Política de uso aceptable de IA: guía y mapa de cláusulas

Una política de uso aceptable de IA indica a la plantilla qué herramientas de IA puede utilizar, para qué tareas, con qué datos y bajo qué control humano. En Europa ya no es solo una buena práctica de seguridad informática: el Reglamento de IA exige alfabetizar al personal, prohíbe ciertos usos en el trabajo y obliga a revelar contenidos sintéticos. Le proponemos un mapa de cláusulas, las líneas rojas con su base jurídica, el derecho laboral español aplicable y un método en ocho pasos.

Lo esencial

• El Reglamento (UE) 2024/1689 ya usa el término: los anexos XI y XII obligan a los proveedores de modelos de uso general a documentar sus políticas de uso aceptable, y la suya no puede permitir lo que estas prohíben.
• La política de uso aceptable de IA de la empresa documenta el cumplimiento de los artículos 4, 5.1.f) y 50 y del RGPD.
• Desde el 2 de agosto de 2026, las autoridades nacionales supervisan el artículo 4: no exigen certificado y admiten un registro interno.
• En España, el artículo 64.4 d) del Estatuto de los Trabajadores obliga a informar al comité de empresa sobre los algoritmos que afectan al empleo.
• Le damos un mapa de cláusulas y un método en ocho pasos.

Qué es una política de uso aceptable de IA: las dos que nombra la ley

Del lado de la empresa, la política de uso aceptable de IA establece quién puede usar qué herramientas de IA, para qué tareas, con qué datos, con qué revisión humana y divulgación, y con qué consecuencias si se incumple. Es un reglamento operativo: cada empleado debe leerlo y saber qué puede hacer el lunes.

Ningún modelo descargable de los que encabezan las búsquedas lo dice, pero el Reglamento de IA ya usa la expresión. El anexo XI, sección 1, punto 1, letra b), exige que la documentación técnica de los modelos de IA de uso general recoja «las políticas de uso aceptable aplicables», y el anexo XII, punto 1, letra b), repite la exigencia para la información destinada a los proveedores posteriores. Ambos derivan del artículo 53, apartado 1, letras a) y b), aplicable desde el 2 de agosto de 2025, y el formulario de documentación del modelo del Código de buenas prácticas para la IA de uso general (julio de 2025) tiene un campo para ello. Ejemplos: las políticas de uso de OpenAI, la política de uso de Anthropic, también llamada Acceptable Use Policy, y la Acceptable Use Policy de Llama, de Meta.

En cada despliegue conviven, pues, dos políticas, y la suya no puede autorizar lo que la del proveedor prohíbe. Archive la del proveedor en el registro de herramientas y en el expediente contractual, junto a las condiciones de tratamiento de datos, dentro de su diligencia debida con proveedores de IA.

Política de uso aceptable de IA frente a la política de IA

La política de IA enuncia compromisos, funciones y principios (cláusula 5.2 y control <code>A.2.2</code> de ISO/IEC 42001) y la firma la dirección. La política de uso aceptable de IA es el reglamento operativo de los usuarios, apoyado en los controles <code>A.9.2</code> (procesos para el uso responsable de sistemas de IA) y <code>A.9.4</code> (uso previsto del sistema de IA). La primera dice por qué y quién; la segunda, qué y cómo.

La expresión viene de la seguridad informática (la clásica política de uso aceptable del correo e internet) y la IA generativa la ha reactivado: cualquier persona con un navegador puede enviar datos de la empresa a un tercero.

Por qué se ha convertido en una pieza de cumplimiento: fechas y cifras

El artículo 4, sobre alfabetización en IA, se aplica desde el 2 de febrero de 2025. El Ómnibus Digital, Reglamento (UE) 2026/1744, lo reescribió con efectos el 27 de julio de 2026, y desde el 2 de agosto de 2026 lo supervisan las autoridades nacionales de vigilancia del mercado. Las preguntas y respuestas de la Comisión, actualizadas el 20 de octubre de 2026, aclaran que no hace falta certificado, que no hay receta única («no one size fits all») y que puede llevarse un registro interno de formación y orientaciones. Y precisan que el personal que usa ChatGPT para publicidad o traducción debe conocer riesgos como las alucinaciones (véase nuestra guía de alfabetización en IA).

El artículo 5, apartado 1, letra f), prohíbe desde el 2 de febrero de 2025 inferir emociones en el trabajo. El artículo 50 se aplica desde el 2 de agosto de 2026: avisar de que se habla con un chatbot, marcar los contenidos sintéticos (transición hasta el 2 de diciembre de 2026 para los sistemas ya comercializados) y revelar los textos generados por IA sobre asuntos de interés público. El artículo 26, para los responsables del despliegue de sistemas de alto riesgo, se aplicará desde el 2 de diciembre de 2027 (anexo III) y el 2 de agosto de 2028 (anexo I). La política de uso aceptable de IA traduce todo ello en reglas de trabajo.

Según la encuesta de Deloitte (Reino Unido, trabajo de campo de mayo a junio de 2026, 25.000 trabajadores), el 63 % de la población activa ha usado IA generativa para trabajar y el 12 % lo hace a diario; el 31 % de los usuarios lo hace sin que su empleador lo sepa, el 46 % usa herramientas gratuitas y el 17 % paga la suya. Según el informe de IBM de 2025 sobre brechas de datos, el 20 % de las brechas implicó IA en la sombra, con 670.000 dólares de sobrecoste medio; el 63 % de las organizaciones afectadas no tenía política de gobernanza de la IA o la estaba elaborando, y el 97 % de las que sufrieron una brecha ligada a la IA carecía de controles de acceso adecuados. Samsung restringió estas herramientas en mayo de 2023 después de que unos ingenieros pegaran código fuente interno en ChatGPT en abril.

El mapa de cláusulas de la política de uso aceptable de IA

Este mapa es trabajo nuestro: sección, cláusula que la presupone y evidencia que un auditor o una autoridad puede pedir. Los identificadores <code>GV</code> proceden del perfil NIST AI 600-1.

Sección de la política	Cláusula que la presupone	Evidencia que conservar
Alcance, funciones y responsable	ISO/IEC 42001 <code>A.2.3</code> y <code>A.3.2</code>; NIST AI 600-1 <code>GV-1.4-002</code>	Política firmada, historial de versiones, matriz RACI
Herramientas autorizadas y niveles	Reglamento de IA, artículos 4 y 26.1; ISO/IEC 42001 <code>A.9.4</code> y <code>A.4.4</code>; <code>GV-6.1-010</code>	Registro de herramientas vinculado al inventario de IA, política de uso aceptable del proveedor archivada
Usos prohibidos (líneas rojas)	Reglamento de IA, artículos 5.1.f) y 50.4; ISO/IEC 42001 <code>A.9.2</code>; <code>GV-1.3-004</code>	Lista de líneas rojas, registro de excepciones
Reglas sobre datos	RGPD, artículos 5 y 32; ISO/IEC 42001 <code>A.7</code> y <code>A.9.2</code>	Matriz de clasificación de datos, registros de DLP o de la pasarela
Revisión humana de los resultados	Reglamento de IA, artículo 26.2 y control editorial del artículo 50.4; ISO/IEC 42001 <code>A.9.2</code>	Paso de revisión en el flujo de trabajo, revisor designado
Formación y alfabetización	Reglamento de IA, artículo 4; ISO/IEC 42001 cláusula 7.3 y <code>A.4.6</code>	Registro de formación, acuses de recibo
Incidentes e inquietudes	Reglamento de IA, artículo 26.5; ISO/IEC 42001 <code>A.3.3</code> y <code>A.8.4</code>	Registro de incidentes, canal de comunicación
Ciclo de revisión	ISO/IEC 42001 <code>A.2.4</code>; <code>GV-6.1-010</code>	Acta de revisión anual, registro de cambios

La declaración de aplicabilidad, con los 38 controles del anexo A repartidos en 9 objetivos, es donde un auditor de ISO/IEC 42001 buscará <code>A.9.2</code> y su justificación; la Oficina de IA y las autoridades nacionales buscarán el registro del artículo 4. Una sola política de uso aceptable de IA bien construida alimenta ambos expedientes. Nuestro análisis de la pila de normas frente al Reglamento de IA y nuestra guía del NIST AI RMF muestran dónde se solapan los marcos.

Líneas rojas que toda política necesita y la base jurídica de cada una

Cada prohibición de su política de uso aceptable de IA debe apoyarse en una norma. Estas ocho son el mínimo:

• <b>Inferir emociones de compañeros o candidatos.</b> El artículo 5.1.f) lo prohíbe en el lugar de trabajo, salvo por motivos médicos o de seguridad. Es una práctica prohibida, sancionable con hasta 35 millones de euros o el 7 % del volumen de negocios mundial anual (artículo 99.3).
• <b>Pegar datos personales de clientes, compañeros o candidatos en herramientas públicas.</b> Sin base jurídica, contrato de encargo ni medidas de seguridad, el envío choca con los artículos 5 y 32 del RGPD. Lo detallamos en RGPD e inteligencia artificial.
• <b>Pegar secretos empresariales o código fuente.</b> Es el caso Samsung. Nombre las categorías de información confidencial en lugar de remitir a una cláusula genérica.
• <b>Decidir sobre personas con resultados no revisados.</b> El artículo 26.2 exige para los sistemas de alto riesgo una supervisión humana con competencia, formación y autoridad, y el artículo 22 del RGPD limita las decisiones exclusivamente automatizadas. Una clasificación hecha por un chatbot no es una decisión.
• <b>Publicar sin control editorial ni divulgación.</b> El artículo 50.4 obliga a revelar los textos generados por IA que informan sobre asuntos de interés público, salvo revisión humana o control editorial con un responsable editorial identificado. Las ultrasuplantaciones (deepfakes) deben revelarse como tales.
• <b>Cuentas personales y herramientas no aprobadas.</b> Según IBM, el 97 % de las organizaciones con una brecha ligada a la IA carecía de controles de acceso adecuados; según Deloitte, el 31 % de los usuarios recurre a la IA sin que su empleador lo sepa. Véase nuestro análisis de gobernanza de la shadow AI.
• <b>Usar un modelo fuera de la política del proveedor.</b> Por la cadena del anexo XII, lo que OpenAI o Anthropic prohíben no puede autorizarlo su política interna. Siga los cambios de esas políticas.
• <b>Dejar fuera a contratistas y consultores.</b> La acción <code>GV-6.1-010</code> de NIST pide extender las políticas de uso aceptable al personal externo. Incluya la política en los contratos de servicios.

Luces verdes: hacer explícito el uso permitido

Una política hecha solo de prohibiciones empuja a la gente hacia la IA en la sombra. La CNIL recomendó el 18 de julio de 2024 encuadrar los usos con una lista de utilizaciones autorizadas y prohibidas, y formar y sensibilizar a los usuarios finales. La Comisión insiste en que no hay una fórmula única: cada organización ajusta su política de uso aceptable de IA a sus riesgos. En la práctica, las luces verdes se escriben en cuatro bloques:

• <b>Herramientas por niveles.</b> Nivel 1: herramientas con contrato empresarial y condiciones de tratamiento de datos. Nivel 2: autorizadas con restricciones, sin datos internos y solo para tareas concretas. Nivel 3: prohibidas.
• <b>Clases de datos por nivel.</b> Información pública en cualquier herramienta aprobada; información interna, datos personales y datos confidenciales solo en el nivel 1 y con una finalidad documentada; categorías especiales de datos, nunca sin evaluación previa.
• <b>Familias de tareas con su nivel de revisión.</b> Redacción interna y resúmenes: revisión del propio autor. Contenido externo o publicado: revisión de una segunda persona. Cualquier uso que afecte a personas: revisión cualificada y registrada.
• <b>Aprobación de nuevas herramientas.</b> Designe quién decide, a menudo el comité de gobernanza de la IA, y fije un plazo de respuesta, por ejemplo diez días hábiles. Sin plazo, la gente no espera.

Cada herramienta aprobada debe figurar en el registro de sistemas de IA con su nivel, su responsable y la política del proveedor archivada. Ese registro es lo que convierte una lista de buenas intenciones en una prueba.

La política de uso aceptable de IA como prueba del artículo 4: qué puede pedir una autoridad desde el 2 de agosto de 2026

Tras el Ómnibus, el artículo 4 pide a proveedores y responsables del despliegue adoptar medidas para apoyar la alfabetización en IA y garantizar, en la mayor medida posible, un nivel suficiente de alfabetización de su personal y de quienes usan sistemas de IA en su nombre, sin obligarles a garantizar un nivel concreto para nadie. El nuevo apartado 2 encarga a la Comisión y a los Estados miembros apoyar este esfuerzo, sobre todo en las pymes, y a la Comisión publicar ejemplos prácticos en la plataforma única de información del artículo 62.3.b). El nuevo apartado 3 prevé recomendaciones del Comité de IA basadas en los marcos europeos de competencias, aún no adoptadas a 26 de octubre de 2026 según nuestra búsqueda. Texto en EUR-Lex.

No se pide certificado y cabe un registro interno. El repositorio vivo de prácticas de alfabetización de la Comisión (publicado el 4 de febrero de 2025, actualizado el 10 de agosto de 2026) ofrece ejemplos, pero figurar en él no otorga presunción de conformidad. El expediente mínimo que recomendamos:

• la política de uso aceptable de IA con versión y responsable, y los acuses de recibo;
• un registro de formación por función (cláusula 7.3 de ISO/IEC 42001, toma de conciencia);
• el registro de herramientas y una taxonomía común, buena práctica 5 del documento del CIPL «AI Act Article 4: AI Literacy Best Practices» (8 de mayo de 2025), con un inventario de casos de uso evaluados;
• un circuito de retroalimentación continua, su buena práctica 8.

¿Y las sanciones? El artículo 99.4, con su techo de 15 millones de euros o el 3 %, no incluye el artículo 4: las fijará cada Estado miembro con arreglo al artículo 99.1, y la Comisión advierte que las autoridades podrían imponer sanciones y otras medidas de ejecución. Un expediente fechado y vinculado a la gobernanza de la IA de la empresa es la mejor respuesta a un requerimiento.

Representantes de los trabajadores y normas nacionales

El artículo 26.7 obliga a los empleadores que despliegan un sistema de alto riesgo en el lugar de trabajo a informar antes a los representantes de los trabajadores y a los trabajadores afectados; para el anexo III, desde el 2 de diciembre de 2027. En España, la obligación de informar ya existe y es más amplia.

El artículo 64.4 d) del Estatuto de los Trabajadores, introducido por el Real Decreto-ley 9/2021 y convertido en la Ley 12/2021, da al comité de empresa derecho a ser informado de los parámetros, reglas e instrucciones de los algoritmos o sistemas de IA que afectan a decisiones sobre condiciones de trabajo, acceso y mantenimiento del empleo, incluida la elaboración de perfiles. No distingue niveles de riesgo: si su política de uso aceptable de IA permite usar un asistente para cribar currículos, asignar turnos o evaluar el rendimiento, ese uso entra en su perímetro. La AESIA (Real Decreto 729/2023, con sede en A Coruña) supervisa el Reglamento de IA; la Agencia Española de Protección de Datos, los datos personales.

En Francia, el CSE debe ser informado y consultado antes de introducir tecnologías nuevas que afecten a las condiciones de trabajo (artículo L2312-8 del Code du travail). En Portugal, el artículo 106.3.s) del Código do Trabalho, reformado por la Lei n.º 13/2023, obliga a informar a cada trabajador sobre los parámetros y criterios de los algoritmos que deciden sobre su empleo.

En Alemania, el Arbeitsgericht de Hamburgo (auto de 16 de enero de 2024) admitió sin codecisión del comité de empresa unas directrices que permitían ChatGPT en el navegador con cuentas privadas, sin datos de empleados hacia el empleador; vigilar ese uso sí la habría activado. En España, si la política se apoya en registros de una pasarela o de prevención de fugas, entran en juego las normas sobre control laboral y la LOPDGDD, que exige que la representación de los trabajadores participe en los criterios de uso de los dispositivos digitales. Coordínelo con su equipo de seguridad de la IA.

Cómo redactar la política de uso aceptable de IA en 8 pasos

1. <b>Inventaríe las herramientas en uso.</b> Incluya extensiones del navegador, funciones de IA integradas en el software ofimático y cuentas personales; una encuesta anónima y los registros del proxy revelan mucho. Nuestra guía de inventario de sistemas de IA describe el método.
2. <b>Clasifique las herramientas por niveles y archive la política de cada proveedor.</b> Guarde la política de uso aceptable de cada proveedor de modelos de IA generativa, sus condiciones de tratamiento de datos y la fecha de la versión vigente. Sin ellas, su política descansa sobre algo que no controla.
3. <b>Defina las clases de datos y qué puede ir adónde.</b> Parta de la clasificación de la información existente. Crúcela con los niveles de herramienta en una matriz de una página.
4. <b>Redacte luces verdes y líneas rojas vinculadas a una cláusula.</b> Cada regla debe poder justificarse ante un auditor. Una regla sin fundamento es la primera que se ignora.
5. <b>Fije las reglas de revisión y divulgación.</b> Revisión humana antes de decidir sobre personas, control editorial en el sentido del artículo 50.4, divulgación de ultrasuplantaciones y marcado de contenidos sintéticos. Designe al revisor y deje constancia escrita.
6. <b>Informe o consulte a la representación de los trabajadores.</b> En España, el artículo 64.4 d) del Estatuto de los Trabajadores se aplica si la política afecta a decisiones sobre el empleo. Hágalo antes del despliegue.
7. <b>Despliegue la política de uso aceptable de IA.</b> Recoja los acuses de recibo e imparta formación por función. Abra el registro del artículo 4 desde el primer día.
8. <b>Aplíquela y revísela.</b> Mantenga una vigilancia proporcionada, un registro de excepciones y una vía de notificación de incidentes de IA. Revísela cada año conforme al control <code>A.2.4</code>, y antes si cambia un proveedor o la norma.

AI Sigil ofrece un módulo de gestión de políticas corporativas para centralizar versiones, acuses de recibo y revisiones.

Preguntas frecuentes

<b>¿Es obligatoria una política de uso aceptable de IA en la UE?</b>

Ningún artículo del Reglamento de IA exige un documento con ese nombre. Pero el artículo 4 exige medidas de alfabetización desde el 2 de febrero de 2025, el artículo 5.1.f) prohíbe inferir emociones en el trabajo y el artículo 50 impone transparencia desde el 2 de agosto de 2026, además del RGPD. Una política de uso aceptable de IA demuestra que esas obligaciones se han convertido en reglas para la plantilla.

<b>¿Qué diferencia hay entre una política de IA y una política de uso aceptable de IA?</b>

La política de IA es el documento de dirección: compromisos, principios, funciones y responsabilidades (cláusula 5.2 y control <code>A.2.2</code> de ISO/IEC 42001). La política de uso aceptable de IA es el reglamento operativo de los usuarios: herramientas autorizadas, datos permitidos, revisión humana, divulgación y consecuencias (controles <code>A.9.2</code> y <code>A.9.4</code>). La primera cambia poco; la segunda, con cada herramienta nueva o cambio de proveedor.

<b>¿Basta una política de uso aceptable de IA para cumplir el artículo 4 del Reglamento de IA?</b>

No por sí sola. El artículo 4 exige medidas para apoyar la alfabetización del personal, y la Comisión admite un registro interno de formación y orientaciones, sin certificado. La política es una de esas medidas, pero necesita formación por función, acuses de recibo y un circuito de retroalimentación. Figurar en el repositorio vivo de la Comisión no otorga presunción de conformidad: cuenta la prueba de que la plantilla conoce los riesgos de sus herramientas.

<b>¿Qué no deben introducir nunca los empleados en una herramienta pública de IA?</b>

Datos personales de clientes, compañeros o candidatos, información confidencial, secretos empresariales y código fuente. Sin contrato empresarial ni condiciones de tratamiento de datos, la empresa pierde el control de lo que envía y puede incumplir los artículos 5 y 32 del RGPD. Según IBM, el 65 % de las brechas con IA en la sombra expuso datos personales de clientes, frente al 53 % de media. Ofrezca siempre una alternativa aprobada.

<b>¿Deben cumplirla también los contratistas y proveedores?</b>

Sí. El artículo 4 cubre al personal y a las demás personas que usan sistemas de IA en nombre de la organización. La acción <code>GV-6.1-010</code> del perfil de IA generativa de NIST pide extender las políticas de uso aceptable a contratistas, consultores y terceros. Incorpore la política a los contratos de servicios, exija su aceptación al conceder accesos e incluya a los proveedores críticos en su diligencia debida.

<b>¿Con qué frecuencia hay que revisarla?</b>

Al menos una vez al año, con constancia escrita, conforme al control <code>A.2.4</code> de ISO/IEC 42001 y a la acción <code>GV-6.1-010</code> de NIST. Revísela también cuando un proveedor cambie su política de uso, cuando apruebe una herramienta nueva, cuando cambie la norma (el Ómnibus reescribió el artículo 4 el 27 de julio de 2026) o tras un incidente, y anote fecha, motivo y responsable de cada versión.

Conclusión

Los modelos descargables que dominan las búsquedas tratan la política de uso aceptable de IA como un trámite de recursos humanos. En Europa es el punto donde se cruzan la política del proveedor exigida por los anexos XI y XII, los artículos 4, 5 y 50 del Reglamento, el RGPD y, en España, el derecho de información del comité de empresa. Una buena política dice qué está permitido, qué está prohibido y por qué, y deja rastro: versiones, acuses de recibo, formación, excepciones e incidentes. Empiece por el inventario, archive las políticas de los proveedores y use el mapa de cláusulas. Para centralizar versiones y acuses de recibo, puede apoyarse en nuestra gestión de políticas corporativas.