🟢 Foundation

Política interna de uso de IA — template para empresas LATAM

Template editable de política de uso de IA. Cubre permitido/restringido/prohibido, governance, incident response, LGPD/LFPDPPP compliance. Listo para adaptación por DPO/RR.HH./legal.

16 de mayo de 2026 · 10 min · ai-governance

Por qué toda empresa necesita política de IA en 2026

En 2026, “si tu empresa no tiene política escrita de uso de IA, tu empresa tiene política implícita: cada empleado decide por sí mismo”. Eso se vuelve incidente.

Patrón que vemos:

Empleado usa ChatGPT personal para procesar dato sensible de cliente.
Filtra información confidencial inadvertidamente.
Cliente descubre vía competidor que oyó de otro.
Crisis reputacional + multa LGPD/LFPDPPP + pérdida del contrato.

Costo de prevenir: 1 template + 4 horas de adaptación. Costo de no prevenir: puede llegar a millones.

Este post trae el template que aplicamos en ~20 empresas LATAM en 2026. Editable, basado en NIST AI RMF + ISO/IEC 42001 + LGPD/LFPDPPP/Habeas Data.

Template — Política de Uso de IA

Cómo usar: copiá el template abajo. Sustituí [VARIABLES] por tus valores. Sometelo a revisión del jurídico + DPO. Aprobación formal por la dirección. Comunicá al 100% de los colaboradores vía canal oficial.

Encabezado

Documento: Política de Uso de Inteligencia Artificial — [NOMBRE DE LA EMPRESA] Versión: 1.0 Fecha de vigencia: [FECHA] Responsable: [NOMBRE DEL DPO o equivalente] Aprobación: [NOMBRE DEL CEO/Director] Próxima revisión: [FECHA + 12 meses]

Sección 1 — Principios

[EMPRESA] reconoce el potencial transformador de la inteligencia artificial y adopta su uso responsable. Los 5 principios orientadores:

Transparencia: el uso de IA es declarado a todas las partes interesadas (clientes, socios, colaboradores).
Privacidad: dato personal solo es procesado por IA bajo bases legales válidas (LGPD/LFPDPPP/equivalente).
Supervisión humana: ninguna decisión de alto impacto es totalmente automatizada sin revisión humana.
Auditabilidad: todo uso de IA en workflow oficial genera log auditable.
Educación continua: todos los colaboradores reciben formación sobre uso responsable.

Sección 2 — Alcance

Esta política aplica a:

Todos los colaboradores (CLT/contrato laboral, freelance, pasantes).
Todos los terceros que procesan datos en nombre de la empresa.
Todos los sistemas de IA usados en la empresa (propios, contratados vía API, o SaaS).

Sección 3 — Casos de uso permitidos

Los siguientes usos de IA están permitidos sin aprobación adicional:

Drafting de comunicación interna (email, acta, brief).
Resumen de documentos PÚBLICOS o de la empresa.
Investigación en fuentes públicas.
Generación de código con revisión humana antes de commit.
Análisis de datos agregados/anonimizados.
Templating de documento estándar.

Herramientas aprobadas para esos usos:

[Anthropic Claude — versión paga corporativa]
[Microsoft Copilot — licencia corporativa]
[Google Gemini for Workspace]
[Agregar según aplicable]

Sección 4 — Casos de uso restringidos (requieren aprobación)

Los siguientes usos exigen aprobación previa del DPO + supervisor del área:

Procesamiento de dato personal de cliente, proveedor o colaborador.
Documentos con cláusula de confidencialidad.
Análisis financiero interno no público.
Comunicación externa en nombre de la empresa.
Decisión que afecta selección, evaluación o desvinculación de empleado.
Atención al cliente automatizada.

Proceso de aprobación: formulario interno + análisis DPO en hasta 5 días hábiles + decisión documentada.

Sección 5 — Casos de uso prohibidos

Los siguientes usos son prohibidos bajo cualquier circunstancia:

Compartir credenciales (contraseñas, tokens API, llaves) con herramienta de IA.
Someter dato personal sensible a herramienta sin aprobación Y sin base legal.
Procesar documento bajo secreto profesional (jurídico, médico) en herramienta consumer-tier.
Generar contenido presentado como humano sin disclaimer (fraude/manipulación).
Usar IA para vigilancia individual de colaboradores sin aviso previo.
Training de modelo propio con dato personal sin revisión jurídica y DPO.
Decisión automatizada para concesión/negación de derecho fundamental (crédito, empleo, beneficio) sin revisión humana accesible.
Uso de herramienta de IA no aprobada para tarea profesional (incluyendo ChatGPT personal en cuenta gratuita para trabajo).

Sección 6 — Governance

6.1 Responsabilidades

DPO ([NOMBRE]): aprobar casos restringidos, mantener inventario de IA, conducir auditorías periódicas.
Director del área: aprobar uso de IA en su área, garantizar training del equipo.
TI: mantener lista de herramientas aprobadas + bloquear no aprobadas según aplicable.
Colaborador: respetar política, reportar incidentes.

6.2 Inventario de IA

La empresa mantiene inventario actualizado de:

Todas herramientas de IA aprobadas, con finalidad documentada.
Todos sistemas de IA propios en producción, con categorización de riesgo.
Todos vendors procesando dato personal vía IA (Data Processing Agreement obligatorio).

Actualización: trimestral mínimo.

6.3 Capacitación

Onboarding: todo nuevo colaborador recibe capacitación de 1h sobre esta política en hasta 30 días de la contratación.
Reciclaje: anual obligatorio para todos.
Áreas críticas (jurídico, RR.HH., financiero): capacitación profundizada cada 6 meses.

6.4 Auditorías

Auditoría interna: trimestral. Muestreo de uso real, comparación con política, identificación de gaps.
Auditoría externa: anual para empresas en sector regulado.

Sección 7 — Incident Response

Si incidente involucrando IA ocurre (filtración, decisión errada con impacto, output ofensivo, etc.):

Paso 1 — Contención (primeras 4 horas)

Quien identificó notifica supervisor inmediato + DPO vía canal #incidentes.
Suspender uso de la herramienta involucrada hasta análisis.

Paso 2 — Análisis (primeras 24 horas)

DPO + área impactada analizan causa raíz, alcance (cuántos datos, cuántos afectados), severity.

Paso 3 — Respuesta (primeras 72 horas)

Si filtración de dato personal: notificar autoridad supervisora (LGPD Art. 48, LFPDPPP Art. 64) + titulares afectados.
Si output ofensivo público: comunicación pública + retractación.
Si perjuicio a tercero: comunicación con seguradora + jurídico.

Paso 4 — Post-mortem (próximos 14 días)

Documentación formal: lo que pasó, por qué, qué cambiamos para no repetir.
Update de la política si necesario.

Sección 8 — Derechos de los colaboradores

Derecho a saber cuándo IA es usada para evaluar performance/decisión de carrera.
Derecho a impugnar decisión automatizada (LGPD Art. 20, LFPDPPP Art. 17).
Derecho a no ser monitoreado por IA sin aviso previo escrito.
Derecho a no ser obligado a usar IA cuando alternativa humana razonable existe.

Sección 9 — Sanciones

Violación de esta política sujeta al colaborador a:

Primera violación: orientación formal documentada.
Violación subsecuente: advertencia escrita.
Violación grave (filtración de dato, fraude): posible justa causa nos términos de la ley laboral, sujeta a análisis jurídica.

Sección 10 — Vigencia y revisión

Esta política entra en vigor en [FECHA].
Revisión obligatoria cada 12 meses o en cambio regulatorio significativo.
Próxima revisión prevista: [FECHA + 12 meses].

Cómo adaptar este template

Sustituir variables: nombre de la empresa, DPO, fecha, herramientas aprobadas.
Ajustar Sección 3 (permitidos) al alcance real de tu empresa. Puede ser más conservador para sector regulado.
Ajustar Sección 4 (restringidos) si tenés casos de uso específicos.
Validar Sección 5 (prohibidos) con jurídico — puede agregar restricciones sectoriales.
Customizar Sección 6.1 con nombres reales y canales de comunicación.

Señales de que tu política necesita actualización

Nueva categoría de IA emerge (en 2026, agentes autónomos fue una).
Nueva regulación entra (en 2026, AI Act Europe empezó).
Nuevo incidente revela gap no previsto.
Más de 12 meses sin revisión.

Anti-patrones en política de IA

Política tan restrictiva que nadie sigue. Realista > teórico.
Política sin capacitación. Documento en la carpeta ≠ política aplicada.
No involucrar TI en el rollout. Herramientas bloqueadas vía firewall + lista de aprobadas es la parte más eficaz de la política en la práctica.
Política copy-paste sin adaptación. Cada empresa tiene contexto específico que necesita reflejar.

Próximos pasos

Adaptá este template con tu jurídico + DPO en el próximo mes.
Workshop SkilLab — Consultoría & Capacitación. Implementación de política IA + capacitación de los colaboradores. Detalles.
Newsletter SkilLab AI. Inscribite abajo.