Última revisión:
¿Cómo asegurar jurídicamente la IA generativa sin bloquear la innovación?
Prohibir la IA generativa empuja los usos a la sombra, y dejarla hacer expone a la empresa. Una política escrita, una herramienta validada y una supervisión humana de los resultados cubren el RGPD, el AI Act y la responsabilidad de la empresa sin frenar a nadie.
Para asegurar la IA generativa sin bloquear la innovación, no hay que prohibirla ni dejarla hacer. Hacen falta una política escrita, una herramienta validada y una supervisión humana de los resultados. Este marco responde al RGPD, al AI Act y a la responsabilidad de la empresa.
01La respuesta en claro
Asegurar la IA generativa no consiste en elegir entre prohibir y dejar hacer. Las dos opciones tienen el mismo defecto. Dejan a la empresa sin marco. Una prohibición no elimina el uso. Lo desplaza fuera de su vista. Dejar hacer no elimina la responsabilidad. La deja sin protección.
La vía que se sostiene es un marco corto, escrito y aplicado. Se apoya en tres elementos.
- Una política escrita. Dice qué herramientas están autorizadas, qué datos no se introducen nunca y qué resultados se revisan.
- Una herramienta validada. Es al menos tan cómoda como la herramienta de consumo, si no los equipos la esquivan.
- Una supervisión humana. Una persona designada revisa y firma antes de que un contenido producido con IA salga de la empresa.
Este marco responde a tres exigencias jurídicas distintas. El RGPD se aplica en cuanto datos personales entran en la herramienta. El AI Act clasifica los usos por nivel de riesgo y pide formar a las personas que usan la IA. Por último, la responsabilidad de la empresa, que el precedente de Air Canada ha recordado: lo que produce la IA que usted pone a disposición le compromete. Las secciones siguientes recorren estos tres pilares y después la política mínima.
02Por qué prohibir no protege
Un empleado que ha encontrado un ahorro de tiempo no lo abandona porque una nota interna se lo pida. Sigue. Usa su cuenta personal, su móvil, una herramienta gratuita cuyas condiciones nadie ha leído. El riesgo jurídico no baja. Se vuelve invisible.
Una vez que el uso pasa a la sombra, la empresa pierde varias palancas.
- Formar a las personas, porque el uso no está reconocido oficialmente.
- Elegir las herramientas y leer sus condiciones sobre los datos.
- Saber qué datos han salido de la empresa.
- Demostrar, ante un control o un litigio, que había tomado medidas.
Dejar hacer fracasa de otra manera. Cada colaborador decide solo qué puede introducir. Una persona con prisa pega un fichero de clientes, un contrato o un acta de reunión en un asistente público. Nadie ha actuado con mala intención. Faltaba el marco.
Una prohibición sin alternativa no es una política de seguridad. Es una política de falta de visibilidad. La prueba es sencilla. Si un directivo no sabe decir qué herramientas de IA usan realmente sus equipos, no puede demostrar que controla el riesgo.
Por eso el tema compete al comité de dirección y no solo al departamento de informática. El comité decide qué se autoriza, qué se prohíbe, qué parte de riesgo acepta y quién firma. La técnica viene después.
03Primer pilar: el RGPD, en cuanto entra un dato personal
El RGPD, Reglamento (UE) 2016/679 de 27 de abril de 2016, se aplica en cuanto un sistema de IA trata datos personales. Basta un nombre, una dirección de correo, una dirección IP, una imagen o una voz. Pegar un correo de un cliente en un asistente es, por tanto, un tratamiento de datos personales. Resumir un acta que cita a participantes también.
La empresa sigue siendo la responsable del tratamiento. Decir que «es la herramienta la que trata» no la exime. Debe poder explicar por qué trata esos datos, cuáles, con qué proveedor y bajo qué garantías.
Cuatro preguntas antes de validar una herramienta:
- ¿Qué datos entran en la herramienta y son necesarios para la tarea?
- ¿Quién es el proveedor y un contrato regula su papel de encargado del tratamiento?
- ¿Dónde se alojan los datos y el editor los reutiliza para entrenar sus modelos?
- ¿Figura el tratamiento en el registro de actividades, con una evaluación de impacto si el riesgo es alto?
Muchas herramientas se alojan en Estados Unidos. Desde el 10 de julio de 2023, el Data Privacy Framework regula las transferencias de datos personales hacia empresas estadounidenses certificadas. Compruebe que el proveedor está certificado, o que otras garantías previstas por el RGPD cubren la transferencia.
La CNIL publica recomendaciones sobre el uso de sistemas de IA conformes con el RGPD. Es la referencia francesa que conviene consultar. Para las pymes, France Num ofrece una guía y fichas prácticas gratuitas sobre IA generativa, elaboradas con la CNIL y la CPME.
04Segundo pilar: el AI Act y el Ómnibus, calendario y niveles de riesgo
El AI Act, Reglamento (UE) 2024/1689 de 13 de junio de 2024, entró en vigor el 1 de agosto de 2024. Su aplicación es progresiva. Clasifica los sistemas de IA en cuatro niveles de riesgo: inaceptable, alto riesgo, riesgo limitado y riesgo mínimo. Una empresa que usa herramientas diseñadas por otros, sin desarrollarlas, suele ocupar el papel de responsable del despliegue.
Sobre el AI Act en la empresa, retenga tres referencias.
El nivel de riesgo depende del uso, no de la herramienta
Redactar, resumir o traducir no figura entre los usos de alto riesgo. El nivel sube cuando la IA ayuda a decidir sobre personas, por ejemplo para contratar, evaluar a empleados o conceder un crédito. Una misma herramienta puede, pues, pertenecer a dos niveles según lo que se le pida.
La formación es una obligación
El artículo 4 impone una alfabetización en IA: formar a las personas que usan la IA. Una política sin formación no cumple esta exigencia.
La supervisión humana es un principio central
El artículo 14 exige supervisión humana para los sistemas de alto riesgo. Incluso fuera del alto riesgo, es un buen principio de gobernanza para todos los usos.
El calendario ya se ha movido. El Reglamento (UE) 2026/1744 de 8 de julio de 2026, llamado «Ómnibus digital sobre IA», entró en vigor el 27 de julio de 2026. Modifica el reglamento 2024/1689 y desplaza una parte del calendario. Las obligaciones sobre los sistemas de alto riesgo se aplazan hasta finales de 2027.
Este aplazamiento afecta al AI Act. No suspende ni el RGPD ni la responsabilidad de la empresa ante un cliente o un juez. Una política que no depende de ninguna fecha sigue siendo válida cualquiera que sea el calendario.
Un aplazamiento del calendario es un respiro sobre ciertas obligaciones. No es una razón para esperar antes de escribir la política. Inventariar los usos, formar a los equipos y establecer una supervisión humana sirven con cualquier calendario.
05Tercer pilar: la responsabilidad de la empresa, la lección de Air Canada
El 14 de febrero de 2024, en el asunto Moffatt contra Air Canada (2024 BCCRT 149), el Civil Resolution Tribunal de Columbia Británica condenó a la aerolínea a indemnizar a un cliente mal informado por el chatbot de su sitio web. Los daños ascienden a 650,88 dólares canadienses. Con los intereses y las costas, el total alcanza 812,02 dólares canadienses.
Air Canada sostenía que su chatbot era una entidad jurídica distinta. El tribunal rechazó ese argumento. La empresa responde de lo que produce la IA que pone a disposición.
El importe es modesto. El principio no lo es. Esta decisión canadiense no vincula a un juez europeo. Muestra, sin embargo, el razonamiento que un tribunal puede adoptar: una empresa no puede esconderse detrás de su herramienta.
El principio vale para muchos otros resultados además del chatbot dirigido a clientes. Un presupuesto redactado con IA, una respuesta a una licitación, una nota enviada a un cliente o un contenido publicado en el sitio web comprometen a la empresa del mismo modo. Decir que la IA se ha equivocado no protege a la empresa.
La responsabilidad no se delega en una herramienta. Se delega en una persona designada, que revisa y firma. Ese es el papel de la supervisión humana en la política.
06La política mínima: tres reglas que caben en una página
Una política de IA útil para la empresa cabe en una página. Se lee, se entiende y se aplica porque es corta. Este es el núcleo mínimo. Cubre los tres pilares descritos más arriba.
Las herramientas autorizadas
Enumere por su nombre las herramientas validadas. Exija la cuenta profesional y excluya las cuentas personales. Designe quién valida una herramienta nueva y en qué plazo responde. Ese plazo debe ser corto, si no los equipos esquivan la regla. Para validar una herramienta, aplique las cuatro preguntas del RGPD vistas más arriba y compruebe la certificación Data Privacy Framework si se aloja en Estados Unidos.
Los datos que nunca se introducen
En una herramienta no validada, no introduzca nunca datos personales de clientes, candidatos o empleados. Excluya también los secretos comerciales, la estrategia no pública y la información financiera no publicada. Añada los documentos cubiertos por una cláusula de confidencialidad, las credenciales, las contraseñas y el código propietario. Incluso en una herramienta validada, limite los datos a lo estrictamente necesario. En caso de duda, la regla es no introducir y preguntar.
Los resultados que deben revisarse
Haga revisar todo lo que sale de la empresa hacia un cliente, el público o una autoridad. Haga revisar todo lo que compromete, como un precio, un plazo o una cláusula. Haga revisar todo resultado que afecte a una persona, como una contratación o una evaluación. Haga verificar en la fuente cada cifra, cada cita y cada referencia jurídica. Designe a la persona que revisa y firma.
Esta es una redacción breve para retomar o adaptar:
«Uso únicamente las herramientas de la lista validada, con mi cuenta profesional. No introduzco nunca datos personales de terceros, secretos comerciales ni documentos confidenciales en una herramienta no validada. Reviso, verifico y firmo todo contenido producido con IA antes de que salga de la empresa.»
Cuatro complementos mantienen viva la política.
- Una formación breve, que responde a la exigencia de alfabetización del artículo 4 del AI Act.
- Un referente designado, a quien se pueden hacer preguntas sin temor a ser sancionado.
- Un inventario de usos, revisado a intervalos regulares, que sirve también como prueba de diligencia.
- Un procedimiento de incidentes: qué hacer cuando se ha introducido un dato por error.
Una buena política se juzga por un criterio. ¿Prefieren los equipos la herramienta validada a su cuenta personal? Si no es así, el problema no es la disciplina. Es la elección de la herramienta.
07Los errores frecuentes
Prohibir sin ofrecer una alternativa
La prohibición sin herramienta validada empuja a los equipos hacia las cuentas personales. Ofrezca primero la alternativa y cierre después los usos de riesgo.
Escribir una política que nadie lee
Un documento largo, jurídico y abstracto se queda en una carpeta compartida. Prefiera una página, ejemplos concretos y una lista de herramientas.
Validar una herramienta sin leer sus condiciones
Una herramienta validada por su reputación puede reutilizar sus datos o alojarlos fuera de Europa. Lea las condiciones sobre el entrenamiento de modelos, el alojamiento y los subencargados. Haga que las revise su asesor jurídico o su delegado de protección de datos.
Convertir la supervisión humana en una casilla por marcar
Una revisión solo tiene valor si la persona dispone del tiempo, la competencia y el poder de corregir. Un clic de validación sin lectura no protege de nada.
Escribir la política una vez para siempre
Las herramientas cambian. El calendario del AI Act ya se ha movido. Prevea una revisión periódica y una persona encargada de llevarla a cabo.
08Qué hace WYP, y por dónde empezar
WYP.agency es una consultora de estrategia para directivos, comités de dirección y consejos de administración. No es un editor de herramientas, ni una agencia de marketing, ni una empresa de desarrollo. WYP no sustituye ni a su abogado ni a su delegado de protección de datos. Ayuda al comité a decidir y después a documentar la decisión.
El método cruza varios modelos de IA, contrasta sus respuestas y busca los puntos ciegos y las contradicciones. Una persona revisa y firma. La IA afila la decisión, no la toma. Es el principio que la política pone en práctica.
El Cadrage IA es la oferta de entrada. Es un paquete de alcance fijo de 2 900 € sin IVA, entregado en 10 días hábiles. Incluye la auditoría de usos, una política de IA escrita, una herramienta validada y una presentación al comité de dirección.
Para empezar sin compromiso:
- Haga el inventario de los usos reales. Pregunte a los equipos sin sanción, si no solo obtendrá los usos confesables.
- Haga el diagnóstico de madurez en IA. Es gratuito y dura 90 segundos.
- Consulte el glosario de IA para los términos clave, del RGPD y el AI Act a la supervisión humana, las salvaguardas y la soberanía digital.
- Escriba la página de la política, elija una herramienta validada y haga revisar todo por su asesor jurídico.
Preguntas frecuentes
¿Hay que prohibir ChatGPT en la empresa?
No sin una alternativa. Una prohibición desplaza el uso fuera de su vista y le quita la capacidad de encuadrarlo. Es más seguro ofrecer una herramienta validada, con una política breve que diga qué datos no introducir nunca y qué resultados revisar.
¿Qué debe contener como mínimo una política de IA de empresa?
Tres cosas. La lista de herramientas autorizadas, con la cuenta profesional obligatoria. La lista de datos que no deben introducirse nunca en una herramienta no validada. La lista de resultados que una persona designada debe revisar y firmar antes de difundirlos.
¿Se aplica el RGPD cuando mis equipos usan IA generativa?
Sí, en cuanto la herramienta trata datos personales: nombre, correo, dirección IP, imagen, voz. La empresa sigue siendo la responsable del tratamiento. El texto de referencia es el Reglamento (UE) 2016/679 de 27 de abril de 2016.
¿Se aplica el AI Act a una empresa que solo usa herramientas de IA?
Sí, en general como responsable del despliegue. El AI Act entró en vigor el 1 de agosto de 2024 con una aplicación progresiva. Clasifica los sistemas en cuatro niveles de riesgo. El artículo 4 pide formar a las personas que usan la IA. El Ómnibus de 8 de julio de 2026 aplaza las obligaciones sobre los sistemas de alto riesgo hasta finales de 2027.
¿Es responsable mi empresa cuando la IA se equivoca?
Es el riesgo que hay que tener presente. En el asunto Moffatt contra Air Canada (2024 BCCRT 149, 14 de febrero de 2024), un tribunal canadiense rechazó el argumento de que el chatbot fuera una entidad jurídica distinta. Condenó a la aerolínea a indemnizar al cliente: 650,88 dólares canadienses de daños, 812,02 dólares canadienses con intereses y costas. La decisión es canadiense, pero su razonamiento es una advertencia.
¿Se pueden usar herramientas estadounidenses con datos personales?
Bajo condiciones. Desde el 10 de julio de 2023, el Data Privacy Framework regula las transferencias de datos personales hacia empresas estadounidenses certificadas. Compruebe la certificación del proveedor, u otras garantías de transferencia, y haga que lo valide su delegado de protección de datos.
Ver también
Para profundizar
Fuentes
- Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (RGPD). https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo de 13 de junio de 2024 (AI Act). https://eur-lex.europa.eu/eli/reg/2024/1689/oj
- Reglamento (UE) 2026/1744 « Ómnibus digital sobre IA » de 8 de julio de 2026, que modifica el Reglamento 2024/1689. https://eur-lex.europa.eu/eli/reg/2026/1744/oj
- CNIL, dosier temático « Inteligencia artificial » (recomendaciones sobre IA y RGPD). https://www.cnil.fr/fr/intelligence-artificielle
- Moffatt contra Air Canada, 2024 BCCRT 149, Civil Resolution Tribunal (Columbia Británica), 14 de febrero de 2024. https://www.canlii.org/en/bc/bccrt/doc/2024/2024bccrt149/2024bccrt149.html
- Transferencias de datos UE-Estados Unidos, decisión de adecuación de 10 de julio de 2023 (Data Privacy Framework), Comisión Europea. https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en
- France Num, guía y fichas prácticas sobre IA generativa para pymes (elaboradas con la CNIL y la CPME). https://www.francenum.gouv.fr/