Política de uso de IA: qué definir antes de liberar la IA

Una política de uso de IA que funciona cabe en pocas páginas y responde a las preguntas que tu equipo ya está resolviendo por su cuenta: qué herramienta puede usar, qué dato puede pegar en un chat, quién revisa el texto antes de que llegue al cliente y quién responde cuando el agente se equivoca. Las personas de tu empresa ya usan IA, con o sin autorización. Prohibirla empuja ese uso a la cuenta personal en el celular, donde la empresa pierde de vista lo que pasa, y liberarla sin reglas pone propuestas, contratos y datos personales de clientes en herramientas que nadie evaluó. La política útil enumera las herramientas aprobadas, clasifica los datos en cuatro niveles, exige revisión humana antes de cualquier envío externo, mantiene un registro de los agentes y tiene un dueño que la revisa cada trimestre. Se puede implantar en 30 días, con el área legal revisando el texto y RR. HH. llevando la capacitación a la rutina.

En Iasbeck&Co implantamos CRM y agentes de IA en operaciones B2B, y la pregunta sobre reglas de uso aparece temprano en casi todos los proyectos. Escribí este texto para RR. HH., legal y TI, que suelen recibir la tarea de redactar la política, y para los líderes de ventas, marketing y posventa, que van a convivir con ella. El contenido es orientación de gestión y no sustituye una opinión legal: la versión final de tu política tiene que pasar por el área legal de la empresa.

¿Por qué prohibir el uso de ChatGPT en la empresa no resuelve el problema?

En una encuesta de Gartner publicada en noviembre de 2025, hecha con 302 líderes de ciberseguridad, el 69% de las organizaciones dijo sospechar o tener evidencia de que los empleados usan herramientas públicas de IA generativa prohibidas por la empresa. En el mismo comunicado, Gartner prevé que, hasta 2030, más del 40% de las empresas tendrá incidentes de seguridad o de cumplimiento vinculados a ese uso no autorizado, conocido como shadow AI, y recomienda que los CIO definan políticas claras de uso para toda la empresa. El Work Trend Index 2024 de Microsoft y LinkedIn, con 31 mil profesionales en 31 países, ya mostraba que el 78% de quienes usaban IA en el trabajo llevaba sus propias herramientas.

En la operación comercial, el vendedor pega la propuesta entera, con precio y descuento, en un chat de su cuenta personal para que el texto sea más persuasivo, y la analista de Customer Success exporta la lista de tickets del mes, con nombre y teléfono de cada cliente, para pedir un resumen. Los dos querían entregar más rápido y no saben si la herramienta guarda el contenido o si el proveedor lo usa para entrenar el modelo. Cuando la dirección prohíbe, ese uso sigue desde la computadora de la casa y la empresa pierde la oportunidad de orientar. Cuando libera sin reglas, la exposición sigue igual y además gana el aval de la empresa. La política lleva ese uso a la vista del liderazgo, con herramientas que alguien evaluó y límites que el equipo conoce.

¿Qué necesita definir una política de uso de IA?

Organizo la política en ocho decisiones, y cada una necesita un dueño con nombre. Una política hecha solo de prohibiciones se convierte en un documento que el equipo firma al ingresar y olvida, y una hecha solo de principios deja al vendedor sin saber si puede pegar la propuesta en el chat.

Herramientas aprobadas y el camino para pedir una nueva

La política enumera las herramientas que la empresa evaluó y contrató, con inicio de sesión por el correo corporativo y con la configuración que impide usar el contenido para entrenar el modelo, cuando el proveedor ofrece esa opción. El camino para pedir una herramienta nueva pesa tanto como la lista: el analista de marketing que encuentra una herramienta útil y no tiene a quién pedirla vuelve a la tarjeta personal. Un formulario simple para TI, con plazo de respuesta y criterios conocidos, como dónde se almacena el dato y qué dice el contrato sobre el uso del contenido, reduce el shadow AI más que bloquear sitios.

En el workshop que hice en octubre, la novedad que más comentamos fue la posibilidad de llevar al CRM los agentes que las personas crearon en herramientas de chat sueltas, con una sola factura y un panel donde el gestor ve todos los agentes. El agente pasa a trabajar en el sistema que ya guarda los datos del cliente y tiene permisos por usuario, en lugar de correr en una cuenta que solo conoce quien lo creó.

Qué datos pueden entrar en la IA: la clasificación en cuatro niveles

La clasificación es la sección que el equipo más consulta, y por eso tiene que caber en una tabla, con ejemplos de la operación y el tipo de herramienta en el que puede entrar cada nivel.

Nivel	Ejemplos en la operación	Herramienta pública, sin contrato	Herramienta corporativa aprobada	Agente dentro del CRM
Público	Sitio web, posts publicados, material descargable, presentación institucional	Puede	Puede	Puede
Interno	Playbook, procesos, guion de capacitación, acta sin datos de clientes	No puede	Puede	Puede
Confidencial	Propuesta con precio, margen, contrato, pipeline, metas, estrategia	No puede	Puede, con autorización del dueño de la información	Puede, dentro de los permisos del usuario
Dato personal de cliente	Nombre, correo, teléfono, documento de identidad, conversación de soporte, grabación y transcripción de llamada	No puede	Solo en las finalidades que la política enumera y legal validó	Puede, en las finalidades y permisos definidos

Ante la duda sobre el nivel, la persona trata el dato como el nivel de arriba, y el dato personal sensible, como información de salud o biometría, queda fuera de cualquier herramienta de IA hasta que legal escriba una regla específica. Cambiar el nombre del cliente por “Cliente A” resuelve parte de los casos de texto corrido y no resuelve una planilla exportada con cuarenta columnas, en la que cargo, ciudad y tamaño de la empresa identifican a la persona.

Revisión humana antes de cualquier envío al cliente

Todo lo que la IA produce y sale de la empresa pasa antes por una persona que leyó el contenido completo, sea correo, propuesta, respuesta de ticket o informe. La política dice qué revisa esa persona, porque revisar sin criterio termina en una lectura por encima. Pido que la revisión cubra números y fechas, nombres de personas y empresas, cualquier promesa de plazo, precio o alcance y cualquier afirmación sobre el cliente que no esté registrada en el CRM.

Los usos internos de bajo riesgo, como resumir una llamada para el propio vendedor, pueden correr sin aprobación ítem por ítem, con revisión por muestreo a cargo del gestor. En IA en la operación comercial detallo las tres listas que uso con los líderes (lo que el agente hace solo, lo que hace y espera aprobación y lo que nunca hace), y la política es el lugar para registrarlas, área por área.

Quién responde por lo que aprobó

La frase “lo escribió la IA” no sirve de explicación ante un cliente, un consejo o un auditor, y la política tiene que decirlo por escrito. Quien envía o aprueba un contenido responde por él como si lo hubiera escrito. Quien configura un agente responde por las instrucciones y los permisos que le dio, y el liderazgo del área responde por lo que los agentes hacen sin aprobación ítem por ítem, porque fue el liderazgo quien decidió liberarlo.

Registro de agentes y automatizaciones

Cada agente y cada automatización con IA que lee o escribe datos de la empresa entra en un registro con nombre, dueño, objetivo, herramienta donde corre, datos que lee, acciones que ejecuta, quién aprueba y consumo de créditos. El agente sin dueño registrado se apaga. El registro parece burocracia hasta el día en que un cliente reclama por un mensaje extraño y nadie sabe qué automatización lo envió. La arquitectura y los límites de cada agente están en agentes de IA, y el registro es la parte de ese diseño que va a la política.

Transparencia con el cliente cuando corresponda

La política define cuándo la empresa informa al cliente que la IA participa en la conversación. Los casos más comunes son el asistente virtual en la atención, que debe presentarse como asistente y ofrecer un camino hacia una persona, y la grabación y transcripción de llamadas, que la invitación a la reunión tiene que mencionar. Legal dice dónde la transparencia es obligación legal o contractual, incluidos los contratos de clientes grandes que ya traen cláusulas sobre IA, y los líderes de marketing y posventa deciden dónde es una elección de la marca.

Capacitación obligatoria

Nadie recibe acceso a las herramientas aprobadas sin pasar por la capacitación básica, que cubre la política, la clasificación de datos, cómo pedirle trabajo a la IA y cómo revisar lo que devuelve. Un documento leído al ingresar cambia poco el comportamiento del equipo, y por eso la capacitación trabaja con casos de la propia área. Detallé formatos, públicos y medición en capacitación en IA para empresas.

Dueño de la política y revisión periódica

La política tiene un dueño con nombre, en TI, compliance o legal, apoyado por un comité pequeño con RR. HH., TI, el responsable de protección de datos y un líder de negocio. En los primeros doce meses recomiendo una revisión trimestral, porque las herramientas cambian de funciones y de contrato a ese ritmo, y una revisión extraordinaria después de un incidente o de un cambio regulatorio. La política también necesita un canal para reportar incidentes, con la regla de que quien avisa rápido sobre un dato pegado en el lugar equivocado no recibe sanción, porque de lo contrario la empresa se entera recién cuando el cliente reclama.

Modelo de estructura de la política de uso de IA

La estructura de abajo es mi punto de partida. Cabe en cuatro a seis páginas, más un anexo de ejemplos por área, que es la parte que el equipo más lee.

Sección	Qué contiene	Quién la escribe
1. Objetivo y alcance	A quién se aplica (empleados, contratistas, terceros con acceso) y qué herramientas cubre	RR. HH. y legal
2. Herramientas aprobadas	Lista, cuentas corporativas, configuraciones y cómo pedir una nueva	TI
3. Clasificación de datos	Los cuatro niveles y qué puede entrar en cada tipo de herramienta	TI, legal y responsable de protección de datos
4. Usos permitidos y prohibidos	Ejemplos por área y las listas de lo que el agente hace solo y de lo que nunca hace	Líderes de ventas, marketing y posventa
5. Revisión humana y responsabilidad	Qué pasa por aprobación, qué revisa la revisión y quién responde	Líderes y legal
6. Registro de agentes y automatizaciones	Campos del registro, quién lo mantiene y qué pasa con el agente sin dueño	RevOps, administrador del CRM o TI
7. Transparencia con clientes	Cuándo informar, con qué texto y en qué canal	Legal, marketing y posventa
8. Capacitación	Ruta obligatoria por público y actualizaciones	RR. HH. y T&D
9. Incidentes	Qué hacer cuando un dato entra donde no debía y en cuánto tiempo reportarlo	TI y responsable de protección de datos
10. Gobernanza	Dueño, comité, calendario de revisión y control de versiones	Dueño de la política

¿Cómo cambia la política el día a día de ventas, marketing y posventa?

En ventas, la propuesta con precio se trabaja en la herramienta aprobada o dentro del CRM, y la transcripción de la llamada queda asociada al negocio. El seguimiento que el agente redacta vuelve al vendedor antes del envío, y el gestor gana un criterio objetivo: el mensaje salió con la firma del vendedor, así que el vendedor responde por él. Para quien ya usaba IA por su cuenta, la política cambia el uso escondido por una herramienta con acceso al historial del cliente.

En marketing, la base de leads deja de salir del CRM en planillas para alimentar herramientas externas, y el contenido generado con IA entra en el flujo de revisión que el área ya tiene para números, citas y derechos de imagen. En posventa, el asistente virtual se identifica, el ticket crítico solo recibe respuesta después de que un analista lo revisa y la conversación del cliente queda en la herramienta de atención. Los líderes de las dos áreas ganan, en el registro de agentes, la visión de todo lo que habla con los clientes en nombre de la empresa.

Política de IA y protección de datos: ¿dónde se encuentran?

La ley de protección de datos sigue vigente cuando el dato personal entra en un prompt, en una transcripción o en la base que consulta un agente. En Brasil esa ley es la LGPD. Pegar la lista de clientes en un chat público es un tratamiento de datos personales, con finalidad, base legal y proveedor involucrados, y la empresa responde por él. Por eso el responsable de protección de datos tiene que estar en el comité, y la clasificación en cuatro niveles tiene que coincidir con el mapeo de datos que la empresa ya hizo. Los puntos que más aparecen en esa intersección son el contrato con el proveedor de IA y la finalidad de cada uso que involucra datos personales. Traté el tema en IA y protección de datos, también como orientación de gestión, y la lectura jurídica de tu operación le corresponde al área legal de la empresa.

¿Qué deben considerar RR. HH. y T&D en la política de IA?

RR. HH. suele reconocer la necesidad antes que la dirección. Las personas preguntan en el pasillo si pueden usar una herramienta, aparecen pedidos de reembolso de suscripciones pagadas con tarjeta personal y un gestor prohíbe el uso en su área mientras el gestor de al lado lo incentiva. Cuando estas señales aparecen juntas, la empresa ya tiene una política informal, distinta en cada área, y vale la pena escribir la oficial.

Todos los que van a tener acceso a las herramientas hacen el módulo básico de política y clasificación, que puede quedar grabado. Los líderes hacen un módulo de decisión, en el que diseñan las listas de aprobación del área, y quien administra el CRM y crea agentes hace un módulo técnico sobre registro, permisos y créditos. RR. HH. coordina la ruta e incluye la política en el onboarding de empleados y contratistas.

La constancia de lectura firmada dice poco sobre el comportamiento. En los tres meses siguientes, sigue el uso de las cuentas corporativas, los pedidos de herramientas nuevas por el canal oficial, los incidentes reportados por las propias personas y los reembolsos de suscripciones personales. Que los pedidos y los incidentes suban al principio es buena señal, porque muestra el uso escondido saliendo a la luz.

¿Cómo implantar la política de uso de IA en 30 días?

Este es el plan que uso con el comité, desde el relevamiento del uso real hasta una versión 1 publicada y capacitada.

Semana 1: releva el uso real, sin caza de brujas. Haz una encuesta anónima sobre las herramientas que usa cada persona, con qué cuenta y para qué tareas, y crúzala con los reembolsos de finanzas. Arma el comité, nombra al dueño de la política y acuerda con la dirección que el uso declarado en esta fase no genera sanción.

Semana 2: escribe la versión 1. Usa las diez secciones de la tabla de estructura, empieza por la clasificación de datos y envía el texto a legal con plazo de revisión. Contrata las cuentas corporativas de las herramientas que la empresa va a mantener, para que la política nazca con una alternativa al uso personal.

Semana 3: valida con los líderes y arma el registro. Cada líder completa los usos permitidos y prohibidos y las listas de aprobación de su equipo. El administrador del CRM o el equipo de RevOps releva los agentes y automatizaciones que ya existen y registra cada uno con su dueño, o apaga los que quedan sin dueño.

Semana 4: capacita, publica y agenda la revisión. Capacita primero a los líderes y después al equipo, publica la política en un lugar al que todos accedan, recoge las constancias a través de RR. HH. y abre el canal de dudas. Agenda la primera revisión para 90 días después, con los indicadores de RR. HH. en el orden del día.

La política resuelve la parte de las reglas, y el resto depende de que los equipos sepan usar lo que la empresa liberó: pedir con contexto, revisar lo que vuelve y decidir qué aprobar. Ese es el trabajo de la capacitación in company de IA aplicada, con grupos de líderes, ventas, marketing y posventa armados sobre el proceso y las reglas de la empresa, que entrega la biblioteca de prompts por área y la arquitectura de agentes, con lo que cada agente lee, lo que ejecuta y quién aprueba.

Preguntas frecuentes

¿Qué es una política de uso de IA?

Es el documento interno que define qué herramientas de IA puede usar el equipo, qué datos pueden entrar en cada una, qué pasa por revisión humana y quién responde por el resultado. También incluye el registro de agentes, la capacitación obligatoria y un dueño que la revisa.

¿Prohibir ChatGPT y otras herramientas en la empresa es una opción?

La prohibición suele llevar el uso a la cuenta personal, fuera de la vista de la empresa. Funciona mejor aprobar herramientas corporativas, decir qué datos entran en cada una y ofrecer un camino rápido para pedir herramientas nuevas.

¿Un empleado puede pegar datos de clientes en una herramienta de IA?

Depende del nivel del dato y de la herramienta. Con la clasificación que propongo, el dato personal de cliente queda fuera de herramientas públicas sin contrato y solo entra en una herramienta corporativa o en un agente del CRM en las finalidades que la política enumera y legal validó.

¿Quién debe ser el dueño de la política de IA en la empresa?

Una persona con nombre, en general de TI, compliance o legal, apoyada por un comité con RR. HH., TI, el responsable de protección de datos y un líder de negocio. Cada liderazgo de área responde por los usos de su propio equipo.

¿La política de uso de IA tiene que pasar por el área legal?

Sí. Este artículo ofrece orientación de gestión, y legal tiene que validar la clasificación de datos, las reglas de transparencia y la relación con la ley de protección de datos y con los contratos que la empresa ya firmó.

¿Cómo mide RR. HH. si la política de IA está funcionando?

La constancia de lectura firmada mide poco. Sigue el uso de las cuentas corporativas, los pedidos de herramientas nuevas por el canal oficial, los incidentes reportados por las propias personas y la caída de los reembolsos de suscripciones personales en los tres meses siguientes.