tu empresa: procesos escritos, responsables claros y un sistema que no dependa de la memoria de tres personas. La gobernanza de la IA forma parte de la manera en que ya organizas tu empresa, o debería.

Preguntas frecuentes

¿Hace falta un certificado para cumplir con la formación en IA que exige la ley?

No. La Comisión Europea ha aclarado que no hace falta ningún certificado: basta con un registro interno de la formación que ha recibido tu equipo, adaptada al perfil de cada persona y al uso que hace de la IA.

¿Tienes que avisar siempre que usas IA para escribir un texto?

Solo en los casos concretos que marca el Reglamento de IA: cuando el texto informa al público sobre asuntos de interés público y no ha pasado por revisión humana con responsabilidad editorial, o cuando se trata de imagen, audio o vídeo que parece real sin serlo.

Auditoría gratuita

Si tu política de uso de IA lleva sin revisarse desde que se firmó, solicita una revisión gratuita.