Se entra una sola vez, para toda la organización. Llega hasta donde alcance la letra de tu organización, e implántalo en tu modo.
Por qué existe
Antes de desplegar ninguna IA, pon por escrito por qué la organización la usa, qué se le permite hacer y cuánto riesgo está dispuesta a aceptar la dirección. Esto no es un ejercicio de declaración de intenciones. Una política de IA que no sabe responder al «por qué» no sobrevivirá a su primera decisión difícil: la primera vez que una unidad de negocio quiera una herramienta sobre la que la política calla, o la primera vez que un incidente obligue a la dirección a explicar para qué servía la IA. Escribe el propósito mientras todavía es una elección, no mientras lo estás reconstruyendo ante un organismo supervisor o un periodista.
Gobierna la IA como un multiplicador de capacidades, no como una herramienta para reducir plantilla. Declara explícitamente que su propósito es quitar el trabajo rutinario y repetitivo para que tu gente dedique su tiempo al criterio, a las relaciones y a los problemas que las máquinas no pueden abordar, y exige ese estándar a cada iniciativa. La distinción no es cosmética: una organización que presenta la IA como sustitución se gana el sabotaje callado, la no adopción encubierta y la pérdida precisamente del conocimiento institucional del que depende la IA. Preséntala como aumento, y exige que ese aumento se demuestre.
Qué hacer
Liga cada uso de IA a un resultado de negocio medible. No aceptes «nos hace más eficientes» como justificación. Si un asistente de IA comprime una tarea de una hora a quince minutos, registra esa ganancia frente a un objetivo con nombre —una meta que la organización ya mide— y revisa si se materializa. El valor medido es lo que justifica tanto el gasto como el riesgo de cada despliegue; las afirmaciones sin medir engendran euforia en los años buenos y recortes indiscriminados en los malos.
Documenta y estabiliza el proceso antes de automatizarlo. Poner IA encima de un proceso roto o no documentado no arregla el proceso: escala la ineficiencia y fija el caos, más deprisa. Antes de delegar cualquier flujo de trabajo en un sistema de IA —sobre todo en uno que actúa por su cuenta—, exige que el flujo esté escrito paso a paso: quién hace qué, en qué orden, con qué traspasos. Basta con un diagrama sencillo. Un proceso que nadie sabe describir es un proceso que nadie puede delegar con seguridad. Cartografíalo, estabilízalo y solo entonces automatízalo.
Apoya la política en valores con nombre, no solo en prohibiciones. Enuncia los compromisos éticos que la organización se impone al usar IA: responder de los resultados, equidad hacia las personas afectadas, respeto a la privacidad, robustez y seguridad de los sistemas, transparencia sobre su uso y la negativa a producir o difundir falsedades deliberadas. No estás escribiendo filosofía: estás dando a cada decisión posterior —cada aprobación, cada disputa, cada incidente— un punto fijo contra el que juzgarse. La práctica detallada de cada valor vive en su propio dominio de este marco; el compromiso se declara aquí, una vez, al principio.
Declara las líneas rojas de autonomía, no solo las de datos. Casi todas las organizaciones ponen por escrito qué datos puede tocar la IA. Casi ninguna pone por escrito qué grados de acción independiente son inaceptables, y esa omisión es de donde salen hoy los incidentes de verdad. Enuncia, en la propia política, líneas como estas: una IA puede redactar un mensaje externo pero no enviarlo; puede recomendar un pago pero no ejecutarlo; puede proponer una decisión sobre una persona pero no tomarla. Estas líneas existen para ser incómodas. Trázalas antes de que la demostración de un proveedor las vuelva negociables.
Dile a la gente cuándo está tratando con una IA. Adopta como política que a los usuarios, los clientes y las partes afectadas se les diga cuándo una salida o una interacción la produce o la media una IA. Los organismos supervisores de Europa y de un número creciente de jurisdicciones ya lo exigen para muchos usos; trátalo como tu suelo en todas partes, porque es una de las obligaciones más baratas de cumplir y una de las más dañinas si te pillan descuidándola.
Mantén a la persona en el centro, por escrito. Declara que la IA actúa al servicio del juicio humano y subordinada a él, y que ningún grado de autonomía de la máquina disuelve la responsabilidad de quienes la desplegaron. Esa sola frase, puesta en la política, es lo que impide la deriva lenta por la que «lo decidió el sistema» acaba siendo una respuesta aceptada.
Controles
Baseline3 controles
Control 1
Redacta una política de una página de principios y uso aceptable de la IA, basada en valores explícitos.
BaselinePreventivotodos los rolestoda la organización
Qué es
Una página basta para empezar; lo que importa es que exista, que enuncie los valores, las líneas rojas sobre datos y las líneas rojas sobre autonomía, y que se haga cumplir.
Cómo implantarlo · Estructura mínima
Propósito: para qué usa la organización la IA
3–5 principios con nombre (p. ej. supervisión humana, protección de datos, transparencia)
Usos permitidos y prohibidos (p. ej. nada de datos de clientes en herramientas no aprobadas; ninguna decisión sobre personas sin revisión humana)
Herramientas aprobadas, con referencia al inventario
Líneas rojas de autonomía
Responsable y vía para consultas
Consecuencias del incumplimiento
Revisión anual y firma de la dirección
Cómo arrancar
Redáctala en una reunión de una hora con la dirección y quien lidere el uso de IA, y apruébala en la siguiente.
Evidencia
La política firmada y un registro de que la plantilla la ha leído.
Modo: ligero / estándar / completo
ligero
La firma el propietario-gerente y se distribuye por correo electrónico con acuse de recibo.
estándar
La aprueba la dirección, la mantiene quien lidera la IA y el acuse se recoge en la incorporación de personal y en un recordatorio anual.
completo
La aprueba el consejo, la mantiene una persona responsable de gobierno de IA y la lectura se controla en la plataforma de formación, con informe a la dirección.
Control 2
Documenta y estabiliza cualquier proceso antes de automatizarlo con IA.
BaselinePreventivotodos los rolestoda la organización
Qué es
Exige la descripción escrita, paso a paso, como condición previa a la automatización, y consérvala como evidencia.
Cómo implantarlo · Estructura mínima
Nombre del proceso, responsable, desencadenante y resultado esperado
Pasos en orden: quién hace qué, en qué secuencia y con qué traspasos (basta un diagrama sencillo)
Entradas, datos y sistemas que se usan en cada paso
Puntos de decisión y excepciones, y quién los resuelve
Qué pasos asumiría la IA y cuáles siguen en manos de personas
Comprobación de estabilidad: el proceso se ha ejecutado tal como está escrito durante varios ciclos sin atajos no documentados
Cómo arrancar
Elige el primer proceso que vas a automatizar, pide a quien lo ejecuta que lo recorra mientras otra persona anota los pasos y corrígelo hasta que un compañero pueda seguirlo.
Evidencia
La descripción del proceso, fechada y aprobada antes de empezar la automatización.
Modo: ligero / estándar / completo
ligero
Quien ejecuta el proceso lo escribe como lista numerada o diagrama sencillo en un documento compartido.
estándar
Se usa una plantilla común y el responsable de IA revisa la descripción antes de aprobar la automatización.
completo
Las descripciones se guardan en el repositorio de procesos de la organización y son un paso obligatorio del flujo de aprobación de IA.
Control 3
Adopta una política de divulgación de las interacciones con IA.
BaselinePreventivotodos los rolestoda la organización
Qué es
Se informa a las personas de que están tratando con una IA en todos los canales en los que puedan estar haciéndolo.
Cómo implantarlo · Estructura mínima
Alcance: todos los canales donde las personas pueden encontrarse con IA — chat, correo, teléfono, formularios web, documentos, redes sociales
A quién se informa: clientes, usuarios, candidatos, plantilla y otras personas afectadas
Cuándo: al inicio de la interacción o en el propio resultado
Texto estándar y claro por canal (p. ej. «Esta respuesta se ha redactado con IA y la ha revisado nuestro equipo»)
Responsable de la política y comprobación cada vez que se añade un canal o uso de IA
Cómo arrancar
Enumera los canales en los que clientes o plantilla pueden encontrarse hoy con resultados de IA y acuerda una frase de aviso para cada uno.
Evidencia
La política aprobada y capturas o muestras del aviso en cada canal.
Modo: ligero / estándar / completo
ligero
El propietario-gerente aprueba una frase estándar y se añade a la ventana de chat, la firma de correo o el pie de los documentos.
estándar
Los responsables de cada canal aplican el texto y el responsable de IA comprueba que aparece en cada nuevo despliegue.
completo
El aviso es criterio de puesta en marcha de todo canal con IA, con muestreos periódicos de la función de gobierno para confirmar que aparece.
Enhanced4 controles
Control 4
Haz que el consejo de administración, o la máxima autoridad disponible, apruebe la estrategia de IA.
EnhancedPreventivotodos los rolestoda la organización
Qué es
La dirección en materia de IA se asume desde la cúpula; no se delega en el entusiasmo de equipos concretos.
Cómo implantarlo · Pasos
Prepara un documento breve de estrategia: propósito del uso de IA, iniciativas prioritarias, objetivos vinculados, apetito de riesgo, presupuesto y líneas rojas
Envíalo al consejo, o a la máxima autoridad disponible, con tiempo para leerlo antes de la reunión
Preséntalo en una reunión formal; recoge en acta las preguntas, los cambios y la decisión
Registra la versión aprobada, la fecha de aprobación y la próxima revisión
Vuelve a presentarlo ante cualquier cambio relevante y, como mínimo, cada año
Cómo arrancar
Incluye la estrategia de IA en el orden del día del próximo consejo, acompañada de un documento de dos páginas.
Evidencia
El acta del consejo que recoge la aprobación y la versión aprobada de la estrategia.
Modo: ligero / estándar / completo
ligero
El propietario-gerente o los socios, como máxima autoridad, firman y fechan la estrategia.
estándar
La aprueba el comité de dirección o el consejo en reunión con acta, presentada por quien lidera la IA.
completo
La aprueba el consejo a propuesta del comité de IA, con una reaprobación anual fijada en el calendario del consejo.
Control 5
Vincula cada iniciativa de IA a objetivos de negocio explícitos y revisa si el valor se materializa.
EnhancedDetectivotodos los rolestoda la organización
Qué es
El valor declarado se mide, en un ciclo recurrente, frente a objetivos que la organización ya sigue.
Cómo implantarlo · Contenido mínimo
Nombre de la iniciativa, responsable de IA y referencia al sistema en el inventario
Objetivo concreto que la organización ya mide (p. ej. tiempo de respuesta, coste por expediente, pendientes)
Valor de partida antes de la IA y objetivo esperado (p. ej. una tarea pasa de 60 a 15 minutos)
Coste: licencias, trabajo de integración y tiempo del personal
Fechas de revisión (p. ej. a los 3 y a los 12 meses) y resultado real medido
Decisión tras cada revisión: continuar, ajustar o detener
Cómo arrancar
Para cada iniciativa de IA ya en marcha, anota el objetivo al que sirve y su valor actual de partida.
Evidencia
La tabla de iniciativas y objetivos y los registros fechados de revisión del valor.
Modo: ligero / estándar / completo
ligero
El propietario-gerente mantiene la tabla en una hoja de cálculo y la revisa dos veces al año.
estándar
Cada responsable de IA actualiza su línea y la dirección revisa la tabla en intervalos fijos.
completo
Las revisiones de valor forman parte del ciclo de gestión de cartera, con cifras tomadas de los informes de rendimiento existentes.
Control 6
Define por escrito cuánto riesgo de IA acepta la dirección.
EnhancedPreventivotodos los rolestoda la organización
Qué es
Un apetito de riesgo declarado es lo que permite que todas las aprobaciones posteriores sean coherentes en lugar de improvisadas.
Cómo implantarlo · Estructura mínima
Apetito por tipo de riesgo: daño a personas, exposición de datos, pérdida económica, legal, reputacional
Tres niveles: aceptado, aceptado con condiciones, nunca aceptado
Umbrales cuando sea posible (p. ej. ninguna decisión totalmente automatizada sobre personas; tasa de error tolerada en resultados de cara al cliente)
Quién puede aceptar el riesgo residual en cada nivel
Vínculo con las líneas rojas de autonomía y de datos de la política
Revisión anual y tras cualquier incidente grave
Cómo arrancar
Celebra una sesión con la dirección para clasificar cinco o seis usos de IA, reales o previstos, como aceptables, condicionados o inaceptables, y convierte los motivos en la declaración.
Evidencia
La declaración de apetito de riesgo aprobada y los registros de aprobación que la citan.
Modo: ligero / estándar / completo
ligero
El propietario-gerente redacta media página con ejemplos claros de sí, condicionado y no.
estándar
La dirección la aprueba y quien lidera la IA la aplica en cada decisión de aprobación.
completo
La aprueba el consejo dentro del marco de riesgos corporativo, con tolerancias medibles vigiladas por la función de riesgos.
Control 8
Marca el contenido sintético generado por IA con una procedencia legible por máquina cuando se publique o se entregue fuera de la organización.
EnhancedPreventivotodos los rolespor sistema
Qué es
Etiquetas explícitas e implícitas (metadatos) en el texto, la imagen, el audio y el vídeo generados; el marcado acompaña al contenido allá donde se copie o se reenvíe.
Cómo implantarlo · Reglas mínimas
Contenido cubierto: texto, imagen, audio y vídeo generados por IA que se publican o entregan fuera de la organización
Etiqueta visible adaptada al medio (p. ej. pie «Generado con IA», marca sobre la imagen, aviso hablado)
Marcado legible por máquina: metadatos de procedencia incrustados en el archivo y, si la herramienta lo permite, una marca de agua invisible
Aplica el marcado al generar o exportar, no a mano después
No elimines los metadatos en pasos posteriores de edición, compresión o publicación
Revisa muestras publicadas periódicamente para confirmar que las marcas se conservan
Cómo arrancar
Comprueba qué herramientas de generación ya incrustan metadatos de procedencia o marcas de agua, activa la función y verifica si las marcas sobreviven a tu canal de publicación.
Evidencia
La configuración del marcado y muestras de resultados marcados.
Modo: ligero / estándar / completo
ligero
Usa las opciones de procedencia y etiquetado integradas en la herramienta de generación y añade a mano una etiqueta visible donde falten.
estándar
El responsable técnico configura el marcado en cada sistema y se comprueba con muestras cada trimestre.
completo
La cadena de publicación impone el marcado y lo verifica automáticamente antes de difundir cualquier contenido.
Advanced1 controles
Control 7
Alinea la estrategia de IA con la estrategia corporativa y la digital, y mantenlas alineadas.
AdvancedPreventivotodos los rolestoda la organización
Qué es
La dirección en materia de IA se revisa cada vez que cambia la estrategia general, para que ambas no diverjan sin que nadie lo advierta.
Cómo implantarlo · Pasos
Relaciona cada prioridad de IA con el objetivo corporativo y digital al que sirve
Señala las iniciativas de IA sin objetivo corporativo y los objetivos corporativos que dependen de la IA sin un plan de IA
Acuerda con los responsables de estrategia los disparadores de revisión: cualquier cambio en la estrategia corporativa o digital y la planificación anual
Registra cada revisión de alineamiento, sus conclusiones y los cambios resultantes
Presenta la visión de alineamiento al consejo junto con la estrategia de IA
Cómo arrancar
Pon las tres estrategias una junto a otra y elabora una tabla de una página que relacione cada prioridad de IA con su objetivo corporativo y digital.
Evidencia
La tabla de alineamiento y los registros de las revisiones tras cada cambio de estrategia.
Modo: ligero / estándar / completo
ligero
El propietario-gerente relee la estrategia de IA cada vez que cambia el plan de negocio y anota los ajustes.
estándar
Quien lidera la IA y el responsable de estrategia revisan el alineamiento en cada ciclo de planificación.
completo
La planificación estratégica incluye formalmente un paso de alineamiento de IA, coordinado por la oficina de estrategia e informado al consejo.
Evidencia
La política en sí; las descripciones escritas de los procesos anteriores a su automatización; el texto de la divulgación en tus canales; las actas de aprobación del consejo; la correspondencia entre objetivos e iniciativas y sus revisiones de valor; el apetito de riesgo por escrito. La configuración del marcado de procedencia y muestras de salidas marcadas.