← Volver al blog Gobierno de TI

Cómo crear políticas de uso responsable de IA en tu empresa

La inteligencia artificial ya está dentro de tu empresa, aunque no la hayas implementado formalmente. Tus colaboradores usan ChatGPT para redactar correos, asistentes de código para desarrollar software, herramientas de diseño con IA generativa para crear presentaciones, y plataformas de automatización para procesar documentos. La pregunta no es si tu equipo usa IA, sino si lo hace con políticas de IA claras que protejan a la organización.

Crear una política de uso responsable de inteligencia artificial no es un ejercicio burocrático. Es una necesidad operativa que protege los datos de tu empresa, reduce riesgos legales, establece expectativas claras para los colaboradores y posiciona a tu organización como un actor responsable en la adopción de tecnología. En esta guía te mostramos exactamente qué incluir y cómo implementarla.

¿Por qué necesitas políticas de IA?

Sin lineamientos claros, el uso de IA en las organizaciones genera riesgos concretos que muchas empresas mexicanas están experimentando sin ser conscientes de ello:

Riesgo de fuga de datos

Cuando un colaborador introduce información confidencial de un cliente en una herramienta de IA generativa, esos datos pueden ser procesados, almacenados o utilizados para entrenar modelos de terceros. Sin una política que clasifique qué datos pueden compartirse con herramientas de IA y cuáles no, cada interacción con estas herramientas es una potencial fuga de información.

Riesgo regulatorio

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares establece obligaciones específicas sobre el tratamiento de datos personales. Si tus colaboradores procesan datos de clientes mediante herramientas de IA sin controles adecuados, tu empresa puede estar incumpliendo la ley sin saberlo. Además, si trabajas con clientes en la Unión Europea, el AI Act impone requisitos adicionales.

Riesgo reputacional

Un contenido generado por IA que contenga errores factuales, sesgos discriminatorios o información inapropiada y que se publique bajo el nombre de tu empresa puede dañar tu reputación de forma significativa. Sin políticas de revisión y validación, estos incidentes son cuestión de tiempo.

Riesgo operativo

Cuando cada equipo o persona utiliza herramientas de IA diferentes sin coordinación, se generan inconsistencias, dependencias no documentadas y una proliferación de herramientas que complica la gestión de TI y aumenta los costos.

¿Qué debe incluir una política de IA?

Una política de uso responsable de inteligencia artificial efectiva debe cubrir los siguientes elementos fundamentales:

Alcance y aplicabilidad

Define con claridad a quién aplica la política: todos los colaboradores, contratistas, proveedores que acceden a sistemas de la empresa. Especifica también qué se considera "uso de IA" dentro del contexto de tu organización, ya que muchas herramientas cotidianas incorporan IA sin que el usuario lo perciba.

Herramientas aprobadas

Establece una lista de herramientas de IA que han sido evaluadas y aprobadas para uso corporativo. Esto no significa prohibir la innovación, sino asegurar que cada herramienta ha pasado por una revisión de seguridad, privacidad y cumplimiento antes de ser adoptada. Define también el proceso para solicitar la evaluación de nuevas herramientas.

Clasificación de datos

Vincula tu política de IA con la clasificación de datos de la empresa. Define qué categorías de datos pueden procesarse con herramientas de IA y cuáles están estrictamente prohibidas. Por ejemplo: datos públicos pueden usarse libremente, datos internos con precaución, datos confidenciales solo en herramientas aprobadas con contratos de procesamiento, y datos personales sensibles nunca en herramientas de IA generativa de terceros.

Usos prohibidos

Establece explícitamente qué usos de IA están prohibidos en tu organización. Ejemplos comunes incluyen: tomar decisiones finales que afecten a personas sin revisión humana, generar contenido que se publique sin verificación, compartir propiedad intelectual de clientes con herramientas de terceros, o utilizar IA para vigilancia de empleados sin consentimiento.

Roles y responsabilidades

Aclara quién es responsable de qué. El equipo de TI puede ser responsable de evaluar la seguridad de nuevas herramientas. Los líderes de área son responsables de asegurar que sus equipos cumplan la política. Cada colaborador es responsable de verificar la calidad de los resultados generados por IA antes de utilizarlos.

Respuesta ante incidentes

Define qué hacer cuando algo sale mal: un dato confidencial ingresado por error en una herramienta de IA, un resultado sesgado publicado externamente, o una herramienta de IA que genera una decisión incorrecta con consecuencias para un cliente. El protocolo debe incluir a quién notificar, qué acciones inmediatas tomar y cómo documentar el incidente.

Ciclo de revisión

La tecnología de IA evoluciona rápidamente. Tu política debe incluir un compromiso de revisión periódica, idealmente cada seis meses, para incorporar nuevas herramientas, ajustar controles y reflejar cambios regulatorios.

Pasos para crear tu política de IA

Estos siete pasos te guiarán desde el diagnóstico inicial hasta la implementación y mantenimiento de tu política de uso responsable de inteligencia artificial:

Paso 1: Inventario del uso actual de IA

Antes de regular, necesitas saber qué está pasando. Realiza un levantamiento de todas las herramientas de IA que se utilizan en tu organización: herramientas de IA generativa, asistentes de código, plataformas de automatización, modelos predictivos, chatbots y cualquier software que incorpore capacidades de IA. Involucra a todas las áreas; el uso de IA suele estar más distribuido de lo que la dirección imagina.

Paso 2: Evalúa los riesgos

Para cada herramienta o uso identificado, evalúa los riesgos asociados: qué datos se comparten, quién tiene acceso, qué decisiones se toman con los resultados, qué pasa si la herramienta genera información incorrecta. Clasifica los riesgos por probabilidad e impacto para priorizar los controles.

Paso 3: Define tus principios

Establece los principios que guiarán el uso de IA en tu empresa. Los más comunes son: transparencia (ser abiertos sobre el uso de IA), equidad (evitar sesgos y discriminación), privacidad (proteger datos personales), seguridad (garantizar la integridad de los sistemas), rendición de cuentas (un humano siempre es responsable) y calidad (verificar los resultados antes de usarlos).

Paso 4: Redacta la política

Con la información de los pasos anteriores, redacta el documento. Usa un lenguaje claro y directo, evita tecnicismos innecesarios y organiza el contenido de forma lógica. Incluye ejemplos concretos de lo que se permite y lo que no, para que los colaboradores puedan aplicar la política sin ambigüedades.

Paso 5: Valida con partes interesadas

Antes de publicar, valida la política con las áreas clave: legal, TI, recursos humanos, operaciones y al menos un grupo representativo de usuarios finales. El área legal verificará el cumplimiento regulatorio, TI evaluará la viabilidad técnica, y los usuarios finales identificarán si la política es práctica y aplicable en su día a día.

Paso 6: Capacita a tu equipo

Una política que nadie conoce es una política inútil. Diseña sesiones de capacitación que expliquen no solo qué dice la política, sino por qué existe. Los colaboradores que entienden los riesgos son más propensos a cumplir las reglas que aquellos que simplemente reciben un documento para firmar. Incluye ejemplos prácticos y escenarios relevantes para cada área.

Paso 7: Monitorea y actualiza

Implementa mecanismos para monitorear el cumplimiento: revisiones periódicas del uso de herramientas, encuestas sobre conocimiento de la política, y análisis de incidentes. Actualiza la política cada seis meses o cuando ocurra un cambio significativo en la tecnología, la regulación o las operaciones de la empresa.

Errores comunes al definir políticas de IA

Al crear lineamientos de IA para tu empresa, evita estos errores que observamos frecuentemente en organizaciones mexicanas:

• Ser demasiado restrictivo: Prohibir el uso de toda IA generativa puede parecer la opción más segura, pero en la práctica lleva a que los colaboradores la usen de forma clandestina, sin ningún control. Es mejor regular que prohibir.
• Ser demasiado vago: Una política que dice "usa la IA de forma responsable" sin definir qué significa "responsable" no ayuda a nadie. Incluye criterios específicos, ejemplos y escenarios concretos.
• No establecer consecuencias: Si la política no tiene mecanismos de cumplimiento, se convierte en una sugerencia. Define qué pasa cuando alguien incumple, desde retroalimentación para incidentes menores hasta acciones disciplinarias para faltas graves.
• No capacitar: Publicar la política en la intranet y asumir que todos la leerán no funciona. La capacitación activa es esencial para que las personas comprendan y apliquen los lineamientos.
• No actualizarla: Una política creada en 2024 puede quedar obsoleta en meses dado el ritmo de evolución de la IA. Sin un ciclo de revisión definido, la política pierde relevancia rápidamente.

Ejemplo de estructura de una política de IA

A continuación presentamos la estructura recomendada para una política de uso de IA empresarial. Este esquema puede adaptarse a las necesidades específicas de tu organización:

1. Objetivo y alcance: Propósito de la política, a quién aplica y qué sistemas de IA cubre.
2. Definiciones: Términos clave como inteligencia artificial, IA generativa, modelo, datos de entrenamiento, sesgo algorítmico.
3. Principios rectores: Los valores que orientan el uso de IA en la organización.
4. Herramientas aprobadas: Lista de herramientas evaluadas y aprobadas, con sus condiciones de uso.
5. Clasificación de datos y uso permitido: Tabla que relaciona cada categoría de datos con los usos permitidos y prohibidos en herramientas de IA.
6. Usos prohibidos: Lista explícita de usos no permitidos.
7. Proceso de aprobación de nuevas herramientas: Pasos para solicitar y evaluar nuevas herramientas de IA.
8. Roles y responsabilidades: Matriz RACI para la gestión del uso de IA.
9. Respuesta ante incidentes: Protocolo a seguir cuando ocurre un incidente relacionado con IA.
10. Capacitación y concientización: Plan de formación y frecuencia.
11. Monitoreo y cumplimiento: Mecanismos de supervisión y consecuencias por incumplimiento.
12. Revisión y actualización: Frecuencia de revisión y responsable del mantenimiento.

Contexto regulatorio en México

Las empresas mexicanas que crean sus políticas de IA deben considerar el panorama regulatorio actual y las tendencias que se avecinan:

Actualmente, México no cuenta con una ley específica de inteligencia artificial. Sin embargo, el uso de IA está regulado de forma indirecta por varias normativas existentes. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares aplica cuando los sistemas de IA procesan datos personales. La Ley Federal del Trabajo es relevante cuando se usa IA en procesos de selección, evaluación de desempeño o monitoreo de empleados. La Ley Federal de Protección al Consumidor aplica cuando la IA interactúa directamente con consumidores.

En el ámbito legislativo, se han presentado diversas iniciativas para regular la IA en México. Estas propuestas varían en alcance, desde marcos generales de gobernanza hasta regulaciones sectoriales específicas. Independientemente de cuál se apruebe y cuándo, la tendencia es clara: la regulación de IA llegará a México, y las empresas que ya cuenten con políticas internas estarán en una posición significativamente mejor para adaptarse.

Además, la Estrategia Nacional de Inteligencia Artificial de México establece principios y lineamientos que, aunque no son vinculantes, reflejan la dirección que el gobierno federal está tomando respecto al uso responsable de la tecnología. Alinear tus políticas internas con estos principios es una práctica recomendable.

Para empresas que operan internacionalmente o tienen clientes en la Unión Europea, el AI Act europeo es de cumplimiento obligatorio y establece requisitos específicos según el nivel de riesgo de cada sistema de IA. Tener una política interna robusta facilita enormemente la demostración de cumplimiento ante cualquier marco regulatorio.