Política de adopción de herramientas de IA

Cómo usar este documento

• Para qué sirve. Es una política base que regula cómo se solicitan, clasifican, evalúan, aprueban, configuran, revisan y retiran las herramientas con IA, incluidas las funciones de IA que aparecen dentro de software ya contratado. Su objetivo práctico es que toda herramienta de IA que se use con información de la organización haya pasado por un filtro proporcional a su riesgo y que la IA no autorizada se detecte y se regularice.
• Quién debe ser su dueño. El responsable de IA, con seguridad de la información. Indique el área en [ÁREA RESPONSABLE] y la persona en [RESPONSABLE].
• Elija los módulos. Use la tabla de «Selección de módulos». El núcleo cubre las herramientas compradas (asistentes y funciones de IA en software contratado). Añada los módulos de integración por API, modelos alojados, entrenamiento o agentes solo si los usa.
• Decisiones previas. Antes de adoptarla, decida si habrá un periodo de regularización para la IA no autorizada ya en uso (sección 11), qué controles técnicos aplicará para detectarla y con qué frecuencia se reevalúa cada herramienta (sección 13). Los carriles de aprobación, los plazos y los umbrales de escalado vienen del «Modelo operativo de gobierno de IA»; no los redefina aquí.
• Campos a completar. Sustituya los textos entre corchetes. Conserve las cláusulas [OPCIONAL] solo si aplican.
• Relación con otros documentos. Esta política define el proceso de adopción. La «Política de uso responsable de IA (incluida la IA generativa)» define qué puede hacer el personal con las herramientas aprobadas; la «Política de gestión de proveedores de IA» define los requisitos contractuales y de seguimiento del proveedor; la «Guía de selección y evaluación de herramientas de IA» explica cómo comparar opciones.
• Variantes por país. No tiene variantes por país. Use «Referencias normativas relacionadas» para identificar normas que añadan requisitos a la evaluación, por ejemplo en protección de datos o en sectores regulados.
• Revisión. Pida a legal, al delegado de protección de datos (o el rol equivalente del país) y a seguridad de la información que validen las evaluaciones mínimas de cada nivel.
• Aprobación y publicación. Haga que la apruebe la dirección o el comité de IA, registre la aprobación en «Control de versiones», publíquela en la intranet junto con el formulario de solicitud y comuníquela a todo el personal, en especial a quienes compran o administran software.

Selección de módulos

Perfil o nivel	Qué conservar
P1: usa IA dentro de software que compra (asistentes, funciones de IA en SaaS)	Núcleo: secciones 1 a 11 y 13 a 17
P2: integra modelos por API o RAG	Núcleo y sección 12.1 [MÓDULO P2]
P3: aloja modelos en infraestructura propia o alquilada, incluidos modelos de pesos abiertos	Núcleo y sección 12.2 [MÓDULO P3]
P4: entrena o ajusta modelos	Núcleo y sección 12.3 [MÓDULO P4]
P5: usa agentes que actúan en sistemas	Núcleo y sección 12.4 [MÓDULO P5]
Nivel Básico (menos de unas 50 personas, solo P1)	Núcleo y los párrafos marcados [NIVEL BÁSICO]; omita la sección 12
Nivel Reforzado (riesgo alto, sector regulado o P3 a P5 en producción)	Núcleo, módulos que apliquen y los párrafos marcados [NIVEL REFORZADO]

Los perfiles se acumulan: una organización puede ser P1, P2 y P5 a la vez. Borre los módulos y los párrafos de nivel que no apliquen y quite las marcas de los que conserve.

Política de adopción de herramientas de IA

Campo	Valor
Organización	[RAZÓN SOCIAL]
Área propietaria	[ÁREA RESPONSABLE]
Responsable de la política	[RESPONSABLE]
Perfiles y nivel adoptados	[COMPLETAR: por ejemplo, P1 y P2, nivel Estándar]
Aprobada por	[APROBADO POR]
Fecha de entrada en vigor	[FECHA]
Frecuencia de revisión	[FRECUENCIA DE REVISIÓN]
Canal de solicitudes	[EMAIL DE GOBERNANZA DE IA]

1. Propósito

1.1 El mercado ofrece constantemente herramientas que incorporan IA y los proveedores añaden funciones de IA a productos que la organización ya usa. Estas herramientas pueden aportar mucho valor, pero también riesgos poco visibles: fuga de información confidencial, uso de nuestros datos para entrenar modelos de terceros, resultados erróneos o sesgados, dependencia de un proveedor y obligaciones legales nuevas.

1.2 Esta política establece un proceso único, ágil y proporcional al riesgo para incorporar herramientas de IA en [NOMBRE DE LA ORGANIZACIÓN]. Sus objetivos son:

a) que cada herramienta de IA usada con información de la organización esté autorizada, configurada y registrada en el «Inventario de sistemas de IA»;
b) que el nivel de revisión dependa del riesgo, de modo que los casos sencillos se aprueben rápido y los de alto impacto reciban un análisis completo;
c) reducir el uso de IA no autorizada ofreciendo una vía clara y rápida para pedir herramientas;
d) conservar evidencia de por qué se aprobó, se aprobó con condiciones o se rechazó cada herramienta;
e) mantener el uso de herramientas de IA dentro del apetito de riesgo (ver «Declaración de apetito de riesgo de IA»).

2. Alcance

2.1 Esta política aplica a cualquier herramienta que contenga o dependa de IA para su función principal o para funciones relevantes, entre otras:

a) servicios en la nube y aplicaciones de IA generativa (asistentes de chat, generadores de imagen, audio o video, asistentes de programación, transcriptores);
b) software con IA integrada para un área concreta (ventas, marketing, recursos humanos, atención al cliente, finanzas, seguridad);
c) funciones de IA que se activan dentro de software ya contratado, como suites de oficina, CRM, plataformas de videollamada o de gestión documental;
d) API y modelos de terceros que se integran en sistemas propios;
e) modelos de código abierto o de pesos abiertos que se ejecutan en infraestructura propia o alquilada;
f) extensiones de navegador, complementos y aplicaciones móviles con IA;
g) agentes de IA capaces de ejecutar acciones en otros sistemas;
h) dispositivos y hardware con IA integrada.

2.2 Aplica tanto a herramientas de pago como gratuitas, a pruebas y pilotos, y a herramientas que contrata un área sin intervención de TI.

2.3 Quedan fuera, salvo que [COMITÉ DE IA] decida otra cosa:

a) funciones de IA que operan solo en el dispositivo del usuario y no envían información fuera de él, como el corrector ortográfico del sistema operativo;
b) [COMPLETAR] (otras exclusiones con criterios objetivos aprobadas por el comité de IA).

2.4 Esta política aplica a todo el personal, a los contratistas y a cualquier tercero que use herramientas con información o recursos de [NOMBRE DE LA ORGANIZACIÓN].