Política de IA generativa: guía prescriptiva para empresas
Cómo redactar una política de uso de IA generativa ejecutable. Cinco bloques obligatorios, lenguaje modelo, LFPDPPP, NIST AI RMF y auditoría para mid-market mexicano.
La política útil no intenta prohibir toda la IA ni convierte cada consulta en un trámite. Su función es reducir la ambigüedad: permitir el trabajo de bajo riesgo, colocar controles donde el impacto es mayor y dejar evidencia de quién decidió qué.
El punto de partida tampoco es una lista de marcas. Una misma plataforma puede tener condiciones distintas según el plan contratado, la configuración, la región, el tipo de integración y el acuerdo de tratamiento de datos. Por eso la política debe gobernar datos, usos y responsabilidades, además de nombrar herramientas aprobadas.
# ¿Qué problema resuelve una política de uso de IA?
Cuando una organización adopta IA sin reglas comunes, cada persona decide por su cuenta qué información pegar en un asistente, si una respuesta puede enviarse a un cliente o si el código generado puede pasar a producción. El riesgo no está únicamente en la herramienta: está en decisiones invisibles y difíciles de reconstruir.
Una política convierte esas decisiones en un sistema operativo. Define límites, rutas de aprobación y evidencia mínima. Debe conectar con controles que ya existen —seguridad de la información, privacidad, compras, desarrollo de software, gestión documental y respuesta a incidentes— en lugar de crear un universo paralelo.
El NIST AI Risk Management Framework trata la gobernanza como una función transversal: pide políticas transparentes, responsabilidades documentadas, inventarios, seguimiento y controles sobre terceros. Su perfil para IA generativa añade atención a pruebas antes del despliegue, procedencia del contenido, documentación y divulgación de incidentes.
# Los 10 componentes que debe incluir
# 1. Alcance y definiciones
La política debe decir a quién aplica: personal, directivos, contratistas, proveedores y cualquier tercero con acceso a información o sistemas de la empresa. También debe cubrir asistentes de texto, generadores de imágenes, copilotos de código, funciones de IA integradas en software y agentes que ejecutan acciones.
Conviene diferenciar tres actividades porque no comparten el mismo riesgo:
- usar una herramienta para apoyo individual;
- integrar un modelo mediante API en un proceso;
- permitir que un agente consulte sistemas o ejecute acciones.
# 2. Herramientas, cuentas y configuraciones aprobadas
La aprobación debe identificar producto, plan, propietario interno, finalidad autorizada y configuración mínima. “Usar ChatGPT” o “usar Claude” no basta para saber si una cuenta personal, una cuenta empresarial o una integración están permitidas.
Antes de aprobar una herramienta, la organización debe revisar al menos: condiciones vigentes, tratamiento y retención de datos, controles administrativos, identidad y acceso, registros disponibles, ubicación o transferencias relevantes, subprocesadores, opciones de exclusión y proceso de eliminación.
# 3. Clasificación de información
La política debe apoyarse en la clasificación que la empresa ya utiliza. Si no existe, puede iniciar con una versión simple y asignar un propietario para formalizarla.
| Nivel | Ejemplos | Regla orientativa para IA |
|---|---|---|
| Público | Sitio web, comunicados, materiales publicados | Puede usarse en herramientas aprobadas |
| Interno | Procedimientos y borradores sin datos sensibles | Uso condicionado a cuenta y finalidad autorizadas |
| Confidencial | Contratos, estrategia, finanzas, código privado | Requiere control contractual, técnico y de acceso |
| Restringido | Datos personales sensibles, secretos, información regulada | No se procesa sin evaluación y autorización específicas |
La tabla no sustituye un análisis de privacidad o seguridad. Su valor es ofrecer una decisión inicial comprensible para quien trabaja.
# 4. Usos permitidos, condicionados y prohibidos
Una política eficaz evita el binario “permitido/prohibido”. La categoría condicionada permite reconocer que algunos usos son válidos solamente con revisión, anonimización, contrato o entorno controlado.
| Tipo | Ejemplos | Control esperado |
|---|---|---|
| Permitido | Ideas con información pública, corrección de estilo, resumen de documentos públicos | Herramienta aprobada y revisión normal |
| Condicionado | Análisis de documentos internos, código, atención a clientes, decisiones que afectan personas | Evaluación del caso, acceso controlado y revisión humana |
| Prohibido | Compartir credenciales, evadir controles, suplantar personas, tomar decisiones críticas sin supervisión | Bloqueo, reporte y tratamiento del incidente |
Los ejemplos deben adaptarse por área. Un borrador de mercadotecnia y una recomendación clínica no requieren el mismo nivel de control.
# 5. Revisión humana y aprobación externa
La frase “revisar el resultado” es insuficiente. La política debe aclarar quién revisa, qué verifica y qué evidencia conserva.
La revisión puede incluir exactitud, fuentes, confidencialidad, sesgo, tono, propiedad intelectual, seguridad del código o cumplimiento sectorial. Para contenido externo, la organización debe mantener el mismo flujo de aprobación que aplicaría si el material se hubiera redactado sin IA.
Una persona no debe firmar de forma automática un resultado que no puede evaluar. En temas médicos, legales, financieros, laborales, de crédito o seguridad, la revisión requiere conocimiento y autoridad suficientes.
# 6. Datos personales, privacidad y confidencialidad
En México, la LFPDPPP vigente es una nueva ley publicada el 20 de marzo de 2025 y reformada por última vez el 14 de noviembre de 2025. La norma define a la Secretaría Anticorrupción y Buen Gobierno como autoridad y exige principios de licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad.
La ley también obliga a mantener medidas administrativas, técnicas y físicas acordes con el riesgo, la sensibilidad y el desarrollo tecnológico. Por ello, usar una plataforma de IA con datos personales no se resuelve mediante una prohibición genérica ni se autoriza solo por contratar un plan empresarial. Hay que revisar finalidades, aviso de privacidad, base aplicable, relación con el proveedor, transferencias, seguridad, conservación y derechos de las personas.
Este artículo ofrece orientación operativa general, no asesoría jurídica. La política final debe ser revisada por especialistas mexicanos en privacidad, laboral, propiedad intelectual y regulación sectorial cuando corresponda.
# 7. Desarrollo de software y automatizaciones
Para código generado con IA, la política debe exigir control de versiones, revisión técnica, pruebas, análisis de seguridad y verificación de licencias o dependencias. Nunca debe permitirse copiar credenciales, secretos, llaves, datos reales o código restringido en una herramienta no aprobada.
Los agentes y automatizaciones necesitan controles adicionales: permisos mínimos, ambientes de prueba, límites de gasto o volumen, registro de acciones, mecanismo de detención y responsable de operación. Una sugerencia de texto y una acción irreversible no pertenecen a la misma categoría de riesgo.
# 8. Proveedores, compras e integraciones
La evaluación debe cubrir tanto al proveedor principal como a integradores, complementos y subprocesadores relevantes. El contrato y la configuración deben coincidir con el uso real.
Preguntas mínimas:
- ¿qué datos recibe el proveedor y para qué los usa?;
- ¿cómo se controla la retención y eliminación?;
- ¿qué accesos y registros administrativos existen?;
- ¿cómo se notifican incidentes y cambios materiales?;
- ¿qué ocurre con los datos y flujos al terminar el servicio?;
- ¿qué restricciones existen para entrenamiento, evaluación o mejora del producto?;
No conviene copiar promesas comerciales de una página pública a la política. Las condiciones vigentes del contrato aplicable deben quedar documentadas en el expediente de evaluación.
# 9. Incidentes, excepciones y registros
La política debe explicar dónde reportar una exposición de datos, un resultado dañino, una integración no autorizada o el uso accidental de una cuenta personal. Un reporte temprano debe activar contención, no una búsqueda inmediata de culpables.
Las excepciones necesitan duración, alcance, responsable, controles compensatorios y fecha de cierre. También conviene mantener un registro de herramientas, casos de uso, propietarios, decisiones, incidentes y cambios de configuración.
# 10. Capacitación, cumplimiento y revisión
Firmar un documento no demuestra que una persona sabe aplicarlo. La capacitación debe usar situaciones reales del trabajo: resumir un contrato, atender a un paciente, analizar una llamada, generar código o publicar contenido.
La frecuencia de revisión no debe copiarse de una plantilla. Puede activarse por cambios de proveedor, nuevas integraciones, incidentes, modificación normativa, entrada a un sector regulado o aumento del nivel de autonomía. ISO/IEC 42001 puede servir como referencia para estructurar un sistema de gestión y mejora continua; adoptar la norma o buscar certificación es una decisión separada.
# Cómo implementar la política sin frenar la operación
# Paso 1: descubrir el uso real
Entrevista a áreas representativas y registra herramientas, cuentas, datos, tareas y salidas. No partas solo del software que Compras conoce: la IA suele estar incorporada en productos que ya se utilizan.
# Paso 2: priorizar por impacto y exposición
Clasifica cada caso por tipo de información, personas afectadas, posibilidad de corregir el resultado y autonomía del sistema. Un uso frecuente pero reversible puede requerir controles distintos a uno poco frecuente que afecte derechos o dinero.
# Paso 3: aprobar un conjunto inicial
Define herramientas y casos de bajo riesgo que puedan usarse desde el primer día. Acompáñalos con ejemplos claros de lo que no debe ingresarse y una ruta sencilla para solicitar una excepción.
# Paso 4: capacitar con casos del negocio
La capacitación debe mostrar cómo decidir, no únicamente cómo escribir prompts. Incluye ejercicios para identificar datos, verificar resultados, escalar dudas y reportar incidentes.
# Paso 5: medir y ajustar
Revisa adopción, excepciones, incidentes, tiempos de autorización, usos abandonados y cambios de proveedor. Una política que no se actualiza frente a la operación se vuelve decorativa.
# Plantilla de decisión rápida antes de usar IA
Antes de iniciar una tarea, la persona usuaria debería poder responder:
- ¿La herramienta, cuenta y finalidad están aprobadas?
- ¿Qué información voy a compartir y cómo está clasificada?
- ¿El uso coincide con el aviso, contrato y obligaciones aplicables?
- ¿Quién puede verse afectado por el resultado?
- ¿Quién revisará la salida y con qué criterio?
- ¿Qué registro o evidencia debo conservar?
- ¿Cómo detengo o reporto el proceso si algo sale mal?
Si una respuesta es incierta, la política debe indicar a qué responsable acudir. La claridad de esa ruta es una medida de calidad del documento.
# Preguntas frecuentes
# ¿Una política de IA puede ser la misma para todas las empresas?
No. La estructura puede reutilizarse, pero los datos, sistemas, contratos, riesgos y regulaciones cambian. Una clínica, un despacho y una empresa industrial requieren controles distintos, aunque compartan principios.
# ¿Contratar una cuenta empresarial autoriza cualquier uso?
No. Una licencia puede aportar controles administrativos y condiciones diferentes, pero no sustituye la clasificación de datos, la evaluación del proveedor, la base jurídica, la configuración ni la revisión humana.
# ¿Se deben prohibir las cuentas personales?
Para información o procesos de la empresa, la organización debe definir cuentas y entornos autorizados. La prohibición por sí sola no corrige el problema: se necesitan alternativas útiles, capacitación y controles de acceso.
# ¿Quién debe ser responsable de la política?
Debe existir un propietario operativo con autoridad para mantenerla, pero las decisiones relevantes son multidisciplinarias. Negocio, tecnología, seguridad, privacidad, legal y las áreas afectadas participan según el caso.
# ¿Cada cuánto se actualiza?
Cuando cambien los riesgos o las condiciones: nuevas herramientas, integraciones, incidentes, términos, datos, procesos o normas. Además, debe existir una revisión periódica definida por la propia organización.
# De la política al uso controlado
El entregable no es el PDF firmado. Es un sistema donde las personas saben qué pueden hacer, los casos relevantes tienen propietario y las excepciones dejan rastro.
Si tu empresa necesita convertir usos dispersos de IA en reglas aplicables, ia¹ puede ayudar a levantar el inventario, clasificar riesgos, evaluar herramientas y diseñar un piloto de adopción con responsables y métricas. Solicita un diagnóstico de viabilidad.
DIAGNÓSTICOConvierte los usos dispersos de IA en una política aplicable, un inventario de riesgos y un plan de adopción con responsables