Política de IA y alfabetización en IA: reglas claras para el personal y lo que exige la regulación
Cómo escribir una política de IA que el personal siga, formar a cada persona según su función y seguir las reglas de IA en España, la UE y América Latina.
En este tema: Tecnología y datos 18
Desde el 2 de febrero de 2025, las empresas de la Unión Europea que usan sistemas de IA deben tomar medidas para que su personal sepa usarlos (fuente: Comisión Europea, agosto de 2026), aunque solo usen un chatbot para redactar textos publicitarios o traducir (fuente: Comisión Europea, julio de 2026). Una política de IA escrita, con formación según la función de cada persona, es el punto de partida.
Y el uso ya está ahí, con política o sin ella. En un estudio mundial con más de 48.000 personas, casi la mitad de los empleados reconoció usar la IA de formas que contravienen las políticas de su empresa, como subir información sensible a herramientas públicas gratuitas, y solo el 40% dijo que su lugar de trabajo tiene una política o directrices sobre IA generativa (fuente: KPMG y Universidad de Melbourne, mayo de 2025).
Escriba una política de IA breve que diga qué herramientas están aprobadas, qué datos no se introducen nunca y quién revisa los resultados, y forme a cada persona según su función. En la UE, quien usa IA tiene obligaciones de alfabetización en IA desde febrero de 2025; en América Latina, compruebe las reglas de cada país donde contrata y vende.
- Herramientas aprobadas
- Reglas de datos
- Alfabetización en IA
- Regulación
Por qué su personal necesita reglas de IA ya
Los riesgos son corrientes, no futuristas: datos que se escapan, resultados que nadie revisa y usos que nadie ve.
Fuga de datos
Lo que se pega en un chatbot público gratuito sale de su control y, según las condiciones del proveedor, puede guardarse o usarse para mejorar el servicio.
Resultados erróneos
La IA generativaIA generativaIA que produce textos, imágenes, audio o código nuevos a partir de una instrucción, como un chatbot. redacta con fluidez textos que pueden ser falsos. En el mismo estudio, el 66% dijo fiarse de sus resultados sin comprobar su exactitud (fuente: KPMG y Universidad de Melbourne, mayo de 2025).
Uso oculto
Sin reglas, el uso se esconde: el 57% dijo ocultar que usa la IA y presentar como propio trabajo hecho con ella (fuente: KPMG y Universidad de Melbourne, mayo de 2025).
Qué contiene una política de IA que funciona
Dos páginas que se leen valen más que veinte que nadie abre. Ocho apartados cubren lo que el personal necesita saber.
La política responde a las preguntas que el personal se hace de verdad: si puede usar esta herramienta, si puede pegar este documento, si tiene que revisar el resultado y a quién preguntar.
Los derechos de autor merecen una línea propia. La Ley de Propiedad Intelectual española considera autor a la persona natural que crea la obra (fuente: BOE, marzo de 2022): no dé por hecho que un texto o una imagen generados solo con IA sean suyos, y no introduzca material que no tenga derecho a usar. En otros países, compruebe la ley local.
- Herramientas aprobadas: la lista, solo cuentas de empresa y cómo pedir otras.
- Datos: qué no entra nunca y qué datos van a qué herramienta.
- Revisión humana: una persona revisa lo que llega a un cliente o afecta a alguien.
- Transparencia: cuándo se avisa a los clientes de que tratan con IA.
- Derechos de autor y confidencialidad: nada de material sin derechos ni de secretos de clientes.
- Sesgos: la IA nunca decide sola sobre candidatos o empleados.
- Registro: los usos de IA y la formación impartida.
- A quién preguntar: el responsable y dónde comunicar un error o una fuga.
Semáforo: qué datos pueden entrar en qué herramienta de IA
El personal recuerda mejor los colores que las cláusulas. Un solo cuadro resuelve casi todas las dudas.
Verde es adelante: información pública en cualquier herramienta y material interno en una herramienta aprobada. Ámbar es solo con condiciones: notas internas en una herramienta pública tras quitar nombres y detalles, y datos confidenciales solo en una herramienta autorizada para ellos, con contrato de encargado y sin que el proveedor entrene con sus datos. Rojo es nunca.
Los usos necesitan el mismo trato. Redactar y resumir suele ser verde; lo que sale de la empresa, como un correo a un cliente, es ámbar y lo lee antes una persona. Evaluar a personas con IA, por ejemplo para filtrar candidatos, sigue en rojo hasta que se analice y se apruebe.
Qué exige la Ley de IA de la UE a las empresas y quién vigila en España
La mayoría de las empresas que usan herramientas de IA son responsables del despliegue: tienen menos obligaciones que quien desarrolla la IA, pero no están exentas.
La Ley de IA entró en vigor el 1 de agosto de 2024 y se aplica desde el 2 de agosto de 2026, con algunas excepciones (fuente: Comisión Europea, agosto de 2026). Un responsable del despliegueResponsable del despliegueEn la Ley de IA, quien usa un sistema de IA bajo su propia autoridad, salvo en una actividad personal no profesional. En inglés, deployer. es quien usa un sistema de IA bajo su propia autoridad (fuente: Comisión Europea, julio de 2026).
| Nivel | Ejemplos | Qué significa para usted |
|---|---|---|
| Prohibido | Reconocimiento de emociones en el trabajo, puntuación social, manipulación perjudicial (fuente: Comisión Europea, agosto de 2026). | Prohibido desde el 2 de febrero de 2025 (fuente: Comisión Europea, agosto de 2026). |
| Alto riesgo | Selección de currículos, gestión de trabajadores, calificación crediticia (fuente: Comisión Europea, agosto de 2026). | Desde el 2 de diciembre de 2027: informar antes a los representantes de los trabajadores y a los afectados, y confiar la supervisión a personas con competencia, formación y autoridad (fuente: Comisión Europea, julio de 2026). |
| Transparencia | Chatbots, deepfakes (imagen, audio o vídeo falsos pero realistas) y textos generados con IA publicados para informar sobre asuntos de interés público. | Hay que avisar: en los chatbots, salvo que sea evidente; en los deepfakes, revelándolo; en esos textos, salvo revisión humana con responsabilidad editorial (fuente: Comisión Europea, julio de 2026). |
| Mínimo | Filtros de spam, videojuegos con IA (fuente: Comisión Europea, agosto de 2026). | Ninguna norma nueva para el sistema; siguen la alfabetización en IA y la protección de datos. |
El calendario ya ha cambiado una vez. El Reglamento (UE) 2026/1744, el Ómnibus digital sobre IA, entró en vigor el 27 de julio de 2026 y retrasó las normas de alto riesgo al 2 de diciembre de 2027 para usos como la selección de personal y al 2 de agosto de 2028 para la IA integrada en productos regulados (fuente: Comisión Europea, agosto de 2026).
También prohibió, desde el 2 de diciembre de 2026, la IA que genera deepfakes sexuales no consentidos o material de abuso sexual infantil (fuente: Comisión Europea, julio de 2026), una prohibición que la UE acordó a petición de España (fuente: La Moncloa, mayo de 2026). Compruebe las fechas en las páginas de la Comisión antes de planificar.
En España: la AESIA y una ley pendiente
La Agencia Española de Supervisión de Inteligencia Artificial (AESIA), con sede en A Coruña, supervisa, asesora, sensibiliza y forma, y también inspecciona y sanciona (fuente: BOE, septiembre de 2023). En mayo de 2026, el Gobierno aprobó un proyecto de ley orgánica para adaptar el Reglamento europeo, con el Banco de España, la Agencia Española de Protección de Datos y el Consejo General del Poder Judicial como supervisores en sus ámbitos (fuente: La Moncloa, mayo de 2026). El texto designa a la AESIA como autoridad de vigilancia del mercado para varias categorías de alto riesgo, entre ellas el empleo, y para las obligaciones de transparencia (fuente: Congreso de los Diputados, junio de 2026).
Pero las Cortes se disolvieron en octubre de 2026, con elecciones generales el 29 de noviembre (fuente: BOE, octubre de 2026), cuando el proyecto aún estaba en plazo de enmiendas (fuente: Congreso de los Diputados, octubre de 2026). A noviembre de 2026, esa ley no está aprobada: la Ley de IA europea ya se aplica, y conviene seguir qué hace con el texto la nueva legislatura.
Alfabetización en IA: la obligación y una formación a la medida de cada función
La obligación pide medidas razonables y adaptadas a cada puesto, no un diploma para todos.
El artículo 4 de la Ley de IA se aplica desde el 2 de febrero de 2025, y sus normas de supervisión y ejecución, desde agosto de 2026 (fuente: Comisión Europea, julio de 2026). Tras la reforma de julio de 2026, obliga a proveedores y responsables del despliegue a adoptar medidas para apoyar la alfabetización en IA de su personal y de quienes usan IA en su nombre, según sus conocimientos y el contexto de uso, sin tener que garantizar un nivel concreto en nadie (fuente: EUR-Lex, julio de 2026). Sigue siendo una obligación, insiste la Comisión (fuente: Comisión Europea, julio de 2026).
La alfabetización en IA son los conocimientos y la comprensión que permiten usar la IA con criterio y ser consciente de sus oportunidades, sus riesgos y los daños que puede causar (fuente: Comisión Europea, julio de 2026). No hace falta un certificado ni hay formación obligatoria, y un registro interno de las formaciones es una opción (fuente: Comisión Europea, julio de 2026). Quien usa un chatbot para tareas sencillas, como textos publicitarios o traducciones, debe conocer riesgos como las alucinacionesAlucinaciónUna respuesta de la IA que suena convincente pero es inventada, como una fuente que no existe o una cifra equivocada. (fuente: Comisión Europea, julio de 2026).
- 1Todo el personalQué puede y qué no puede hacer la IA, la política y el semáforo, cómo comunicar errores.
- 2Usuarios frecuentesInstrucciones claras, comprobar datos y fuentes, límites de cada herramienta.
- 3EspecialistasRecursos humanos, TI, mandos y quienes aprueban: niveles de riesgo, supervisión, control de proveedores.
Para empezar, la Comisión propone asegurar una comprensión general de la IA, aclarar si la organización actúa como proveedor o como responsable del despliegue y valorar el riesgo de sus sistemas (fuente: Comisión Europea, julio de 2026).
Reglas de IA en América Latina: leyes, reglamentos y proyectos
Perú ya tiene un reglamento; Brasil y Chile tramitan proyectos de ley. Compruebe las reglas de cada país donde contrata o vende.
| País | Situación | Qué supone para un empleador |
|---|---|---|
| Perú | El reglamento de la Ley 31814 (Decreto Supremo 115-2025-PCM) se publicó el 9 de septiembre de 2025 y entró en vigor a los 90 días hábiles (fuente: El Peruano, septiembre de 2025). | La IA en recursos humanos es de riesgo alto: supervisión humana obligatoria y aviso previo y claro al trabajador o postulante (fuente: El Peruano, septiembre de 2025). Compruebe desde cuándo se le aplica. |
| Brasil | El proyecto de ley 2338/2023 pasó del Senado a la Cámara de Diputados en marzo de 2025 y en octubre de 2026 esperaba aún el informe del relator en comisión especial (fuente: Cámara de Diputados de Brasil, octubre de 2026). | Aún no es ley; mientras tanto, la protección de datos marca el listón. |
| Chile | Un proyecto de ley para regular los sistemas de IA, con cuatro categorías de riesgo (inaceptable, alto, limitado y sin riesgo evidente), seguía en el Congreso en mayo de 2026 (fuente: Biblioteca del Congreso Nacional de Chile, mayo de 2026). | Compruebe en qué fase está antes de planificar. |
| México | Las reglas específicas sobre IA están en preparación; no hemos podido confirmar el estado de las iniciativas. | Aplique su propia política y las normas de protección de datos. |
Si su grupo contrata en Estados Unidos, mire también las normas locales: en Nueva York, una herramienta automatizada de decisión para el empleo solo puede usarse tras una auditoría de sesgosAuditoría de sesgosUna revisión independiente de si los resultados de una herramienta difieren entre grupos de personas, por ejemplo por sexo. del último año y con aviso a candidatos o empleados (fuente: NYC DCWP, junio de 2023).
Para la privacidad y la seguridad de cada herramienta, vea las guías de Tecnología y datos.
Cómo mantener viva una política de IA
Las herramientas cambian más deprisa que las políticas. Sin un responsable y un ritmo, la política se queda anticuada en un año.
- 1Nombre a un responsableDe TI, del área jurídica o de operaciones, con un suplente: mantiene la lista de herramientas y resuelve dudas.
- 2Lleve un registro de usos de IAResponsable, finalidad, herramienta, datos, nivel de riesgo y fecha de aprobación de cada uso.
- 3Abra una vía para herramientas nuevasUna solicitud breve y una revisión de datos, contrato, configuración y riesgo antes de que la herramienta entre en la lista.
- 4Revise cuando haya motivoCada año y tras una herramienta nueva, un incidente o un cambio en la ley donde opera.
- 5Aprenda de los erroresHaga fácil y sin culpas avisar de una fuga o de un error, y mejore las reglas.
Los asistentes del correo, el CRM o el programa de contabilidad también son uso de IA: inclúyalos en el registro y revise su configuración de datos.
¿Funcionan en la práctica sus reglas de IA?
Responda pensando en su propia organización y vea por dónde empezar.
- 1Sabemos qué herramientas de IA usa realmente el personal, incluidas las gratuitas.
- 2Hay una política de IA escrita que el personal ha leído y sabe dónde encontrar.
- 3El personal sabe qué datos no deben entrar nunca en una IA pública.
- 4Una persona revisa todo resultado que llega a un cliente o afecta a alguien.
- 5Sabemos si algún uso nuestro de IA es de alto riesgo o tiene deberes de transparencia.
- 6Todo el personal tiene una formación básica en IA y anotamos quién la ha hecho.
- 7Conocemos las reglas de IA para seleccionar personal en cada país donde contratamos.
- 8La política tiene un responsable con nombre y se revisa al menos una vez al año.
Guías relacionadas
Ejemplo de política de IA y plan de alfabetización por funciones
A continuación encontrará un ejemplo de política de IA para adaptar apartado por apartado, un plan de alfabetización en IA por funciones y una lista de comprobación para cada herramienta nueva.
Preguntas frecuentes
¿Se aplica la Ley de IA si solo usamos ChatGPT o Copilot?
¿Afecta la Ley de IA europea a empresas de América Latina?
¿Es más seguro prohibir las herramientas de IA?
¿Necesitamos un certificado para demostrar la alfabetización en IA?
- EUR-Lex: Reglamento (UE) 2026/1744, Ómnibus digital sobre IA (julio de 2026)
- Comisión Europea: Ley de IA (agosto de 2026)
- Comisión Europea: Alfabetización en IA, preguntas y respuestas (julio de 2026)
- Congreso de los Diputados: Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (junio de 2026)
- BOE: Real Decreto 729/2023, Estatuto de la Agencia Española de Supervisión de Inteligencia Artificial (septiembre de 2023)
- El Peruano: Perú establece regulación sobre inteligencia artificial (septiembre de 2025)