Política de IA para empresas: contenido y plantilla

Una política de IA (o política de uso de la IA) es la normativa documentada y aprobada por la dirección que regula cómo puede utilizarse la IA en la empresa y cómo no. Define el ámbito de aplicación, el uso permitido y prohibido, la protección de datos y la confidencialidad, las herramientas autorizadas, el etiquetado de contenidos generados por IA, las responsabilidades, la formación y las consecuencias de los incumplimientos. Según la ISO/IEC 42001:2023, es un documento obligatorio en virtud de la cláusula 5.2 y del control A.2.2 del anexo A, y constituye el marco de todos los objetivos de IA medibles.

• Obligatoria, no opcional: sin una política de IA documentada y aprobada por la dirección no es posible obtener la certificación ISO 42001 (cláusula 5.2 / control A.2.2).
• Concreta, sin frases hechas: una política genérica («Usamos la IA de forma responsable») es, según la práctica de auditoría de 2024-2026, una de las observaciones más frecuentes. Tiene que ser verificable punto por punto y exigible.
• Integrada, no aislada: debe estar alineada con las políticas existentes de seguridad de la información, protección de datos, ética y RR. HH. (control A.2.3).

Para qué sirve una política de IA y dónde se ancla en la ISO 42001

La cláusula 5.2 de la ISO/IEC 42001 exige que la alta dirección establezca una política de IA documentada que se ajuste al propósito de la organización, proporcione un marco para los objetivos de IA e incluya un compromiso de cumplir los requisitos aplicables y de mejorar de forma continua. El control A.2.2 del anexo A lo refuerza y exige una política de IA documentada. El A.2.3 pide alinearla con otras políticas de la empresa y el A.2.4, revisarla periódicamente.

La lógica es una cascada: la política (5.2) establece el marco para objetivos de IA medibles (6.2), que a su vez se supervisan mediante el seguimiento (9.1) y la revisión por la dirección (9.3). Una política sin objetivos medibles que la desarrollen no tiene efecto y se señala en la auditoría.

Contenido obligatorio de una política de IA

Según la práctica de la ISO 42001, una política de IA sólida cubre los siguientes bloques. Te sirven directamente como índice para ir marcando punto por punto.

Uso permitido y prohibido

Es la pieza central para el trabajo diario. Para los agentes de IA, la política debería fijar de forma expresa los niveles de autonomía (solo lectura, recomendación, actuación con aprobación, actuación autónoma), además de los límites en el uso de herramientas, las reglas de escalado y de human-in-the-loop y la diversidad de proveedores de modelos. La lista negativa empieza por las prácticas prohibidas por el art. 5 del Reglamento de IA de la UE, como el reconocimiento de emociones en el lugar de trabajo, la puntuación social y las técnicas manipuladoras que pueden causar perjuicios considerables (prohibidas desde el 2 de febrero de 2025). El Reglamento (UE) 2026/1744 (Ómnibus Digital) añade al art. 5 nuevas prohibiciones, como los sistemas de IA que generan sin consentimiento representaciones íntimas realistas de personas identificables y la generación de material de abuso sexual infantil. A ello se suman prohibiciones propias, como no permitir el asesoramiento jurídico autónomo ni las decisiones de personal autónomas sin control humano (HITL). Aquí el control A.9.4 es decisivo: si una empresa utiliza un agente fuera de la finalidad prevista por el proveedor y, por ello, el sistema pasa a ser de alto riesgo, la propia empresa se considera proveedor según el art. 25 del Reglamento de IA de la UE. En ese caso asume las obligaciones del proveedor del art. 16, incluida la evaluación de la conformidad.

Protección de datos y herramientas autorizadas

La política debe regular qué datos pueden introducirse en prompts, sistemas de recuperación o datos de entrenamiento. Las herramientas autorizadas se enumeran junto con su proveedor; el control A.10.3 prevé una due diligence documentada sobre certificaciones (ISO 27001, SOC 2 Type II, ISO 42001), postura en protección de datos, subencargados del tratamiento y políticas de retirada de modelos. Una lista de herramientas desactualizada o un registro de proveedores sin mantener figuran entre los puntos que más se señalan en las auditorías.

Etiquetado de contenidos generados por IA

La transparencia es un principio central del anexo C.2. El control A.8.2 exige documentación del sistema e información para los usuarios: model cards, instrucciones de uso, declaraciones sobre capacidades y límites. Esto coincide con el art. 13 del Reglamento de IA de la UE (transparencia y comunicación de información a los responsables del despliegue). No obstante, el art. 13 solo se aplica a sistemas de alto riesgo y regula la transparencia y las instrucciones de uso frente a los responsables del despliegue, no el etiquetado de contenidos. El etiquetado lo regula el art. 50, aplicable desde el 2 de agosto de 2026. Los proveedores deben informar a las personas de que interactúan con un sistema de IA, salvo que resulte evidente, y marcar en un formato legible por máquina los contenidos sintéticos de audio, imagen, vídeo y texto. Los responsables del despliegue deben revelar los deepfakes y etiquetar los textos generados por IA que se publiquen con el fin de informar al público sobre asuntos de interés público. Esta obligación no se aplica si el texto ha pasado por una revisión humana o un control editorial y una persona física o jurídica asume la responsabilidad editorial. Para los sistemas de IA generativa que ya estaban en el mercado antes del 2 de agosto de 2026, el marcado cuenta con un periodo transitorio hasta el 2 de diciembre de 2026. La política debería regular cuándo y cómo se etiquetan los contenidos generados o asistidos por IA.

Formación y alfabetización en materia de IA

Las cláusulas 7.2 (competencia) y 7.3 (toma de conciencia) exigen pruebas de que el personal con roles activos en IA está formado. Esto enlaza con el art. 4 del Reglamento de IA de la UE (alfabetización en materia de IA). Desde la modificación introducida por el Reglamento (UE) 2026/1744 (en vigor desde el 27 de julio de 2026), el art. 4 obliga a proveedores y responsables del despliegue a adoptar medidas para fomentar la alfabetización en materia de IA de su personal. No tienen que garantizar un nivel de competencia determinado. Un plan de formación incluido en la política documenta estas medidas. En los despliegues de agentes, precisamente esta prueba es un punto débil frecuente, porque a menudo no se acredita la competencia más allá de los equipos puramente técnicos.

ISO 42001 y Reglamento de IA de la UE: el puente

La ISO 42001 no es una norma armonizada y no genera presunción de conformidad con el Reglamento de IA de la UE. Aun así, se considera la base organizativa más sólida para prepararse para el Reglamento de IA. Para la política son relevantes sobre todo cuatro artículos: el art. 4 (alfabetización en materia de IA) se cubre con las cláusulas 7.2/7.3, y el art. 13 (transparencia e información para los responsables del despliegue de sistemas de alto riesgo), con los controles A.8.2 y A.8.5. El art. 5 (prácticas prohibidas) va en la lista negativa y el art. 50 (aviso de interacción con IA, etiquetado de contenidos sintéticos y deepfakes), en la sección de etiquetado. El compromiso de cumplir la normativa aplicable (RGPD, Reglamento de IA de la UE, regulación sectorial) debe figurar expresamente en el texto.

Nota: este artículo ofrece orientación técnica y no sustituye al asesoramiento jurídico. Las obligaciones concretas, las referencias a artículos y los plazos deben revisarse jurídicamente en cada caso.

Plantilla: estructura de una política de IA en formato checklist

```
Política de IA [empresa], versión x.y, aprobación [fecha/dirección]

1. Finalidad y ámbito de aplicación

• sistemas/agentes de IA y áreas incluidos
  
• Rol: proveedor / responsable del despliegue / ambos
  

2. Principios rectores (supervisión humana, transparencia, equidad, protección de datos, seguridad, robustez)
3. Roles y responsabilidades (dirección, AI Officer/responsable del AIMS, responsables de controles)
4. Uso permitido

• Niveles de autonomía por caso de uso
  
• Límites en el uso de herramientas, escalado/HITL
  

5. Uso prohibido (lista negativa: todas las prácticas prohibidas por el art. 5 del Reglamento de IA de la UE, p. ej., reconocimiento de emociones en el lugar de trabajo, puntuación social; además, prohibiciones propias como las decisiones autónomas de personal o jurídicas)
6. Protección de datos y confidencialidad (datos admisibles en prompts/recuperación)
7. Herramientas y proveedores autorizados (+ due diligence de proveedores A.10.3)
8. Etiquetado de contenidos generados por IA (art. 50 del Reglamento de IA, transparencia, model cards, instrucciones de uso)
9. Evaluación de riesgos y de impacto (compromiso)
10. Formación y alfabetización en IA (plan, periodicidad)
11. Incumplimientos y aplicación (consecuencias, canal de comunicación)
12. Compromiso de cumplimiento legal (RGPD, Reglamento de IA de la UE) y mejora continua
13. Ritmo de revisión, control de versiones, firmas de aprobación
    ```

Ejemplo práctico: objetivos medibles y acreditación de la formación

Una política solo surte efecto a través de objetivos medibles según la cláusula 6.2. Una empresa mediana de la región DACH con entre 500 y 2.000 empleados concreta su política, por ejemplo, así:

• Competencia (cláusula 7.2 + art. 4 del Reglamento de IA): «Todo el personal con un rol activo en IA completa cada año una formación en alfabetización en IA; acreditación del 100 %».
• Transparencia: «El 100 % de los agentes de alto riesgo dispone, antes del T3, de una model card actualizada y de una hoja de instrucciones para el usuario».
• Cobertura: «El 100 % de los agentes de IA en producción se registra en el inventario de IA y se asigna a una clase de riesgo en un plazo de 14 días tras su puesta en marcha».

Objetivos como estos hacen que la política sea auditable y cierran la brecha entre la intención y la evidencia, justo donde fracasan las políticas genéricas.

Para agencias y B2B

Para las agencias de marketing, una política de IA es doblemente relevante: internamente, como prueba de su propia competencia según el art. 4 del Reglamento de IA; externamente, como señal de confianza en pitches y licitaciones. Los clientes del DAX, el SMI y el ATX preguntan cada vez más por la gobernanza de la IA en sus RFP. Para los responsables de decisiones B2B, la política es el primer paso, y el más económico, hacia la certificación ISO 42001 (según nuestra estimación, unos 50.000-150.000 EUR y 9-12 meses para una empresa de 500 a 2.000 empleados, datos de 2026): puede elaborarse en cuatro a ocho semanas durante la fase de definición del marco de políticas y sienta las bases para los procesos de riesgos, impacto y ciclo de vida. Te ayudamos a elaborar una política de IA verificable punto por punto y exigible, y a vincularla con objetivos medibles, sin frases hechas y pensando en la auditabilidad.