Redactar la política interna de IA de la organización es el trabajo que la mayoría de las empresas posponen hasta que un incidente hace que el equipo desee haberla tenido antes. El equipo se entera del empleado que pegó el contrato del cliente en un chatbot público, del copy de marketing que la IA produjo con la estadística inventada que la empresa envió a la audiencia, del candidato rechazado por una IA que el equipo no sabía que estaba puntuando los currículums, o del regulador que planteó preguntas que la empresa no pudo responder sobre el uso de IA en las distintas funciones. La política rara vez es el proyecto favorito del equipo directivo y, sin embargo, es la que protege al negocio de las situaciones que provoca su ausencia, la que fija las expectativas dentro de las cuales puede operar cada empleado, la que satisface a los reguladores y a los clientes que cada vez preguntan más por la gobernanza de la IA, y la que documenta cómo la organización usa realmente la IA en las distintas funciones. Las empresas que tienen la política en vigor son las que pueden responder con seguridad; las que no la tienen improvisan la respuesta mientras la pregunta está delante de ellas.
La respuesta honesta es que la política interna de IA para la organización en 2026 es un artefacto reconocible con una estructura reconocible; su redacción es un trabajo que el equipo directivo puede liderar con aportes de los equipos legal, de seguridad, de RR. HH. y de los líderes funcionales, y la política cubre un conjunto reconocible de temas que incluyen las herramientas aprobadas, los usos prohibidos, el manejo de datos, el panorama de divulgación, la contratación, la formación y el marco general dentro del cual los empleados pueden operar. Este texto explica por qué la política es crítica y qué puede ocurrir si la organización la ignora o actúa sin ella, qué es (y qué no es) la política, las secciones que debería incluir, el enfoque práctico de redacción que el equipo directivo puede seguir, la política de ejemplo que la organización puede usar como punto de partida y la disciplina operativa que necesita la política para mantenerse actualizada y realmente moldear el comportamiento que pretende.
Por qué la política interna de IA es crítica para toda organización
El primer paso útil es ser claro sobre por qué la política importa, ya que la claridad sobre el porqué es la base sobre la que se construye el compromiso del liderazgo con la política.
La primera razón es que los empleados ya están usando IA, tenga o no la organización una política. En las organizaciones que han medido el uso, la mayoría de los empleados emplea IA en el trabajo en alguna forma, con usos que van desde chatbots para redactar y editar hasta copilotos de código, resúmenes de reuniones, herramientas de diseño, herramientas de análisis de datos, herramientas de investigación y un panorama más amplio en las distintas funciones. La ausencia de la política no implica ausencia de uso y es la situación en la que el uso ocurre sin salvaguardas. La política es la base que convierte el uso en algo seguro y productivo en lugar de dejarlo a la valoración del empleado en el momento.
La segunda razón es que la exposición de datos es el riesgo significativo cuando los empleados usan herramientas de IA sin saber qué es apropiado. La información de clientes, los datos personales de empleados, la información financiera, la propiedad intelectual, la información estratégica, la información legal y regulatoria y otra información sensible pueden exponerse mediante las herramientas de IA cuando los empleados no saben qué herramientas están aprobadas para qué datos y cuáles no. La exposición es la base sobre la que se asientan las consecuencias regulatorias, contractuales y reputacionales, y la política es el fundamento contra el que se gestiona ese riesgo de exposición.
La tercera razón es que las obligaciones contractuales y frente a los clientes suelen incluir declaraciones específicas sobre el manejo de datos, el uso de IA y el panorama general que la ausencia de la política impide satisfacer. Los contratos con clientes incluyen cada vez más cláusulas sobre IA, los acuerdos de procesamiento de datos incluyen disposiciones sobre IA, los requisitos de contratación incluyen cuestionarios sobre IA, y la organización necesita la política para responder a todo ello. La ausencia de la política sitúa a la organización en una posición en la que las preguntas contractuales y de los clientes se responden negativamente o con ambigüedad, lo que erosiona la confianza.
La cuarta razón es que el marco regulatorio examina cada vez más el uso de IA en las funciones. El Reglamento de IA de la UE, las leyes estatales de IA en EE. UU., las regulaciones sectoriales específicas sobre IA, la protección al consumidor, la normativa laboral sobre IA en procesos de contratación, las regulaciones sanitarias y financieras y el panorama más amplio son el contexto frente al que se posiciona la política. La ausencia de la política deja a la organización en la posición de responder de forma improvisada a las consultas del regulador, sin satisfacerlas.
La quinta razón es que la calidad y la fiabilidad del trabajo que produce la IA dependen de cómo los empleados usan las herramientas. Las alucinaciones que genera la IA, los sesgos que exhibe, las inexactitudes que introduce y la fiabilidad general son cuestiones que la política aborda mediante verificaciones y revisión humana. La ausencia de la política genera la situación en la que la salida de la IA se trata como fuente autorizada cuando, en realidad, debería ser un borrador que el empleado debe verificar.
La sexta razón es que la cultura y el modo de operar de la organización se moldean por cómo se usa la IA. Quién usa IA, para qué se usa, para qué no se usa, cómo se divulga y cómo se gobierna la IA constituyen la base cultural sobre la que se asienta la organización. La ausencia de la política implica que la cultura se forma en torno a hábitos individuales en lugar del marco que el equipo directivo desea construir.
La séptima razón es que la contratación de herramientas de IA supone un gasto significativo y un riesgo relevante. Qué herramientas de IA paga la organización, cuáles se activan por iniciativa de empleados, cuál es la situación contractual, cuál es el estado de seguridad y cumplimiento y el panorama general son la base sobre la que se gestionan el gasto y el riesgo. La ausencia de la política fragmenta la contratación y oculta el riesgo.
Todas estas razones juntas explican por qué la política es crítica, y el equipo directivo que trabaja sobre este panorama está en condiciones de asumir el compromiso cuando la ocasión lo requiera.
Qué puede ocurrir si la organización ignora la política o actúa sin ella
El equipo directivo que quiera ser preciso respecto a lo que está en juego puede ser honesto sobre lo que realmente les ocurre a las organizaciones que operan sin política; conviene ser concreto.
Lo primero que ocurre es el incidente de exposición de datos. Un empleado pega el contrato de un cliente, la información personal de un candidato, datos financieros de una hoja de cálculo o el plan estratégico de un documento en un chatbot público para resumir, traducir, formatear o analizar. La información queda en los registros del chatbot, posiblemente en sus datos de entrenamiento, y el empleado no tiene visibilidad sobre ello. Ese incidente es la base sobre la que se construyen la notificación regulatoria, la notificación al cliente, la reclamación por incumplimiento contractual y el daño reputacional, con consecuencias que van desde multas importantes hasta la pérdida de relaciones con clientes y un problema que puede afectar a la organización durante varios trimestres.
Lo segundo que ocurre es la publicación de información fabricada por la organización. El copy de marketing que la IA produce con una estadística inventada, el correo al cliente con información de producto errónea, el escrito jurídico con una cita de caso inventada, el resumen de investigación con una fuente ficticia y, en general, las alucinaciones de la IA son productos que la organización entrega a la audiencia cuando falta la verificación. Las consecuencias van desde correcciones embarazosas hasta pérdida de clientes, sanciones profesionales y la erosión de la confianza.
Lo tercero que ocurre es la reclamación por discriminación derivada del uso de IA en contratación, promociones, evaluación del desempeño, compensación u otras cuestiones laborales. La IA que puntúa currículums, filtra candidatos, recomienda listas de entrevistas, genera resúmenes de desempeño o apoya decisiones laborales puede introducir sesgos de los que la organización será responsable. Las consecuencias incluyen investigaciones de la EEOC y agencias estatales, exposiciones a demandas colectivas, sanciones bajo leyes como la auditoría de sesgo de IA de la ciudad de Nueva York y regímenes similares, y otras implicaciones del derecho laboral.
Lo cuarto que ocurre es la auditoría del cliente a la que la organización no puede responder. El cliente plantea preguntas sobre las herramientas de IA que usa la organización, los flujos de datos implicados, la seguridad y privacidad, las relaciones con proveedores de IA, los controles y el panorama que exige la función de gestión de riesgos de proveedores. La ausencia de política y de un inventario subyacente deja a la organización respondiendo de forma improvisada, con consecuencias que van desde la pérdida del contrato hasta trabajos de remediación costosos y tensiones en la relación con el cliente.
Lo quinto que ocurre es la investigación regulatoria que la organización no puede satisfacer. El regulador solicita información sobre el uso de IA en las funciones, el manejo de datos, la supervisión humana, las evaluaciones de impacto, la documentación y otros requisitos regulatorios. La ausencia de política y de gobernanza subyacente deja la consulta sin documentación que presentar, con consecuencias que van desde acciones de ejecución hasta un decreto de consentimiento y efectos duraderos en la relación regulatoria.
Lo sexto que ocurre son los problemas de propiedad intelectual. Un empleado usa la IA para generar código que incluye material con licencia con el que se entrenó la IA, genera un diseño que se parece a una obra protegida, redacta contenido que la organización reclama como propio pero que puede no ser protegible, y en general surgen situaciones de PI relacionadas con la IA. Las consecuencias incluyen reclamaciones por infracción, la incapacidad para hacer valer los derechos de la organización y otros problemas del ámbito de la propiedad intelectual.
Lo séptimo que ocurre es el desorden en contratación y seguridad. Los empleados se suscriben a herramientas de IA de forma individual con su correo personal, con la tarjeta corporativa o en el plan gratuito, y el panorama de las herramientas que usa la organización queda fragmentado en cientos de cuentas sobre las que seguridad y compras no tienen visibilidad. Esa situación es la base de la exposición de datos, de problemas de gestión del gasto, de la gestión contractual y del panorama general con el que la organización acaba lidiando.
La octava cosa que ocurre es la deriva cultural. La organización que no tiene la política es la organización donde la cultura se forma en torno a los hábitos individuales, donde los empleados de alta integridad aplican la verificación y los de baja integridad no, donde la divulgación y la transparencia son inconsistentes, donde la confianza dentro del equipo es desigual, y donde, silenciosamente, se construye la visión más amplia que el equipo de liderazgo no habría elegido. Las consecuencias son una realidad más difícil de medir que, sin embargo, da forma a la organización que el equipo de liderazgo está construyendo.
El conjunto anterior es la razón por la que la política importa, y el equipo de liderazgo que se compromete con esa realidad está en posición de asumir el compromiso de que las situaciones que la ausencia de la política invita valen el trabajo que la política requiere.
Lo que realmente es la Política Interna de IA
El siguiente paso útil es precisar qué es la política y qué no es, ya que la precisión moldea la redacción que el equipo va a hacer.
La política es el documento interno que establece las expectativas sobre cómo cada empleado utiliza la IA en su trabajo, y el documento cubre las herramientas aprobadas, los usos prohibidos, el tratamiento de datos, la divulgación, la supervisión humana, la adquisición de herramientas, la formación y la visión más amplia dentro de la cual los empleados pueden operar. La política es la base en la que se fundamenta el uso de IA en toda la organización.
La política no son los términos del sitio web externo ni la política de privacidad externa. Esos documentos externos son la versión pública con la que interactúan la audiencia y el regulador. La política interna de IA es el documento con el que interactúan los empleados y es la guía por la que la organización opera internamente, siendo los documentos externos los artefactos complementarios que a menudo hacen referencia a la política interna.
La política no es la documentación técnica de seguridad ni el documento de arquitectura de ingeniería. La documentación técnica es el detalle para las funciones de ingeniería y seguridad. La política interna de IA es la visión transversal que cualquier empleado puede entender y aplicar, y la documentación técnica es la base sobre la que la política se sustenta.
La política no es la declaración aspiracional opcional que el equipo de liderazgo publica y luego olvida. La política es el documento operacional que la organización hace cumplir realmente, y la aplicación es la base de la eficacia real de la política. El documento aspiracional sin operacionalización es el documento que el regulador y el cliente despreciarían y que los empleados aprenderían a ignorar.
La política no es el texto genérico copiado del sitio web de otra organización ni la plantilla de la consultora. El texto genérico describe la situación de otra organización y rara vez encaja bien con la situación real, con el riesgo de producir una política que no describe las prácticas reales y que no protege a la organización. La política que publique la organización debe describir la situación real en la que esta opera.
La política no es un artefacto estático que el equipo redacta una vez y olvida. La política es un documento vivo que evoluciona a medida que las herramientas de IA evolucionan, a medida que cambia el panorama regulatorio, a medida que evoluciona el uso de la organización y a medida que la situación continúa desarrollándose, siendo la revisión periódica parte de la disciplina operativa de la que la política depende.
Las secciones que la política debe incluir
La política interna de IA incluye un conjunto reconocible de secciones que el equipo debería planear redactar, y vale la pena ser concreto respecto a las secciones de la política que cubrirá la situación real.
La primera sección es el propósito y el alcance, que establece por qué existe la política, a quién se aplica, qué uso de IA cubre y la base sobre la que opera el resto de la política. La sección es el marco sobre el que se construye el resto.
La segunda sección son los principios, que establecen los valores en los que se fundamenta el uso de IA en la organización. Los principios abarcan la supervisión humana, la responsabilidad, la transparencia, la equidad, la privacidad, la seguridad, la fiabilidad y la visión más amplia a la que se compromete la organización. Los principios son la base sobre la que se articulan las reglas específicas.
La tercera sección es roles y responsabilidades, que establece quién posee la gobernanza de la IA, quién aprueba las herramientas, quién atiende las consultas, quién gestiona los incidentes, quién revisa la política y la visión general de la gobernanza. La sección es la base operativa desde la que funciona la política.
La cuarta sección es la lista de herramientas de IA aprobadas, que establece qué herramientas están autorizadas para qué usos. La sección cubre las herramientas de nivel empresarial que la organización ha adquirido, las condiciones para cada herramienta, las categorías de datos con las que se puede usar cada herramienta, los casos de uso aprobados para cada herramienta y la visión global desde la que los empleados pueden operar. La sección es la base práctica de la que dependen los empleados en el día a día.
La quinta sección son los usos prohibidos, que establecen los usos de IA que no están permitidos en la organización. La sección abarca las herramientas prohibidas, las combinaciones de datos y IA prohibidas, los casos de uso prohibidos, las interacciones con clientes y empleados que están prohibidas y la visión global de lo que la organización no hará con la IA. La sección es el límite claro que los empleados pueden reconocer.
La sexta sección es el tratamiento de datos, que establece cómo deben tratar los empleados los datos que introducen en las herramientas de IA. La sección cubre la clasificación de los datos, la política para cada clasificación, la información de clientes, la información personal, la propiedad intelectual, los requisitos de seguridad y la disciplina de datos en general. La sección es la base para gestionar el riesgo de exposición de datos.
La séptima sección es la supervisión y verificación humana, que establece las expectativas para el humano en el circuito. La sección cubre las categorías de trabajo que requieren revisión humana, las expectativas de verificación, el enfoque para decisiones con consecuencias significativas, el tratamiento del trabajo de cara al cliente y la visión general sobre la que se construye la fiabilidad. La sección es la base para gestionar la calidad de las salidas de IA.
La octava sección es la política de divulgación, que establece cuándo y cómo debe informarse sobre la participación de la IA. La sección cubre la divulgación a clientes, a candidatos, a la audiencia, a los reguladores, la divulgación interna y la visión más amplia de la transparencia. La sección es la base sobre la que se construye la confianza.
La novena sección es la adquisición y la evaluación de nuevas herramientas, que establece cómo se evalúan y aprueban las nuevas herramientas de IA. La sección cubre el proceso de solicitud, la revisión de seguridad, la revisión de privacidad, la revisión legal, los requisitos contractuales, el proceso de aprobación y la visión general de la gobernanza de adquisiciones. La sección es la base para controlar la proliferación de herramientas no autorizadas.
La décima sección es la formación y la concienciación, que establece cómo se forma a los empleados en la política y en el uso seguro de la IA. La sección cubre la formación de incorporación, la formación recurrente, la formación específica por rol, la alfabetización en IA en la organización y la visión más amplia de la concienciación. La sección es la base para que la política realmente moldee el comportamiento.
La undécima sección es la gestión de incidentes, que establece qué hacen los empleados cuando ocurre un incidente relacionado con la IA. La sección cubre los incidentes de exposición de datos, los incidentes por salidas de IA, los incidentes con terceros, el proceso de notificación, la respuesta y la visión más amplia de la gestión de incidentes. La sección es la base para gestionar las situaciones cuando se producen.
La duodécima sección es la supervisión y auditoría, que establece cómo la organización realiza el seguimiento del uso de IA, el cumplimiento de la política y la visión del programa. La sección cubre la supervisión, la cadencia de auditoría, los indicadores, la presentación de informes al liderazgo y la visión más amplia de la visibilidad. La sección es la base para evaluar la eficacia de la política.
La decimotercera sección es la revisión de la política y la gestión del cambio, que establece cómo se actualiza la política. La sección cubre la cadencia de revisión recurrente, las revisiones disparadas por eventos, la comunicación de cambios, el control de versiones y la visión más amplia del mantenimiento de la política. La sección es la base para mantener la política actualizada.
La decimocuarta sección son las consecuencias por incumplimientos, que establecen el enfoque de la aplicación de la política. La sección cubre el tratamiento de incumplimientos involuntarios, el de los incumplimientos deliberados, el marco disciplinario, la relación con las políticas de RR. HH. y la visión más amplia de la ejecución. La sección es la base para que la política se considere un documento operacional y no solo aspiracional.
La decimoquinta sección es contactos y recursos, que proporcionan a los empleados la forma de hacer preguntas y encontrar ayuda. La sección cubre el contacto de gobernanza de IA, los contactos de seguridad y privacidad, los recursos de formación, las guías de herramientas aprobadas y la visión general del soporte. La sección es la base para que los empleados puedan interactuar con la política.
El enfoque práctico de redacción para el equipo de liderazgo
La política interna de IA es un trabajo que lidera el equipo de liderazgo con aportes de los equipos legal, de seguridad, de RR. HH., de TI y de los líderes funcionales, y el enfoque práctico tiene un conjunto reconocible de pasos.
El primer paso es hacer un inventario de usos de IA en toda la organización. El equipo encuesta las funciones para entender las herramientas de IA que los empleados están usando actualmente, los datos que los empleados introducen en esas herramientas, los casos de uso que aplican, el panorama de adquisiciones y la visión general de la situación real. El inventario es la base que la política va a abordar y es un requisito que el equipo no debe omitir.
El segundo paso es convocar al grupo de trabajo multifuncional que redactará la política. El grupo incluye al responsable legal, al responsable de seguridad, al responsable de privacidad o protección de datos, al responsable de RR. HH., al responsable de TI, al responsable de IA o técnico si la organización cuenta con uno, a los líderes funcionales de las funciones que más usan IA y al patrocinador ejecutivo. El grupo es la base operativa sobre la que se construye la política.
El tercer paso es esbozar la política de acuerdo con las secciones que incluye la estructura. El esquema asigna los hallazgos del inventario y las aportaciones del grupo de trabajo a las secciones previstas, y ese esquema es la base sobre la que se redactará el documento.
El cuarto paso es redactar la política sección por sección. La redacción es el trabajo que el equipo puede hacer con un tono claro y profesional que los empleados puedan entender, y ese enfoque es la base para la revisión del grupo de trabajo. El borrador debe ser específico para la organización y no una plantilla genérica tomada de otro lugar.
El quinto paso es la revisión y el refinamiento por parte del grupo de trabajo. La revisión es el trabajo sustantivo que convierte el borrador en la política que encaja con la organización, y las aportaciones del grupo de trabajo son la base de la que la política depende. La revisión es un paso que el equipo no debe abreviar.
El sexto paso es la aprobación ejecutiva y la publicación. La aprobación ejecutiva es la base que le da autoridad a la política para que su operacionalización sea efectiva, mientras que la publicación es el compromiso visible que la organización está adquiriendo. La publicación es el anuncio con el que interactúan los empleados y en el que el cliente y el regulador pueden apoyarse como evidencia de que el programa existe.
El séptimo paso es el despliegue de la formación que presenta la política a los empleados. El despliegue abarca la presentación en la reunión general, la formación específica por rol, la formación para mandos, lo relativo a la incorporación de nuevos empleados y la visión general de la sensibilización. El despliegue es la base para que la política realmente influya en el comportamiento.
El octavo paso es la operacionalización que hace que la política funcione en la práctica. La operacionalización abarca el proceso de adquisición de las nuevas herramientas, los controles de manejo de datos, la supervisión, la respuesta a incidentes, los informes, las auditorías y la visión más amplia del programa. La operacionalización es lo que convierte la política de documento en práctica real.
El noveno paso es la revisión periódica que mantiene la política actualizada. La revisión forma parte de la disciplina operativa que sostiene la durabilidad de la política, siendo la cadencia la comprobación recurrente que el equipo realiza frente al uso real de IA, el panorama regulatorio, el ecosistema de herramientas y la perspectiva general.
La política de ejemplo que la organización puede usar como punto de partida
La política de ejemplo que sigue es el punto de partida que la organización puede adaptar a la situación concreta. El ejemplo es una plantilla ilustrativa y no la política final para una organización específica, y la revisión del grupo de trabajo y la aprobación ejecutiva son la base de la que depende la política publicada.
Política de uso interno de IA para Example Company
Fecha de vigencia: 1 de enero de 2026
1. Propósito y alcance
Esta política establece las expectativas sobre cómo debe usar las herramientas de inteligencia artificial cada empleado, contratista y representante autorizado de Example Company en su trabajo. La política cubre las herramientas aprobadas, los usos prohibidos, el manejo de datos, la divulgación, la supervisión humana, la adquisición, la formación y la respuesta a incidentes. La política se aplica a todo uso de IA en relación con el trabajo de la empresa, independientemente de si la herramienta la proporciona la empresa, un tercero o si se accede a ella de forma personal para fines de la empresa.
2. Principios
Nuestro uso de la IA se basa en los siguientes principios.
- Responsabilidad humana. Una persona es responsable del trabajo que produce la empresa. La IA es una herramienta que apoya a la persona y no reemplaza su responsabilidad.
- Supervisión humana. Las salidas de la IA que afectan a clientes, candidatos, empleados u otras personas están sujetas a revisión humana antes de actuar en función de ellas o de compartirlas.
- Transparencia. Divulgamos la participación de la IA cuando el público razonablemente esperaría dicha divulgación.
- Privacidad y seguridad. Protegemos la información personal y confidencial que procesan las herramientas de IA de conformidad con nuestras políticas de privacidad y seguridad.
- Equidad. No utilizamos IA de formas que generen discriminación ilegal o que menoscaben el trato justo de las personas.
- Fiabilidad. Tratamos las salidas de la IA como borradores que la persona verifica antes de confiar en ellas.
- Cumplimiento. Usamos la IA de maneras que cumplan con las leyes, regulaciones y obligaciones contractuales aplicables.
3. Roles y responsabilidades
El responsable de la gobernanza de IA es el propietario de esta política, mantiene la lista de herramientas aprobadas, coordina el grupo de trabajo e informa al patrocinador ejecutivo. El responsable legal atiende las cuestiones regulatorias y contractuales. El responsable de seguridad realiza la revisión de seguridad de las nuevas herramientas y gestiona la respuesta a incidentes. El responsable de privacidad se encarga de la revisión de privacidad y de las directrices de manejo de datos. El responsable de RR. HH. gestiona la política en el contexto laboral. El responsable de TI gestiona la habilitación técnica y los controles. Los líderes funcionales son responsables del cumplimiento de la política en sus áreas. Cada empleado es responsable de seguir la política y de reportar dudas e incidentes.
4. Herramientas de IA aprobadas
La empresa mantiene la lista de herramientas de IA aprobadas en la ubicación publicada por el responsable de la gobernanza de IA. La lista especifica para cada herramienta las categorías de datos con las que puede usarse, los casos de uso aprobados, los requisitos de configuración, el panorama de cuentas y la situación de licencias o suscripciones. Los empleados deben usar únicamente las herramientas aprobadas para el trabajo que cubre la política. Los empleados no deben registrarse individualmente en nuevas herramientas de IA para trabajo de la empresa sin seguir el proceso de adquisición descrito en la sección 9.
5. Usos prohibidos
Los siguientes usos de la IA están prohibidos independientemente de la herramienta.
- Introducir datos de clientes, datos de candidatos, datos personales de empleados, datos financieros, información legal y regulatoria u otra información confidencial o restringida en herramientas de IA que no estén aprobadas para la categoría de datos correspondiente.
- Usar la IA para producir trabajos que la empresa envíe a clientes, candidatos, reguladores o al público sin la revisión humana obligatoria descrita en la sección 7.
- Usar la IA para tomar decisiones finales sobre contratación, promoción, compensación, despido u otros asuntos laborales sin la decisión humana.
- Usar la IA de maneras que violen leyes o regulaciones aplicables, incluida la Ley de IA de la UE, las leyes estatales de IA de EE. UU., las normativas sectoriales, las leyes de protección del consumidor, las leyes laborales y el panorama regulatorio más amplio.
- Usar la IA para generar contenido que infrinja la propiedad intelectual de terceros, para crear material engañoso o para suplantar a cualquier persona.
- Usar la IA para eludir los controles de seguridad, privacidad o cumplimiento que la empresa tiene implementados.
- Usar la IA para interactuar con clientes haciéndose pasar por una persona sin la divulgación exigida en la sección 8.
6. Manejo de datos
La empresa clasifica los datos en las categorías descritas en la política de clasificación de datos, y el tratamiento por parte de la IA depende de esa clasificación.
- Datos públicos. Pueden usarse con cualquier herramienta de IA aprobada.
- Datos internos. Pueden usarse solo con las herramientas de IA aprobadas y designadas para datos internos, bajo las configuraciones que especifique el responsable de la gobernanza de IA.
- Datos confidenciales, incluidas la información de clientes, la información personal de empleados, la información financiera y la información estratégica. Pueden usarse solo con las herramientas de IA aprobadas y designadas para datos confidenciales, bajo las configuraciones que especifique el responsable de la gobernanza de IA, y solo para los casos de uso que la política autorice.
- Datos restringidos, incluidas la información personal sensible, la información regulada y categorías similares. Pueden usarse solo con las herramientas de IA aprobadas y designadas para datos restringidos, bajo los controles adicionales que especifique el responsable de la gobernanza de IA, y solo con la autorización adicional que exija la política.
Los empleados no deben pegar datos en herramientas de IA sin confirmar la clasificación de los datos y las categorías aprobadas de la herramienta. En caso de duda, los empleados deben contactar al responsable de la gobernanza de IA o al responsable de privacidad antes de continuar.
7. Supervisión y verificación humana
La salida de la IA es un borrador que la persona es responsable de verificar. Las expectativas de verificación dependen de la categoría de trabajo.
- Trabajos de cara al cliente, incluidos correos electrónicos, contratos, textos de marketing, respuestas de soporte y materiales similares. Revisados por el empleado responsable para verificar precisión, tono y adecuación antes de enviarlos o publicarlos.
- Trabajos legales, regulatorios o financieros. Revisados por una persona cualificada y verificados de forma independiente en cuanto a precisión fáctica, citas y cálculos.
- Trabajo de código e ingeniería. Revisado por el ingeniero responsable para comprobar corrección, seguridad y licencias antes de fusionarlo o desplegarlo.
- Decisiones sobre personas, including hiring, performance, and similar matters. Made by a human with the AI output serving as an input the human evaluates rather than a recommendation the human accepts without review.
- Trabajo interno, including notes, summaries, and similar materials. Reviewed by the responsible employee for accuracy before being relied on or shared.
8. Divulgación
Divulgamos la participación de IA cuando la audiencia razonablemente esperaría tal divulgación.
- Las interacciones con clientes gestionadas sustancialmente por un chatbot de IA o un agente de IA se divulgan como tales.
- El contenido público generado sustancialmente por IA se divulga cuando la audiencia y el panorama regulatorio así lo requieren.
- Los candidatos son informados cuando se usa IA de manera significativa en el proceso de contratación, y la empresa cumple con las leyes aplicables de auditoría y divulgación de sesgos de IA.
- Los clientes son informados sobre las herramientas de IA que usamos para procesar sus datos a través de nuestra política de privacidad y la documentación de procesamiento de datos.
- El uso interno de IA en un trabajo se registra en el expediente del proyecto cuando el uso es material para la evaluación del trabajo.
9. Adquisiciones y nuevas herramientas
Las solicitudes de nuevas herramientas de IA siguen el proceso de adquisiciones que mantiene el responsable de gobernanza de IA. El proceso incluye la revisión de seguridad por el responsable de seguridad, la revisión de privacidad por el responsable de privacidad, la revisión legal por el responsable legal, la revisión de TI para la integración y el acceso, la revisión del caso de negocio y la aprobación ejecutiva cuando la herramienta implique datos restringidos, gasto significativo o riesgo significativo. Los empleados no pueden adquirir herramientas de IA de forma individual para trabajo de la empresa fuera del proceso. El responsable de gobernanza de IA mantiene la lista de herramientas aprobadas y la cadencia de revisión de las herramientas existentes.
10. Formación y concienciación
Todo empleado completa la formación sobre la política de IA en la incorporación y anualmente después. Se proporciona formación específica por rol para las funciones con mayor uso de IA, incluida ingeniería, marketing, RR. HH., atención al cliente y el equipo de liderazgo. La formación cubre la propia política, las herramientas aprobadas, el manejo de datos, las expectativas de verificación, la divulgación, la respuesta ante incidentes y el panorama más amplio del uso seguro de la IA. El responsable de gobernanza de IA mantiene los materiales de formación y el registro de finalización.
11. Gestión de incidentes
Un incidente relacionado con IA es cualquier situación en la que el uso de IA genere una exposición de datos, una comunicación errónea a un cliente o candidato, una preocupación regulatoria o contractual, una preocupación de seguridad o una situación similar. Los empleados deben informar de los incidentes al responsable de gobernanza de IA y al responsable de seguridad con prontitud, independientemente de la gravedad. La respuesta sigue el procedimiento de respuesta a incidentes, que incluye la evaluación, la contención, el panorama de notificación, la remediación y las lecciones aprendidas. Informar de buena fe no resulta por sí mismo en sanciones; el ocultamiento de un incidente sí puede hacerlo.
12. Monitorización y auditoría
La empresa supervisa el uso de IA mediante los controles que mantienen las funciones de seguridad y TI, incluida la visión del acceso a las herramientas de IA, los flujos de datos donde la visibilidad lo permite y los registros de adquisición. El responsable de gobernanza de IA realiza la auditoría periódica del cumplimiento de la política, la lista de herramientas aprobadas, la finalización de la formación, el registro de incidentes y el panorama más amplio del programa. La auditoría informa al patrocinador ejecutivo con la cadencia acordada.
13. Revisión y cambios de la política
Esta política se revisa con la cadencia periódica que mantiene el responsable de gobernanza de IA, como mínimo semestralmente. La política también se revisa de forma desencadenada cuando cambia el panorama regulatorio, cuando surge una nueva categoría de herramienta de IA, cuando un incidente requiere un ajuste de la política o cuando el equipo de liderazgo solicita la revisión. Los cambios en la política se comunican a los empleados y se reflejan en los materiales de formación.
14. Consecuencias por incumplimientos
El cumplimiento de esta política es una condición de empleo. Las violaciones involuntarias se abordan mediante acciones correctivas y formación adicional. Las violaciones intencionadas o repetidas pueden resultar en medidas disciplinarias que pueden llegar hasta la terminación del empleo, de acuerdo con las políticas de RR. HH. Las violaciones que impliquen conducta penal o daño significativo a la empresa, a los clientes, a los empleados o a terceros también pueden dar lugar a acciones legales.
15. Contacto y recursos
El responsable de gobernanza de IA puede contactarse en ai dash governance at example dot com. El responsable de seguridad puede contactarse en security at example dot com. El responsable de privacidad puede contactarse en privacy at example dot com. La lista de herramientas aprobadas, los materiales de formación, la política de clasificación de datos, el formulario de adquisiciones y el formulario de notificación de incidentes se publican en las ubicaciones que mantiene el responsable de gobernanza de IA. Los empleados deben contactar al responsable de gobernanza de IA con preguntas antes de proceder cuando tengan dudas.
La disciplina operativa que la política necesita para funcionar realmente
La política interna de IA es un documento vivo que necesita la disciplina operativa para realmente moldear el comportamiento, y el equipo de liderazgo que financia esa disciplina produce la política que funciona en la práctica en lugar del documento que queda sin leer.
La primera acción es el patrocinio ejecutivo que da a la política la autoridad que la operacionalización requiere. El patrocinador ejecutivo es el propietario visible del programa, la base desde la que opera el grupo de trabajo, la base de la que dependen el presupuesto y los recursos, y la base sobre la que se construye el compromiso cultural.
La segunda acción es el responsable de gobernanza de IA que dirige el programa día a día. El responsable es el punto de referencia con el que interactúan los empleados, la base desde la que se mantiene la lista de herramientas aprobadas, el canal a través del cual se gestionan los incidentes y la base desde la que opera la auditoría periódica. El responsable es el rol operativo del que depende el programa.
La tercera acción es el grupo de trabajo que apoya la visión transversal. Legal, seguridad, privacidad, RR. HH., TI y los líderes funcionales producen conjuntamente la visión que encaja con la organización, siendo el grupo la base que mantiene la política anclada en la situación real.
La cuarta acción es la formación y la concienciación que convierte la política de documento en comportamiento real. La formación de incorporación, la formación anual, la formación específica por rol y la concienciación general son la base con la que los empleados realmente interactúan con la política.
La quinta acción es la operacionalización que hace que la política funcione en la práctica. El proceso de adquisiciones, los controles de manejo de datos, la monitorización, la respuesta a incidentes, la estructura de informes, la auditoría y el programa operativo más amplio son la base con la que la política realmente moldea el comportamiento.
La sexta acción es la revisión periódica en la cadencia programada y desencadenada. La revisión es la base para que la política se mantenga actual a medida que las herramientas de IA, el panorama regulatorio y el uso de la organización continúan evolucionando.
La séptima acción es la elaboración de informes ejecutivos que mantienen al equipo de liderazgo involucrado con la visión. Los informes cubren el estado del programa, el panorama de incidentes, la finalización de la formación, los hallazgos de la auditoría, los cambios de política y la visión más amplia que el equipo de liderazgo utiliza para apoyar el programa.
La disciplina en conjunto es la base para que la política funcione realmente, con el equipo de liderazgo que financia la disciplina produciendo el programa de IA con el que la organización se compromete en lugar del documento que la organización publicó y olvidó.
Resumen sincero para el equipo directivo
Entonces, ¿cómo se escribe la política interna de IA para la organización y por qué importa? La respuesta honesta es que la política importa porque los empleados ya están usando IA, porque la exposición de datos y los riesgos regulatorios, para el cliente, de propiedad intelectual y culturales son reales, y porque la ausencia de una política es la situación en la que las consecuencias ocurren sin el marco para gestionarlas. La redacción de la política es el trabajo que lidera el equipo de liderazgo con la aportación del grupo de trabajo transversal, y la política cubre las secciones reconocibles incluyendo los principios, los roles, las herramientas aprobadas, los usos prohibidos, el manejo de datos, la supervisión humana, la divulgación, las adquisiciones, la formación, la respuesta a incidentes, la monitorización, la revisión de la política, las consecuencias y el contacto. La política de ejemplo es el punto de partida que la organización adapta a la situación real, y la operacionalización es lo que convierte la política del documento en la práctica real que moldea el comportamiento hacia el que el equipo de liderazgo está construyendo.
La política es el artefacto reconocible detrás del cual el equipo de liderazgo puede respaldarse, y la disciplina que convierte la política en práctica real es la base sobre la que se construye el programa de IA al que la organización se compromete.
Cómo ayuda ProvenROI a los clientes con la política interna de IA y la gobernanza de IA más amplia
El trabajo de ProvenROI con los clientes en la política interna de IA y la gobernanza de IA más amplia parte de la premisa de que la política es parte de la operativa sobre la que la organización funciona y parte de la confianza que la organización construye con los clientes, los empleados, los reguladores y el panorama más amplio. La política que encaja con la organización real, que incluye las secciones reconocibles que la audiencia espera, que está operationalizada para que realmente moldee el comportamiento y que cuenta con la disciplina periódica de apoyo es la política que el equipo de liderazgo puede respaldar.
El trabajo abarca el inventario del uso de IA en toda la organización, la facilitación del grupo de trabajo transversal, el esquema y la redacción de la política en asociación con legal, seguridad, privacidad, RR. HH., TI y los líderes funcionales, la integración con las políticas más amplias de privacidad, seguridad y operativa, la aprobación ejecutiva y la publicación, el despliegue de la formación y la concienciación, la operacionalización de adquisiciones, el manejo de datos, la monitorización, la respuesta a incidentes, la visión de auditoría y la disciplina periódica que mantiene la política actual. El trabajo es el apoyo práctico para el equipo de liderazgo que quiere que la política realmente moldee el comportamiento.
El trabajo no es asesoramiento legal ni sustituye al abogado con el que trabaja la organización. El trabajo es el apoyo práctico que produce el borrador que revisa el abogado y que respalda la visión transversal de la que depende la política. El trabajo es la disciplina operativa que la política necesita para ser efectiva en lugar de la práctica legal que aporta el abogado.
El trabajo se trata como recurrente, con las revisiones programadas y desencadenadas apoyadas, el inventario mantenido, la formación actualizada, las lecciones aprendidas de incidentes integradas, la política actualizada a medida que las herramientas de IA y el panorama regulatorio evolucionan, y los informes ejecutivos mantenidos. La disciplina es lo que convierte la política del artefacto de lanzamiento único en el programa de IA duradero para el que la organización asigna fondos.
La pregunta de cómo redactar la política interna de IA no tiene una sola respuesta que se aplique a todas las organizaciones. Tiene una respuesta específica para cada organización que se toma el tiempo para trabajar en el inventario, el grupo de trabajo, la redacción, la operacionalización y la disciplina operativa. ProvenROI ayuda a los clientes a llegar a esa respuesta y a construir la política que encaja con la organización real y que realmente moldea el comportamiento hacia el que el equipo de liderazgo está construyendo. Esa es la visión con la que un equipo de liderazgo puede respaldarse mientras las herramientas de IA, el panorama regulatorio y la organización continúan evolucionando.