Política de uso de IA en la pyme: una página que sí se cumpla

El 10 de julio de 2025 la Comisión Europea publicó el Código de buenas prácticas para modelos de IA de uso general. Es un documento voluntario, preparado por expertos independientes, que ayuda a los proveedores de esos modelos a cumplir las obligaciones del Reglamento de IA que empiezan a aplicarse el 2 de agosto de 2025. Se organiza en tres capítulos: transparencia, derechos de autor y seguridad, este último solo para los modelos más avanzados con riesgo sistémico.

Es lógico que un estudio de arquitectura o una ingeniería se pregunte qué tiene que ver con esto. La respuesta corta: las obligaciones del código recaen sobre quienes desarrollan los modelos, no sobre quienes los usan. Pero el código envía una señal útil a cualquier organización: la gobernanza de la IA se está concretando en documentos breves, verificables y revisables. Eso es exactamente lo que necesita una pyme.

Lo que sí obliga a una pyme

Para una empresa que usa IA, las obligaciones más relevantes son tres:

• La alfabetización en IA del artículo 4 del reglamento, aplicable desde el 2 de febrero de 2025. La Comisión ha publicado un documento de preguntas y respuestas que confirma un enfoque flexible y proporcionado, sin certificados obligatorios.
• Las obligaciones de transparencia del artículo 50, que llegarán en agosto de 2026 e incluyen identificar ciertos contenidos generados con IA.
• El RGPD, que ya se aplica a cualquier dato personal que se suba a una herramienta.

Una política de uso de IA es la forma más sencilla de ordenar las tres. No sustituye al análisis de riesgos que pueda requerir un uso concreto, pero da al equipo un criterio común para el día a día.

Por qué la mayoría de las políticas no se cumplen

En los proyectos de implantación que acompañamos veo siempre los mismos fallos:

• Son largas. Un documento de quince páginas se firma y se olvida.
• Solo prohíben. Si la política dice lo que no se puede hacer pero no ofrece herramientas autorizadas, el equipo usa sus cuentas personales. Es la llamada IA en la sombra, y es el mayor riesgo real de una pyme.
• No tienen dueño. Nadie responde dudas ni la actualiza cuando cambia una herramienta.
• No hablan el idioma del oficio. Una política genérica no dice qué hacer con un plano de un cliente o con una justificación del DB-SI.

Plantilla de una página

Propongo una estructura de siete bloques que cabe en una cara:

1. Objeto y alcance. A quién aplica: personal, colaboradores externos y becarios que trabajen para la empresa.
2. Herramientas autorizadas. Lista cerrada, con cuenta corporativa, y para qué tarea está aprobada cada una. Lo que no está en la lista se pide, no se usa.
3. Datos. Qué no se sube nunca: datos personales de clientes sin base jurídica, documentación sujeta a confidencialidad, planos de instalaciones de seguridad o de edificios sensibles, información económica de licitaciones en curso.
4. Revisión y firma. Ningún contenido generado se incorpora a un documento que vaya a firmarse, visarse o presentarse ante la Administración sin la revisión de quien firma. La responsabilidad profesional no cambia.
5. Transparencia. Cuándo se informa al cliente del uso de IA y cómo se etiquetan las imágenes generadas.
6. Responsable y canal. Una persona con nombre, un correo o canal para dudas e incidencias, y el compromiso de responder.
7. Formación y revisión. Sesión inicial para cada incorporación y revisión de la política al menos una vez al año o cuando cambie una herramienta relevante.

Una política de IA no se mide por lo que prohíbe, sino por cuántas veces la consulta el equipo antes de decidir.

Un escenario tipo

Describo un caso compuesto a partir de varios proyectos. Un estudio de doce personas detecta que la mitad del equipo usa asistentes de IA con cuentas personales para redactar textos de memoria y correos a clientes. La primera reacción de la dirección es prohibirlo.

En su lugar, el estudio contrata una herramienta corporativa con condiciones de tratamiento de datos claras, redacta la política de una página con los siete bloques, nombra a una arquitecta como responsable y dedica una sesión de dos horas a revisar ejemplos reales: un apartado de memoria constructiva, una consulta sobre DB-HE y una imagen para un concurso. Tres meses después, la estimación interna es que el uso de cuentas personales ha desaparecido casi por completo y que las dudas se canalizan por el responsable. Son estimaciones del propio escenario, no datos medidos de forma independiente.

Cómo implantarla en un mes

• Semana 1: inventario de herramientas y usos reales, sin buscar culpables.
• Semana 2: elegir herramientas autorizadas y redactar la página.
• Semana 3: sesión de formación con casos propios y firma de recepción.
• Semana 4: primera revisión de dudas e incidencias y ajustes.

Mi recomendación

El 2 de agosto es una fecha para los proveedores de modelos. Para una pyme, es una buena excusa para hacer algo que debería existir ya: una página clara, con herramientas autorizadas, límites de datos, revisión antes de firmar y una persona que responda. Las políticas que funcionan no son las más completas, sino las que el equipo entiende y encuentra útiles el lunes por la mañana.