Ya está pasando
Antes de escribir ninguna política, conviene aceptar el punto de partida: en tu empresa ya se está usando IA. Alguien de ventas redacta propuestas con un asistente, alguien de contabilidad pega una planilla para que se la resuma, alguien de sistemas pide código. Nadie lo ocultó por mala fe; simplemente nadie preguntó.
El problema de prohibir sin más es conocido: no detiene el uso, lo vuelve invisible. Y el uso invisible es el único que no se puede acotar.
Paso 1: el inventario honesto
Antes de regular hay que saber qué hay. Una encuesta corta y anónima, con una promesa explícita de que nadie será sancionado por responder, suele revelar más de lo esperado. Tres preguntas bastan:
- ¿Qué herramientas de IA usas para trabajar?
- ¿Para qué tareas?
- ¿Qué información de la empresa has pegado en ellas?
La tercera es la importante, y es la que no se responde si la gente teme la consecuencia. El resultado típico incluye al menos un caso que nadie había imaginado —un contrato completo, una base de clientes, el estado de resultados— y ese caso justifica solo todo el ejercicio.
Paso 2: clasificar por dato, no por herramienta
El error más común es escribir una política que nombra marcas: «se permite esta herramienta, se prohíbe aquella». Envejece en semanas y no dice nada sobre el riesgo real, que no está en la marca sino en qué información entra.
| Nivel | Qué información | Regla |
|---|---|---|
| Libre | Información pública o genérica: redacción, ideas, código de ejemplo, traducciones | Uso sin autorización previa |
| Con revisión | Información interna no personal: procesos, documentación, código propio | Solo en herramientas aprobadas, con cuenta de empresa |
| Prohibido | Datos personales de clientes o personal, información financiera no pública, credenciales, contratos vigentes | No se pegan en herramientas externas. Si el caso lo exige, se evalúa formalmente |
Esta tabla sobrevive a los cambios de proveedor, que es exactamente lo que se le pide a una política. A eso se le añade una lista corta de herramientas aprobadas, que sí se actualiza cuando toque.
Paso 3: una política de una página
Una política de catorce páginas no la lee nadie, y lo que nadie lee no se cumple. Una página con seis puntos sí funciona:
- Qué se puede, en una frase por nivel de la tabla anterior.
- Herramientas aprobadas, con la cuenta corporativa indicada.
- Qué nunca se pega. La lista explícita, sin eufemismos.
- Revisión humana obligatoria antes de que una salida de IA llegue a un cliente, a un proveedor o a una autoridad.
- A quién se le pregunta cuando aparece un caso nuevo. Un nombre, no un buzón.
- Qué se hace si algo sale mal. A quién se avisa, en qué plazo, sin castigo por reportar.
El punto 6 es el que más se olvida y el que más valor tiene. Si reportar un error cuesta el puesto, los errores no se reportan y se descubren tarde.
Dónde encaja la Ley 31814
Perú tiene una ley de promoción del uso de la inteligencia artificial, con su reglamento, que ordena el marco general y pone el acento en la transparencia, la supervisión humana y el enfoque de riesgos. Para la mayoría de las empresas no implica trámites nuevos, pero sí dos exigencias prácticas que conviene incorporar desde ya:
- Transparencia: si una persona está interactuando con un sistema automatizado, debe poder saberlo. Un chatbot que se hace pasar por humano es un problema, no una virtud de producto.
- Supervisión humana en decisiones que afectan a personas: crédito, selección de personal, atención de reclamos, sanciones. Debe existir alguien que pueda revisar y revertir.
Y por debajo sigue aplicando entera la normativa de protección de datos personales, que es la que de verdad se activa cuando alguien pega una base de clientes en una herramienta externa. El detalle normativo está en nuestro artículo sobre la Ley 31814 y su reglamento.
Paso 4: el registro vivo
La gobernanza que funciona es una tabla que alguien mantiene, no un documento que se firma y se archiva. Una fila por uso de IA en la empresa, con cinco columnas:
USO Clasificación de correos entrantes
RESPONSABLE Jefatura de atención al cliente
DATOS Correos de clientes (datos personales)
RIESGO Medio - no toma decisiones, solo clasifica
REVISIÓN Muestreo semanal de 20 casos
Con diez o quince filas tienes el mapa completo. Y cuando alguien proponga un uso nuevo, la conversación deja de ser una opinión: se agrega una fila y se discute el riesgo y la revisión.
Qué no hacer
- Un comité de IA de ocho personas. Para una empresa mediana, un responsable con criterio y acceso a legal resuelve más rápido y mejor.
- Copiar la política de una multinacional. Está escrita para otro tamaño y otra exposición regulatoria.
- Prohibir todo. Garantiza el uso en la sombra, con cuentas personales y sin ningún control.
- Escribirla y olvidarla. Sin revisión trimestral, en un año describe un mundo que ya no existe.
Conclusión
Gobernar el uso de IA en una empresa mediana no requiere una estructura: requiere saber qué se está usando, decidir qué datos pueden salir, poner eso en una página que la gente lea y nombrar a alguien que responda. Eso se hace en dos semanas y evita la mayoría de los incidentes que después cuestan meses.
Lo que sigue, cuando la empresa pasa de usar herramientas a construir las suyas, es el control técnico: permisos acotados, trazas y límites. Está en llevar un agente a producción y en el checklist de ciberseguridad para PYMES.