Primero, un límite honesto
Un A4 basta para una norma de uso. No basta para el cumplimiento completo: la obligación europea de alfabetización en IA, la documentación de protección de datos y la evaluación de riesgos no caben en una página, y tampoco es su sitio.
Y algo más: la existencia de la norma no impide por sí sola que se incumpla. Un estudio con 1.250 personas realizado en abril de 2026 indica que el 86% tiene una norma sobre IA en su empresa y que aun así el 66% usó una herramienta que creía prohibida.
¿Entonces para qué sirve? Porque la política de una página no es útil por lo que impide, sino porque crea una posición jurídica: en la protección del secreto empresarial, en el derecho laboral y en la cuestión de la responsabilidad. Y porque el mayor problema no es el incumplimiento consciente: según una encuesta internacional de 48.340 personas, el 38% de los trabajadores usó IA sin saber si estaba permitido, y el 19% ni siquiera sabía si existía una norma en su empresa.
El argumento más fuerte, del que casi nunca se habla
Según el artículo 2, apartado 1, de la Directiva (UE) 2016/943, una información es secreto empresarial si es secreta, si tiene valor comercial por ser secreta y si la persona que la controla legítimamente ha adoptado medidas razonables, según las circunstancias, para mantenerla en secreto. Todos los Estados miembros han traspuesto esa definición a su derecho nacional, así que el texto con el que realmente litigarías es el de tu país, pero la tercera condición está en todos.
Esa tercera condición es lo esencial. En el derecho europeo la protección del secreto empresarial no es automática. Si una empresa no tiene una norma escrita que diga que los precios, los márgenes o el texto de los contratos no pueden meterse en una herramienta pública, en un litigio posterior se vuelve discutible que eso fuera siquiera secreto empresarial. Dos trasposiciones una al lado de la otra: despliega la que te afecte.
Hungría — la Ley LIV de 2018 y «la conducta que cabe esperar en la situación»
Hungría traspuso la directiva en la Ley LIV de 2018, en vigor desde el 17 de agosto de 2018. Su artículo 1, apartado 1, define el secreto empresarial como el hecho, la información, el dato o la recopilación ligados a una actividad económica, secretos y por ello con valor patrimonial, respecto de los cuales el titular observa la conducta que en general cabe esperar en la situación dada para mantenerlos en secreto.
La ley nombra además el know-how por separado. Según el artículo 1, apartado 2, el conocimiento protegido es el saber técnico, económico u organizativo, la solución, la experiencia o su recopilación que tenga la condición de secreto empresarial y esté fijado de forma identificable. Lo de «fijado» no es un adorno: si nadie ha escrito qué entra ahí, invocar el know-how en un pleito se queda vacío.
Lo que eso significa en el uso de IA: si en la empresa nadie ha puesto por escrito que los precios, los márgenes o el texto de los contratos no pueden ir a una herramienta pública, lo difícil de probar después no es que alguien pegara el dato, sino la conducta esperable. La política de una página es precisamente lo que fabrica esa prueba.
España — la Ley 1/2019 y una sentencia del Supremo que fija el listón
España traspuso la directiva en la Ley 1/2019, de 20 de febrero, de Secretos Empresariales. El artículo 1.1 exige las mismas tres condiciones acumulativas y formula así la tercera: la información tiene que «haber sido objeto de medidas razonables por parte de su titular para mantenerlo en secreto».
Qué se considera razonable tiene respuesta concreta. En la sentencia 447/2024, de 3 de abril de 2024, la Sala de lo Civil del Tribunal Supremo desestimó la demanda de una empresa por violación de secretos frente a antiguos empleados: la contraseña, el código personal de acceso y los niveles de acceso eran, para el tribunal, medidas de seguridad estándar que no ponían de manifiesto que la empresa considerase esa información secreta por su valor competitivo.
Ese listón está más alto de lo que la mayoría espera: la pregunta no es si había protección informática, sino si se ve la intención. Una norma escrita de IA que enumere por su nombre las categorías de datos excluidas documenta exactamente esa intención, y la práctica española lee la sentencia como una exigencia de medidas a la vez efectivas, documentadas, actualizadas y comunicadas a la plantilla.
Es decir, la política de una página no es burocracia. Es un requisito de la protección jurídica de tu secreto empresarial.
Qué tiene que llevar y qué lo obliga
Cada línea lleva escrito al lado en qué se apoya, porque una norma es creíble cuando nombra una obligación en vez de invocar «buenas prácticas».
| # | Elemento | Qué lo obliga |
|---|---|---|
| 1 | Lista de herramientas autorizadas y cómo pedir una nueva | sin ella, los demás puntos no se pueden aplicar |
| 2 | Cuenta de empresa obligatoria, cuenta personal prohibida | la seguridad del tratamiento: en una cuenta personal la empresa no tiene control |
| 3 | Categorías de datos prohibidas, una por una | la base jurídica del tratamiento, el contrato de encargo y las reglas de transferencia a terceros países |
| 4 | Secreto empresarial: qué es y que no puede ir a una herramienta pública | Directiva (UE) 2016/943 y su trasposición nacional, ver arriba |
| 5 | Revisión humana de todo resultado que salga fuera, con un responsable con nombre | responsabilidad contractual y civil; el resultado de la máquina es una declaración de la empresa |
| 6 | Etiquetado: chatbots, deepfakes, textos de IA sobre asuntos de interés público | artículo 50 del Reglamento de IA, desde el 2 de agosto de 2026 |
| 7 | Regla de derechos de autor: qué se puede subir y cuál es el estatus del resultado | ley nacional de propiedad intelectual; la directiva europea |
| 8 | Responsables con nombre: quién decide sobre una herramienta nueva y a quién avisar si hay un problema | la plantilla del Gobierno australiano lo hace obligatorio bajo el nombre de «funcionario responsable» |
| 9 | Notificación de incidentes con plazo | la obligación de notificación en protección de datos: 72 horas |
| 10 | Formación: quién la recibió, cuándo y sobre qué | artículo 4 del Reglamento de IA, con supervisión nacional desde el 2 de agosto de 2026 |
| 11 | Fecha de revisión | las mejores plantillas universitarias se tratan a sí mismas como documentos vivos |
| 12 | Anclaje laboral | haz que la norma forme parte del contrato de trabajo o del reglamento interno: la persona trabajadora no puede actuar de un modo que dañe los intereses económicos legítimos de la empresa |
Sin el punto doce, incumplir la norma no tiene ninguna consecuencia laboral. Es una línea, pero sin ella el papel es un consejo, no una norma.
La plantilla
[NOMBRE DE LA EMPRESA] — POLÍTICA DE USO DE IA
En vigor desde: .......... Revisión: ..........
Responsable: ............................
(aprobación de herramientas nuevas · dudas · aviso de incidentes)
1. HERRAMIENTAS AUTORIZADAS — con cuenta de empresa y acceso corporativo:
..........................................................
Herramienta nueva solo con el visto bueno del responsable. La gratuita también.
2. LO QUE NO PUEDE ENTRAR NUNCA EN UNA HERRAMIENTA DE IA — en ninguna cuenta:
nombre e identificadores del cliente · texto completo de contratos ·
precios y márgenes · datos personales (nombre, correo, dirección, NIF, salud) ·
contraseñas, claves de API, credenciales · código fuente de ........ ·
material declarado secreto empresarial (ver lista adjunta)
3. QUÉ HAY QUE CONFIGURAR: el uso para entrenamiento desactivado,
la conservación del historial ........, cuenta de trabajo, no personal.
4. REVISIÓN HUMANA: todo texto, cifra, referencia y código que salga fuera
se revisa antes. Responde la empresa, no la herramienta.
5. ETIQUETADO: si se publica una imagen, un vídeo o un audio hechos con IA,
lo etiquetamos. Chatbot de cara al cliente: decimos que habla con una máquina.
6. SI HAY UN PROBLEMA: quien haya pegado un dato sensible avisa al responsable
en ........ horas. Avisar no tiene represalias.
7. FORMACIÓN: cada persona nueva ........, todo el mundo una vez al año.
Lo registramos aquí: ..........................
8. ESTA NORMA FORMA PARTE DE LA RELACIÓN LABORAL.
¿Por qué no cuarenta puntos? Porque, según la encuesta internacional, una de cada cinco personas no sabe si hay norma en su empresa. Un documento de doce páginas no mejora eso. Un A4 sí, si se cuelga en la pared.
Dos casos en los que «no regular también es decidir» costó dinero
El chatbot de la web de una aerolínea se inventó una regla de descuento que no existía. La empresa se defendió alegando que el chatbot era «una entidad jurídica aparte que responde de sus propios actos». Un tribunal canadiense lo rechazó en febrero de 2024: la empresa responde de toda la información que aparece en su propia superficie, venga de una página estática o de un chatbot. La indemnización fijada fue de apenas 812 dólares canadienses, y justo por eso es instructiva. La lección no es el tamaño del daño, sino el principio: el resultado de la máquina es una declaración de la empresa. Esa es la justificación del punto cinco.
Una gran consultora dejó referencias inexistentes y una cita judicial inventada en un informe encargado por un cliente público en octubre de 2025, y devolvió parte de los honorarios. Si en una de las mayores auditoras del mundo no había una norma sobre revisar humanamente las referencias, en una empresa de veinte personas seguro que tampoco.
El punto siete de la plantilla: qué exige la ley sobre la formación
La obligación de alfabetización en IA se suavizó en julio de 2026. Según el texto actual, proveedores y responsables del despliegue deben adoptar medidas para favorecer el desarrollo de la alfabetización en IA, y la propia guía de la Comisión Europea afirma que el artículo 4 no obliga a medir el conocimiento de IA de la plantilla, ni impone temario, certificado ni examen obligatorios.
Al mismo tiempo la obligación existe y desde el 2 de agosto de 2026 la supervisan las autoridades nacionales de vigilancia del mercado: en la mayoría de los Estados miembros no es la autoridad de protección de datos, sino un ministerio o un organismo aparte, así que conviene comprobar quién es en tu país.
Lo que eso significa en la práctica: ten una hoja de asistencia. No un examen. El temario de las cuatro sesiones lo describe el plan de formación en IA del equipo, tema por tema.
De dónde copiar si quieres más
Cuatro fuentes públicas y citables, todas normas organizativas reales, no marketing de contenidos:
- Una asociación profesional británica de administraciones locales publica una plantilla descargable, segunda edición, actualizada en junio de 2026. Su ámbito se extiende expresamente a proveedores y subcontratas, algo que falta en casi todas las normas de pymes. (Una parte de la plantilla está reservada a personas asociadas.)
- La política de IA del Gobierno australiano, hoy en su segunda versión, en vigor desde diciembre de 2025. Obliga a designar a un directivo responsable, a publicar una declaración de transparencia y a llevar un registro de casos de uso.
- Normas universitarias: son buenos modelos porque se escribieron por obligación, en público y sin fin comercial. La norma de una universidad estadounidense dice de sí misma que es «un trabajo en curso, a medida que evolucionan la tecnología, el derecho y el uso de la comunidad», y esa frase es en sí misma un elemento aprovechable.
- El repositorio de prácticas de la Oficina Europea de IA sobre alfabetización en IA, con más de 40 iniciativas organizativas. Hay un límite importante que el propio repositorio advierte: copiar las prácticas que aparecen ahí no genera por sí solo una presunción de cumplimiento.
Lo que no debes usar como fuente: casi todas las páginas que salen al buscar «plantilla gratuita de política de IA» son marketing de contenidos, sin autor ni revisión jurídica, pegadas a un producto.
En qué orden hacerlo
Primero la medición, después la norma. Si la escribes antes, contendrá lo que tú te imaginas y no lo que se usa de verdad, y el primer punto de la lista (herramientas autorizadas) se queda sin poder rellenar. La medición dura un día y no hace falta comprar software: el mapa del shadow AI describe las cinco fuentes.
Después viene la norma, luego la configuración de los accesos y, al final, la formación.
Lo que conviene llevarse
Un A4 no es cumplimiento completo y tampoco impide que alguien incumpla, pero crea una posición jurídica en tres puntos: la protección del secreto empresarial, la relación laboral y la cuestión de la responsabilidad. Ninguno de los tres depende de que alguien cumpla.
De los doce puntos, los dos que más se olvidan son el anclaje laboral y la fecha de revisión. Sin el primero no hay consecuencia; sin la segunda, medio año después estás prohibiendo herramientas que ya no usa nadie.
Y el punto dos de la plantilla, la lista de categorías de datos prohibidas, solo queda bien si detrás está el fundamento jurídico: de eso trata el GDPR y la IA, con siete preguntas de decisión.