¿Exige el Reglamento de IA una política de uso de IA?

El Reglamento de IA no exige un documento llamado política de IA. El artículo 4 obliga a las empresas que usan sistemas de IA a adoptar medidas para apoyar la alfabetización en IA de su personal, y se aplica desde el 2 de febrero de 2025. El artículo 50 añade, a partir del 2 de agosto de 2026, obligaciones de información sobre ultrasuplantaciones y determinados textos publicados. Una política escrita junto con formación es la forma habitual de demostrar que se han adoptado esas medidas.

¿Qué debe incluir una política de uso de IA?

El ámbito de aplicación, las herramientas aprobadas y cómo se concede el acceso, qué clases de datos pueden ir en los prompts, los modelos y proveedores aprobados, las reglas para agentes de programación, la conservación y el registro, la revisión humana de los resultados, la información sobre contenido generado por IA, la formación en alfabetización en IA, la comunicación de incidentes, la aprobación del presupuesto para el uso de pago y una revisión periódica. La plantilla de esta página cubre los doce puntos.

¿Pueden los empleados introducir datos de clientes en ChatGPT o Claude?

Solo en una herramienta aprobada para esa clase de datos, con un contrato de encargo del tratamiento y con condiciones del proveedor que excluyan el entrenamiento con sus datos y la conservación de copias. Las categorías especiales de datos y los secretos quedan fuera de los prompts. La sección 3 de la plantilla lo recoge en una tabla que puede adaptar.

¿Quién debe etiquetar el contenido generado por IA según el Reglamento de IA?

Los proveedores de sistemas de IA marcan el audio, la imagen, el vídeo y el texto sintéticos en un formato legible por máquina (artículo 50, apartado 2). Las empresas que despliegan IA informan de las ultrasuplantaciones que publican, y del texto generado por IA publicado para informar al público sobre asuntos de interés público, salvo que una persona lo haya revisado y la empresa asuma la responsabilidad editorial (artículo 50, apartado 4). Ambas obligaciones se aplican a partir del 2 de agosto de 2026.

¿Cómo se aplica técnicamente una política de uso de IA?

Haga pasar el tráfico de IA por un gateway que aplique las reglas en cada solicitud. Con Standard Compute su personal inicia sesión mediante Microsoft Entra ID o SAML, solo los proveedores y modelos de su lista de permitidos pueden atender una solicitud, una regla Europa y la retención cero de datos se pueden fijar para la empresa, un equipo o una clave, cada persona y aplicación tiene un presupuesto mensual fijo y las solicitudes quedan registradas durante 12 meses.

¿Puedo usar la plantilla gratis?

Sí. Cópiela, edítela y publíquela dentro de su empresa sin necesidad de atribución. Descárguela en Markdown o en texto plano desde esta página.

Plantilla de política de uso de IA para empresas

Actualizada el 9 de noviembre de 2026. Puede copiarla, editarla y usarla libremente. Las referencias legales enlazan a EUR-Lex.

Una política de uso de IA indica a la plantilla qué herramientas de IA puede usar, qué datos pueden ir en un prompt, quién revisa los resultados y cómo se aprueba el uso de pago. La plantilla siguiente cubre los doce puntos que una empresa necesita al implantar ChatGPT, Claude o agentes de programación, incluida la alfabetización en IA del artículo 4 del Reglamento de IA de la UE (AI Act), que se aplica desde el 2 de febrero de 2025, y la obligación de informar sobre las ultrasuplantaciones (deepfakes) del artículo 50, que se aplica a partir del 2 de agosto de 2026.

Sustituya el texto entre [corchetes], elimine lo que no aplique y publíquela en su intranet. La plantilla es neutral respecto al proveedor y funciona con cualquier proveedor de IA que usted apruebe.

Descargar la plantilla (.md)Texto plano (.txt)

Ambos archivos contienen la plantilla completa, lista para pegar en Word, Google Docs, Confluence o Notion.

Qué cubre la plantilla

1. Objeto y ámbito de aplicación
2. Herramientas aprobadas y acceso
3. Datos en los prompts
4. Modelos y proveedores aprobados
5. Agentes de programación
6. Conservación y registro
7. Revisión humana de los resultados
8. Información sobre contenido generado por IA
9. Formación en alfabetización en IA
10. Comunicación de incidentes
11. Presupuesto y aprobación del uso de pago
12. Revisión periódica y responsabilidad

La plantilla

El texto entre [corchetes] lo completa usted. La numeración de las cláusulas se mantiene estable para poder citarlas en formaciones y auditorías.

Política de uso de IA

Empresa: [Empresa]
Responsable de la política: [Nombre, cargo, p. ej. CIO o CISO]
Aprobada por: [Órgano de dirección]
Versión: 1.0. En vigor desde: [fecha]. Próxima revisión: [fecha]

1. Objeto y ámbito de aplicación

1.1
Esta política establece las normas de uso de herramientas de inteligencia artificial (IA) en [Empresa]: asistentes de chat, funciones de IA integradas en otro software, agentes de programación y modelos de IA a los que se accede mediante una API.
1.2
Se aplica a todos los empleados, contratistas y personal temporal que usen IA para trabajos de [Empresa], en dispositivos corporativos o personales.
1.3
Complementa nuestras políticas de seguridad de la información, de protección de datos y de uso aceptable. En caso de conflicto, se aplica la norma más estricta.
1.4
Las consultas sobre esta política se dirigen a [responsable de la política, correo electrónico].

2. Herramientas aprobadas y acceso

2.1
Use solo las herramientas de IA de la lista de herramientas aprobadas en [enlace de la intranet]. La lista indica cada herramienta, para qué puede usarse y la clase de datos más alta permitida en ella (sección 3).
2.2
Inicie sesión en las herramientas aprobadas con su cuenta de trabajo de [Empresa] mediante inicio de sesión único (SSO) con [Microsoft Entra ID / Google Workspace / Okta]. No se pueden usar cuentas ni suscripciones personales para trabajos de [Empresa].
2.3
El acceso se concede mediante [pertenencia a un grupo del proveedor de identidad / una solicitud al servicio de soporte de TI]. Al dejar [Empresa] o cambiar de puesto, el acceso se retira a través de los mismos grupos.
2.4
Las claves de API se emiten por persona o por aplicación, nunca se comparten y se guardan en [gestor de secretos].
2.5
Para proponer una herramienta nueva, envíe [formulario de solicitud] a [responsable de la política]. Seguridad, protección de datos y compras la revisan antes de que entre en la lista. Una prueba gratuita de una herramienta no aprobada cuenta como uso.

3. Datos en los prompts

3.1
Todo lo que escriba, pegue, suba o deje leer a una herramienta (archivos, pantallas, repositorios, correo, audio de reuniones) cuenta como prompt.

3.2

Clasifique los datos según nuestro esquema de clasificación. La tabla indica qué puede ir en un prompt dentro de una herramienta aprobada.

Clase de datos	Ejemplos	En una herramienta aprobada
Públicos	EjemplosTextos publicados en la web, notas de prensa, documentación pública	En una herramienta aprobadaPermitido
Internos	EjemplosProcesos internos, actas de reuniones sin datos personales, código no sensible	En una herramienta aprobadaPermitido
Confidenciales	EjemplosContratos con clientes, información financiera no publicada, código fuente, planes de producto	En una herramienta aprobadaSolo en herramientas aprobadas para datos confidenciales, con las condiciones del proveedor de la sección 4
Datos personales	EjemplosNombres, direcciones de correo, fichas de clientes, expedientes de RR. HH.	En una herramienta aprobadaSolo si una base jurídica y un contrato de encargo del tratamiento cubren la herramienta. Use el mínimo necesario y seudonimice cuando pueda
Categorías especiales y datos regulados	EjemplosDatos de salud, afiliación sindical, antecedentes penales, datos de tarjetas de pago, datos de clientes sujetos a secreto profesional	En una herramienta aprobadaNo permitido, salvo que [delegado de protección de datos] apruebe por escrito un uso concreto
Secretos	EjemplosContraseñas, claves de API, tokens, claves privadas, cadenas de conexión	En una herramienta aprobadaNunca

3.3
Si no está seguro de la clase, trate los datos como de la clase superior o consulte a [responsable de la política].
3.4
No use herramientas de IA para inferir rasgos sensibles de las personas, para vigilar a empleados ni para decidir sobre una persona sin la revisión humana de la sección 7.

4. Modelos y proveedores aprobados

4.1
[Empresa] mantiene una lista de modelos de IA permitidos y de los proveedores que pueden ejecutarlos. Un modelo o proveedor que no esté en la lista no puede tratar datos de [Empresa].
4.2
Un proveedor entra en la lista solo tras revisar: dónde se ejecuta la inferencia [p. ej. solo en Europa], si conserva prompts y resultados (exigimos retención cero de datos para datos confidenciales y superiores), si entrena con nuestros datos (no puede hacerlo), sus subencargados y un contrato de encargo del tratamiento firmado.
4.3
Los modelos de pesos abiertos se aprueban por aplicación, para los usos indicados en la lista de permitidos.
4.4
Los reintentos y las alternativas de respaldo deben permanecer dentro de la lista de permitidos. No se aprueba una herramienta que desvíe solicitudes a otros proveedores sin avisar.
4.5
[Responsable de la política] mantiene la lista de permitidos en [enlace] y la revisa junto con esta política.

5. Agentes de programación

5.1
Los agentes de programación (por ejemplo Claude Code, Codex, Cursor, GitHub Copilot o Cline) pueden usarse en los repositorios indicados en [enlace].
5.2
No ponga nunca secretos en prompts, instrucciones del agente ni código confirmado. Mantenga los archivos .env y las credenciales fuera del alcance del agente y ejecute [herramienta de detección de secretos] en cada commit.
5.3
Los agentes se ejecutan con el mínimo privilegio necesario: sin credenciales de producción, sin acceso de escritura a sistemas de producción y sin aprobación automática de comandos que borren datos, cambien la infraestructura o hagan push a ramas protegidas.
5.4
Todo el código escrito por IA pasa por la revisión normal de pull requests a cargo de una persona distinta de quien lo generó, y por las mismas pruebas y análisis de seguridad que cualquier otro código. El autor del pull request es responsable del código.
5.5
Compruebe las licencias de las dependencias que añada el agente y de cualquier pasaje extenso que reproduzca literalmente.
5.6
Los servidores MCP, plugins y extensiones son herramientas de la sección 2 y necesitan aprobación antes de usarse.

6. Conservación y registro

6.1
Las herramientas aprobadas se configuran para que los proveedores no conserven copia de los prompts y resultados más allá de lo necesario para atender cada solicitud, siempre que el proveedor lo ofrezca.
6.2
[Empresa] registra los metadatos de uso de IA: quién, qué herramienta o clave, qué modelo y proveedor, cuándo y el coste. Estos registros se conservan durante [12 meses].
6.3
El contenido de prompts y resultados no se registra de forma centralizada salvo [obligación legal o caso de uso aprobado]. Cuando se registra, se protege como la clase de datos más alta que contenga.
6.4
Los historiales de chat de las herramientas aprobadas se eliminan tras [plazo]. Los resultados que sean registros de negocio se guardan en [sistema documental], no solo en la herramienta de IA.
6.5
Los registros de uso se emplean para seguridad, control de costes y cumplimiento normativo, según se describe en [aviso de privacidad para empleados].

7. Revisión humana de los resultados

7.1
Usted es responsable de cualquier resultado de IA que use. Compruebe hechos, cifras, citas, fuentes, código y afirmaciones jurídicas antes de basarse en ellos.
7.2
Una persona cualificada revisa el resultado de la IA antes de enviarlo a un cliente, publicarlo, usarlo en un contrato o usarlo en una decisión sobre una persona, como una contratación, una evaluación del desempeño, un crédito o el acceso a un servicio.
7.3
La IA no toma decisiones finales con efectos jurídicos o efectos igualmente significativos sobre una persona. [Enumere los usos prohibidos o que requieren una evaluación de riesgos aparte.]
7.4
Cuando su profesión lo exija, registre en [sistema] si la IA contribuyó de forma sustancial al asesoramiento dado a un cliente.

8. Información sobre contenido generado por IA

8.1
Cuando [Empresa] publica contenido de imagen, audio o vídeo que constituye una ultrasuplantación (contenido que se asemeja a personas, objetos, lugares o hechos reales y que puede parecer falsamente auténtico), indicamos que ha sido generado o manipulado artificialmente. Es una obligación del responsable del despliegue según el artículo 50, apartado 4, del Reglamento de IA, a partir del 2 de agosto de 2026.
8.2
Cuando publicamos texto generado o manipulado por IA con el fin de informar al público sobre asuntos de interés público, también lo indicamos, salvo que una persona haya revisado o editado el texto y [Empresa] asuma la responsabilidad editorial.
8.3
El marcado legible por máquina de los resultados de IA (marcas de agua, metadatos) es obligación del proveedor del sistema de IA según el artículo 50, apartado 2. No elimine esas marcas.
8.4
Además de lo que exige la ley, [Empresa] [identifica como IA los chatbots de cara al cliente / lo indica en la comunicación con clientes cuando el contenido está generado en gran parte por IA].

9. Formación en alfabetización en IA

9.1
[Empresa] adopta medidas para apoyar la alfabetización en IA de su personal y de otras personas que usan sistemas de IA en su nombre, teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación y formación y el contexto en que se usan las herramientas. Es la obligación del artículo 4 del Reglamento de IA, que se aplica desde el 2 de febrero de 2025.
9.2
Todas las personas completan [formación básica en IA] antes de acceder a una herramienta aprobada, y [una actualización cada 12 meses].
9.3
La formación cubre esta política, las clases de datos, cómo pueden equivocarse los modelos, la inyección de prompts y los usos aprobados de cada herramienta. Los desarrolladores que usan agentes de programación y los equipos que usan IA en decisiones sobre personas reciben formación adicional según su función.
9.4
[RR. HH. / responsable de la política] registra quién ha completado cada formación.

10. Comunicación de incidentes

10.1
Comunique a [contacto o canal de seguridad] en un plazo de [24 horas]: datos introducidos en una herramienta donde no estaban permitidos, un secreto expuesto a una herramienta de IA, un resultado dañino o discriminatorio que haya llegado a un cliente, una acción de un agente que haya cambiado o borrado algo de forma inesperada o una posible inyección de prompts.
10.2
Se espera que comunique los errores con rapidez, y hacerlo no es motivo de sanción. Ocultarlos sí supone un incumplimiento de esta política.
10.3
Rote de inmediato cualquier secreto expuesto. [Seguridad / delegado de protección de datos] evalúa si la normativa de protección de datos obliga a notificar a la autoridad de control o a las personas afectadas.

11. Presupuesto y aprobación del uso de pago

11.1
Las suscripciones, licencias y el uso de API de IA de pago necesitan la aprobación de [responsable del presupuesto] antes de la compra. Las herramientas de IA no se pagan con tarjetas personales sin [aprobación de gastos].
11.2
Cada persona y cada aplicación con uso de pago tiene un presupuesto mensual fijado por [responsable del presupuesto]. Al alcanzar el presupuesto, el uso se detiene hasta que [responsable del presupuesto] apruebe más.
11.3
[Finanzas] revisa cada [mes] el gasto en IA por persona, aplicación y centro de coste.
11.4
Las licencias y claves sin uso se cancelan en la revisión [trimestral].

12. Revisión periódica y responsabilidad

12.1
[Responsable de la política] es responsable de esta política, de la lista de herramientas aprobadas y de la lista de modelos y proveedores permitidos.
12.2
La política se revisa cada [6 meses], y de inmediato tras un incidente significativo, un nuevo tipo de herramienta o un cambio en la ley.
12.3
Los incumplimientos de esta política se tratan según [el régimen disciplinario / las condiciones del contrato].
12.4
Historial de versiones: [fecha, versión, cambio, aprobado por].

Basada en la plantilla gratuita de política de uso de IA disponible en https://standardcompute.com/plantilla-politica-uso-ia (versión del 9 de noviembre de 2026). Puede copiarla y editarla libremente. No constituye asesoramiento jurídico.

Descargar la plantilla (.md)Texto plano (.txt)

Cómo aplicar esta política con un gateway

Una política en la intranet solo se cumple si las herramientas la respetan. Un gateway de IA se sitúa entre sus personas, aplicaciones y agentes y los proveedores de modelos, de modo que las secciones 2, 3, 4, 6 y 11 se aplican en cada solicitud y no en la configuración de cada herramienta.

Standard Compute es ese gateway: una sola API para Claude, GPT, Gemini y los principales modelos abiertos, con los controles siguientes configurados una vez para toda la empresa.

Sección de la política	Lo que aplica Standard Compute
2. Acceso y SSO	Conecte Microsoft Entra ID o cualquier proveedor de identidad SAML para que su personal inicie sesión con su cuenta de trabajo. Los empleados inician sesión en Claude Desktop y Claude Code con su cuenta de trabajo de Microsoft, sin claves de API que repartir, y el acceso sigue sus grupos de Entra mediante el aprovisionamiento SCIM.
4. Proveedores permitidos	Elija exactamente qué proveedores de inferencia pueden tratar sus datos, para toda la empresa, un equipo o una sola clave. Los niveles inferiores solo pueden restringir las reglas, nunca se añaden proveedores nuevos sin la aprobación de un administrador y las alternativas de respaldo nunca pueden saltarse su lista.
4. Modelos permitidos	Decida qué modelos puede usar cada clave, de modo que los modelos abiertos como GLM, DeepSeek, MiniMax y Kimi vayan a las aplicaciones que usted elija y los modelos de frontera a las que los necesiten.
4. Dónde se ejecuta la inferencia	Defina una regla Europa para su empresa, un equipo o una sola clave, y cada solicitud, incluidos los reintentos y las alternativas de respaldo, la atienden solo endpoints de inferencia europeos aprobados. Si ningún endpoint europeo puede atenderla, la solicitud se rechaza antes de enviar su prompt.
6. Conservación	Active la retención cero de datos y cada solicitud se envía solo a endpoints de inferencia que se comprometen a no conservar ninguna copia de sus datos. Procesamos sus prompts en memoria y nunca los escribimos en almacenamiento ni en registros, y Standard Compute nunca entrena con sus prompts ni con sus resultados.
11. Presupuestos	Cada persona y cada aplicación tiene un presupuesto mensual fijo que nunca se supera, y puede fijar límites de gasto por clave y para toda la empresa.
6 y 12. Auditoría	Cada cambio de un administrador queda registrado con los valores anteriores y posteriores, y puede exportar un registro de cada solicitud con el modelo, el proveedor que la atendió y la regla de región vigente, conservado durante 12 meses.

Crear un espacio de empresa

Referencias legales

Artículo 4 (alfabetización en materia de IA) y artículo 50 (transparencia) del Reglamento (UE) 2024/1689, el Reglamento de IA. El artículo 4 se aplica desde el 2 de febrero de 2025; el artículo 50 se aplica a partir del 2 de agosto de 2026.

Artículo 4 en la redacción dada por el Reglamento (UE) 2026/1744, el Ómnibus Digital sobre IA, publicado en el Diario Oficial el 24 de julio de 2026: los proveedores y los responsables del despliegue adoptan medidas para apoyar la alfabetización en IA de su personal, sin que deba garantizarse un nivel concreto de alfabetización en IA para ninguna persona.

Esta plantilla es una orientación general y no constituye asesoramiento jurídico. Pida a su delegado de protección de datos o a su asesor jurídico que la revise según las normas de su sector.

Preguntas frecuentes de las empresas

¿Exige el Reglamento de IA una política de uso de IA?: El Reglamento de IA no exige un documento llamado política de IA. El artículo 4 obliga a las empresas que usan sistemas de IA a adoptar medidas para apoyar la alfabetización en IA de su personal, y se aplica desde el 2 de febrero de 2025. El artículo 50 añade, a partir del 2 de agosto de 2026, obligaciones de información sobre ultrasuplantaciones y determinados textos publicados. Una política escrita junto con formación es la forma habitual de demostrar que se han adoptado esas medidas.
¿Qué debe incluir una política de uso de IA?: El ámbito de aplicación, las herramientas aprobadas y cómo se concede el acceso, qué clases de datos pueden ir en los prompts, los modelos y proveedores aprobados, las reglas para agentes de programación, la conservación y el registro, la revisión humana de los resultados, la información sobre contenido generado por IA, la formación en alfabetización en IA, la comunicación de incidentes, la aprobación del presupuesto para el uso de pago y una revisión periódica. La plantilla de esta página cubre los doce puntos.
¿Pueden los empleados introducir datos de clientes en ChatGPT o Claude?: Solo en una herramienta aprobada para esa clase de datos, con un contrato de encargo del tratamiento y con condiciones del proveedor que excluyan el entrenamiento con sus datos y la conservación de copias. Las categorías especiales de datos y los secretos quedan fuera de los prompts. La sección 3 de la plantilla lo recoge en una tabla que puede adaptar.
¿Quién debe etiquetar el contenido generado por IA según el Reglamento de IA?: Los proveedores de sistemas de IA marcan el audio, la imagen, el vídeo y el texto sintéticos en un formato legible por máquina (artículo 50, apartado 2). Las empresas que despliegan IA informan de las ultrasuplantaciones que publican, y del texto generado por IA publicado para informar al público sobre asuntos de interés público, salvo que una persona lo haya revisado y la empresa asuma la responsabilidad editorial (artículo 50, apartado 4). Ambas obligaciones se aplican a partir del 2 de agosto de 2026.
¿Cómo se aplica técnicamente una política de uso de IA?: Haga pasar el tráfico de IA por un gateway que aplique las reglas en cada solicitud. Con Standard Compute su personal inicia sesión mediante Microsoft Entra ID o SAML, solo los proveedores y modelos de su lista de permitidos pueden atender una solicitud, una regla Europa y la retención cero de datos se pueden fijar para la empresa, un equipo o una clave, cada persona y aplicación tiene un presupuesto mensual fijo y las solicitudes quedan registradas durante 12 meses.
¿Puedo usar la plantilla gratis?: Sí. Cópiela, edítela y publíquela dentro de su empresa sin necesidad de atribución. Descárguela en Markdown o en texto plano desde esta página.

Cree un espacio de empresa, conecte su proveedor de identidad y configure sus listas de permitidos desde el panel.