Política de uso de IA en la empresa: modelo y pautas

Tu equipo ya usa inteligencia artificial, lo sepas o no. Alguien en administración le pide a ChatGPT que redacte un recordatorio de pago, alguien en ventas pega una cotización en Gemini para que suene mejor y alguien en recursos humanos resume una carpeta personal con Copilot. Una política de uso de inteligencia artificial no está para frenar eso. Está para que se haga rápido y sin que los datos de tus clientes terminen donde no deben.

Esta guía explica qué tiene que decir esa política, por qué cada punto, en qué se apoya en la ley chilena y cómo se pone en marcha. El modelo está más abajo, listo para copiar en un documento de tu empresa y adaptar. Al final encontrarás también qué contestar cuando un cliente grande te envía su cuestionario de seguridad y pregunta, entre otras cosas, cómo usas la IA.

Por qué tu empresa necesita una política de uso de IA

Ninguna ley chilena pide una «política de IA» con ese nombre. Lo que sí piden las leyes de datos personales son tres cosas que una política resuelve de una sola vez.

La primera ya está vigente. El artículo 7 de la Ley 19.628, sobre protección de la vida privada, dice que las personas que trabajan en el tratamiento de datos personales están obligadas a guardar secreto sobre ellos, y que esa obligación no cesa por haber terminado sus actividades en ese campo. No es un deber solo del dueño de la empresa: alcanza a la secretaria que contesta correos y al practicante que arma planillas. Una política firmada por cada persona es la manera más simple de dejar constancia de que ese deber se conoce.

La segunda también está vigente. El artículo 11 de la misma ley dice que el responsable de los registros o bases donde se guardan datos personales debe cuidarlos con la debida diligencia, haciéndose responsable de los daños. Pegar la ficha de un cliente en un chat externo, sin regla ni control, es difícil de defender como debida diligencia.

La tercera llega con la Ley 21.719, que reescribe la 19.628 y crea la Agencia de Protección de Datos Personales. Entra en vigencia el 1 de diciembre de 2026, salvo que prospere el proyecto que la posterga un año y que hoy se discute en el Senado. Con ella, el responsable deberá aplicar medidas técnicas y organizativas apropiadas para la seguridad de los datos (artículo 14 quinquies), mantener un deber de secreto que subsiste después de terminada la relación con el titular (artículo 14 bis) y reportar a la Agencia las vulneraciones de seguridad que pongan en riesgo a las personas (artículo 14 sexies). A nuestro juicio, una regla escrita sobre qué se pega en una IA y qué no es justamente una medida organizativa en el sentido de esa ley.

Hay un cuarto punto que conviene conocer. La Ley 21.719 permite adoptar, de forma voluntaria, un modelo de prevención de infracciones (artículo 49): un programa de cumplimiento con un delegado de protección de datos, la identificación de los procesos de riesgo y protocolos para que las personas hagan su trabajo sin cometer infracciones. Una política de uso de IA no es ese modelo completo, pero es una de sus piezas más fáciles de armar.

El panorama completo de la ley frente a la IA lo contamos en inteligencia artificial y protección de datos.

Modelo de política de uso de IA, para copiar

Está pensado para un estudio jurídico o contable, una agencia, una corredora de propiedades o una empresa de menos de cincuenta personas. Cambia lo que va entre corchetes y borra lo que no aplique. Una regla que nadie va a cumplir es mejor no escribirla, porque le quita fuerza a las demás.

POLÍTICA DE USO DE INTELIGENCIA ARTIFICIAL
[Razón social] · versión [1] · [fecha]

1. HERRAMIENTAS AUTORIZADAS
Solo estas, con la cuenta de la empresa:
· [herramienta], aprobada el [fecha].
Ninguna cuenta personal para asuntos de trabajo.
Una herramienta nueva solo entra si la aprueba
[nombre y cargo], y se agrega a esta lista con
su fecha.

2. DATOS QUE NUNCA SE PEGAN
En ninguna herramienta de IA, esté o no en la lista:
· nombres, RUT, correos, celulares ni direcciones
  de clientes, proveedores o trabajadores;
· números de cuenta, datos de tarjetas ni
  cartolas bancarias;
· datos de salud, licencias médicas, afiliación
  sindical, religión u opiniones políticas,
  aunque no lleven nombre;
· contraseñas, claves del SII, ClaveÚnica ni
  claves de acceso a sistemas.

3. ANTES DE PEGAR
Todo texto con datos de personas se pega con esos
datos tapados, cambiados por etiquetas como
[PERSONA_1] o [CORREO_1]. Si no se pueden tapar,
el texto no se pega.

4. REVISIÓN HUMANA
Lo que escriba la IA lo lee completo y lo verifica
quien lo firme o lo envíe. La IA no decide sobre
contrataciones, despidos, sanciones, créditos ni
cobranzas.

5. SI ALGO SALE MAL
Responsable: [nombre y anexo].
Si un dato del punto 2 llega a una herramienta por
error, se le avisa el mismo día, antes de borrar nada.

6. REVISIÓN DE ESTA POLÍTICA
Cada [doce] meses y siempre que entre una herramienta
nueva, cambien las condiciones de una aprobada o
cambie la ley.

Leí esta política, la voy a cumplir y guardaré
secreto sobre los datos personales que trate en la
empresa, también después de dejar de trabajar en ella.
Nombre, fecha y firma: ___________________________

La última frase no es adorno. Repite casi con las mismas palabras lo que pide el artículo 7 de la Ley 19.628: un secreto que no cesa cuando la persona deja de trabajar con esos datos. Y la firma con fecha es lo que después vas a poder mostrar si te lo preguntan una aseguradora, un cliente o, desde que entre a funcionar, la Agencia.

Lo de abajo explica cada punto, para que sepas qué cambiar y qué no al adaptarlo.

Herramientas autorizadas: una lista corta y la cuenta de la empresa

El punto 1 es una lista cerrada: lo que no está, no se usa. Parece rígido, pero te ahorra discutir todas las semanas si la extensión que encontró alguien sirve o no. Se decide una vez, se anota con su fecha y se revisa cuando algo cambia. Antes de sumar una, lee sus condiciones: lo que cada proveedor hace con tus datos cambia bastante entre la cuenta personal y la de empresa.

La cuenta importa tanto como la herramienta. Con una cuenta personal, las condiciones las acepta el trabajador, el historial se va con él y, según el plan, lo que escribe puede usarse para entrenar el modelo. Con la cuenta de la empresa sabes qué condiciones aceptaste y quién tiene acceso. Antes de aprobar una herramienta, revisa qué hace con los datos en el plan que vas a contratar, y guarda la versión de las condiciones que aceptaste. Si estás evaluando Claude, por ejemplo, revisa qué hace Claude con tus datos según el plan.

Un detalle que pocos esperan: en los planes de empresa, el administrador del espacio de trabajo suele poder ver las conversaciones. No es malo, es control, pero tu equipo tiene que saberlo antes de empezar. El Código del Trabajo exige que toda medida de control se haga por medios idóneos, de forma general e impersonal, para respetar la dignidad del trabajador (artículo 154, inciso final). Si la herramienta guarda un registro que alguien de la empresa puede leer, ponlo por escrito en la política. En Copilot con cuenta de trabajo pasa algo parecido: la conservación la fija tu organización, como explicamos en qué hace Copilot con tus datos.

Otra cosa que conviene definir es qué pasa con los archivos. Subir un PDF o una planilla entera a un chat es pegar todo lo que tiene dentro, incluidas las propiedades del archivo y los comentarios. Si tu equipo trabaja así, agrega una línea al punto 1 o al 3, y cuéntales qué pasa cuando suben documentos a ChatGPT.

Qué datos no se pegan nunca: una lista que se entienda sin pensar

El punto 2 nombra datos concretos y no categorías abstractas, porque «información confidencial» se interpreta y «RUT» no. En un cierre de mes nadie se detiene a clasificar campos: mira la lista y sabe.

La lista sigue la definición del artículo 2 f) de la Ley 19.628: datos personales son los relativos a cualquier información concerniente a personas naturales, identificadas o identificables. Esa última palabra importa. Un RUT sin nombre al lado sigue señalando a una persona.

El tercer renglón del punto 2 va aparte porque son datos sensibles. El artículo 2 g) de la misma ley los define como los que se refieren a características físicas o morales de las personas o a hechos o circunstancias de su vida privada o intimidad, como los hábitos personales, el origen racial, las ideologías y opiniones políticas, las creencias o convicciones religiosas, los estados de salud físicos o psíquicos y la vida sexual. El artículo 10 dice que no pueden ser objeto de tratamiento salvo que la ley lo autorice o el titular consienta. Por eso nuestro modelo pide no pegarlos ni siquiera sin nombre: un diagnóstico con la edad, la comuna y la fecha de la consulta puede bastar para reconocer a alguien. Qué entra en esa categoría, con ejemplos, está en datos sensibles.

Ajusta la lista a tu rubro. En un estudio contable la encabezarían la clave del SII, las cartolas bancarias y los balances de los clientes. En un área de personas, las liquidaciones de sueldo, las licencias médicas y la afiliación sindical, como contamos en la guía de IA para recursos humanos. En una corredora de propiedades, el carnet de los codeudores y las liquidaciones de sueldo que se piden para arrendar.

Si quieres una lista más larga, con el porqué de cada dato, la armamos en qué datos no compartir con ChatGPT.

Tapar antes de pegar: la regla que hace posible todo lo demás

Una política que solo prohíbe invita a saltársela en silencio. El punto 3 da la salida: casi cualquier consulta funciona igual con los datos cambiados por etiquetas. Para redactar un recordatorio de pago, la IA necesita el mes de la factura y el tono, no el nombre del cliente. Es lo que la ley llama seudonimizar, y lo explicamos en anonimización y disociación de datos.

Hacerlo a mano sirve para un correo, pero no para veinte al día. Para eso hicimos Nonimo, una app para Windows y Mac que trabaja en tu computador antes de que el texto llegue al chat. Cambia por etiquetas los nombres, los correos, los teléfonos, las direcciones y el RUT de tus clientes. Seleccionas el texto, presionas una tecla y pegas en ChatGPT, Claude, Gemini o Copilot. Cuando copias la respuesta y presionas la misma tecla, los datos vuelven a su lugar. A Nonimo no le llega tu texto. Y si en tu oficina usan Gemini, revisa antes qué hace Google con esos chats.

Así queda un pedido típico de administración. Antes:

Cliente: Rodrigo Valdebenito Araos
Correo: cliente@example.com
Celular: +56 9 0000 0000

Redacta un recordatorio cordial: la factura de septiembre venció el día 10 y sigue pendiente. Ofrece pagarla en dos cuotas.

Y lo que le llega al chat después de la tecla, tal cual sale:

Cliente: [PERSONA_1]
Correo: [CORREO_1]
Celular: [TELEFONO_1]

Redacta un recordatorio cordial: la factura de septiembre venció el día 10 y sigue pendiente. Ofrece pagarla en dos cuotas.

Antes de pegar ves qué se tapó: cualquier dato lo puedes devolver con un clic si hacía falta, y lo que quieras tapar además, como un número de cuenta corriente, lo tapas tú. Por eso el punto 2 del modelo lo nombra igual.

Con esto, el punto 3 deja de depender de la memoria de cada persona. Y si lo que hay que procesar es un archivo completo, nuestras herramientas en línea tapan los datos de un PDF, un Word o un Excel y te devuelven el documento listo.

Revisión humana: quien firma, revisa

El punto 4 tiene dos partes. La primera es de calidad: la IA se equivoca con aplomo, inventa artículos de leyes, redondea cifras y confunde fechas. Quien firma un documento responde por él, lo haya escrito una persona o un chat. La regla es simple: lo que sale con tu firma o con el logo de la empresa lo leyó entero alguien de la empresa.

La segunda es de trato a las personas. Una decisión sobre un despido, una sanción o un crédito afecta a alguien con nombre y apellido. El artículo 2 del Código del Trabajo considera actos de discriminación las distinciones basadas en motivos como el sexo, la edad, la nacionalidad, la religión, la sindicación o la apariencia personal, entre muchos otros, que alteren la igualdad de oportunidades o de trato en el empleo. Un sistema que ordena currículums o evalúa desempeño puede arrastrar sesgos que nadie ve si nadie revisa. Y la Ley 21.719, cuando entre en vigencia, da a las personas el derecho a no ser objeto de decisiones basadas solo en el tratamiento automatizado de sus datos que les afecten significativamente, con derecho a pedir intervención humana (artículo 8 bis). Por eso el modelo deja esas decisiones en manos de una persona: la IA puede ordenar información y proponer un borrador, pero no decide.

Si un dato sale por error

El punto 5 pide un nombre y un anexo, no un comité. En una empresa chica, la primera llamada tiene que ir a alguien que esté en la oficina ese día.

«Antes de borrar nada» está ahí a propósito. La reacción natural es borrar la conversación y hacer como si nada. Pero primero hay que anotar qué salió, en qué herramienta, a qué hora y a quién afecta, porque eso es lo que vas a necesitar si después tienes que explicarlo a un cliente o a tu aseguradora. Recién después se borra, sabiendo que borrar el historial de un chat no siempre lo saca de inmediato de los servidores del proveedor.

Ese registro tiene además un destino legal. El artículo 14 sexies de la Ley 21.719 pide al responsable registrar las vulneraciones de seguridad, con su naturaleza, efectos, categorías de datos y número aproximado de personas afectadas, y reportarlas a la Agencia cuando exista un riesgo razonable para los titulares. Qué hacer paso a paso lo explicamos en qué hacer ante una filtración de datos personales.

La política y el Código del Trabajo

Acá hay un punto que conviene tener claro, porque es lo primero que va a preguntar quien lleva el área de personas: ¿puedo imponer esta política?

En Chile, la forma natural de hacerlo es el reglamento interno de orden, higiene y seguridad, obligatorio para las empresas con diez o más trabajadores permanentes (artículo 153 del Código del Trabajo). El artículo 154 dice que ese reglamento debe contener, entre otras cosas, las obligaciones y prohibiciones a que están sujetos los trabajadores (nº 5) y las sanciones por infringirlas (nº 10). A nuestro juicio, la regla de qué se pega en una IA encaja ahí sin forzar nada. Si tu empresa es más chica y no tiene reglamento, el camino es un anexo al contrato de trabajo firmado por cada persona.

Ojo con los plazos: el artículo 156 exige poner el reglamento y sus modificaciones en conocimiento de los trabajadores treinta días antes de que empiecen a regir, fijarlo en dos sitios visibles y entregar un ejemplar a cada trabajador. Si incorporas la política al reglamento, cuenta ese mes en tu calendario.

Las sanciones tienen límites. Las que puede fijar el reglamento interno solo pueden consistir en amonestación verbal o escrita y multa de hasta el veinticinco por ciento de la remuneración diaria (artículo 154 nº 10). Un caso grave, por ejemplo subir a sabiendas la base de clientes a una herramienta no autorizada, podría encuadrar en el incumplimiento grave de las obligaciones del contrato (artículo 160 nº 7), pero esa causal se discute caso a caso. Para que una sanción se sostenga, ayuda mucho que la regla estuviera escrita, firmada y explicada antes. Y ante una sanción concreta, consulta a tu asesor laboral: esta guía no reemplaza ese consejo.

Una última cosa sobre el control. El artículo 5 del Código del Trabajo pone como límite a las facultades del empleador el respeto a las garantías constitucionales de los trabajadores, en especial su intimidad y vida privada. Y el artículo 154 ter obliga al empleador a mantener reserva de toda la información y datos privados del trabajador a que tenga acceso. Si vas a revisar el uso que cada persona hace de la herramienta, dilo en la política, hazlo con reglas generales y no persigas a nadie en particular. Lo que no conviene es controlar a escondidas y descubrir después que la prueba no sirve.

Qué responder al cuestionario de seguridad de un cliente

Si tu empresa presta servicios a una empresa grande, un banco o una compañía de seguros, tarde o temprano te llega un cuestionario de seguridad de la información. Desde hace un tiempo casi todos traen preguntas sobre inteligencia artificial. En Chile, además, la Ley Marco de Ciberseguridad (Ley 21.663) obliga a las instituciones que presten servicios esenciales a reportar incidentes al CSIRT Nacional con una alerta temprana en un máximo de tres horas (artículo 9), y esas instituciones revisan cada vez más a sus proveedores. No son preguntas de examen: lo que quieren saber es si los datos que te pasan pueden terminar en un chat sin control.

Las preguntas cambian de un cuestionario a otro, pero suelen girar alrededor de estas, y estas son las respuestas que puedes dar si aplicaste la política de esta guía. Adáptalas a lo que de verdad haces.

¿Su organización tiene una política sobre el uso de herramientas de IA generativa? Sí. Política de uso de inteligencia artificial, versión [1] del [fecha], firmada por todo el personal que trata datos de clientes [e incorporada al reglamento interno]. Podemos enviarla junto con este cuestionario.

¿Qué herramientas de IA están autorizadas y con qué tipo de cuenta? Solo [herramienta], con cuenta de empresa administrada por [cargo]. Las cuentas personales están prohibidas para tareas de trabajo.

¿Se ingresan datos personales o confidenciales del cliente en herramientas de IA? No de forma identificable. Los nombres, RUT, correos, teléfonos y direcciones se tapan en el computador de cada persona antes de pegar, con una herramienta y, donde la herramienta no llega, a mano, y se reemplazan por etiquetas. Los datos sensibles y los bancarios no se pegan.

¿Cómo se asegura que eso se cumpla? Con una herramienta instalada en los equipos de quienes trabajan con datos de clientes, que tapa esos datos en el momento de pegar, y con la firma de la política por cada persona. [Si es el caso: la extensión del navegador la instala el área de TI por política.]

¿Quién revisa los resultados generados por IA? La persona que firma o envía el documento lo lee completo y lo verifica. La IA no toma decisiones sobre personas.

¿Tienen un procedimiento ante incidentes que involucren IA? Sí. Responsable designado [cargo], aviso interno el mismo día, registro de qué dato salió, en qué herramienta y a quién afecta, y comunicación al cliente en el plazo que fije nuestro contrato con él.

¿Los datos salen de Chile? Los proveedores de IA aprobados procesan la información fuera de Chile. Por eso los datos personales del cliente no se pegan en forma identificable: lo que llega al proveedor es el texto con etiquetas.

¿Con qué frecuencia se revisa la política? Una vez al año y cada vez que se incorpora una herramienta, cambian las condiciones de una aprobada o cambia la ley. Última revisión: [fecha].

Dos consejos que valen para todo el cuestionario. El primero: no contestes «sí» a algo que no puedes mostrar. Si te piden la política y no existe, el problema ya no es la IA sino la confianza. Mejor un «todavía no, estará lista el [fecha]» que una afirmación que se cae al primer pedido de respaldo. El segundo: guarda la versión que enviaste. Si el año que viene te llega el mismo cuestionario, vas a querer contestar igual o explicar qué cambió.

Las solicitudes de seguro cibernético hacen preguntas parecidas, y lo que respondas ahí puede pesar el día que tengas un siniestro. Lo contamos en el seguro de ciberseguridad cuando la fuga es por IA.

Cómo ponerla en marcha en un mes

1. Elige las herramientas. Una o dos, con cuenta de empresa. Lee sus condiciones de privacidad antes de aprobarlas y anota la fecha en que lo hiciste.
2. Ajusta la lista del punto 2 a los documentos de tu rubro. Un corredor de seguros, por ejemplo, va a sumar la póliza y la denuncia de siniestro.
3. Instala lo necesario para tapar en los computadores de quienes trabajan con datos de clientes, para que el punto 3 se cumpla sin esfuerzo. Si son muchos, el área de TI puede instalar la extensión del navegador por política.
4. Decide dónde vive la política: en el reglamento interno, con sus treinta días de aviso, o en un anexo firmado si tu empresa no tiene reglamento.
5. Explícala en una reunión corta, con ejemplos reales de tu oficina y los datos ya tapados. Diez minutos con un caso concreto valen más que el documento entero leído en voz alta.
6. Junta las firmas y guárdalas con la versión y la fecha. Esa hoja es el respaldo que te piden en el cuestionario de un cliente o en la solicitud de un seguro.

Revisa también tu política de privacidad, que es la otra mitad: la política de uso dice lo que pasa dentro de la empresa y la de privacidad le cuenta al cliente qué haces con sus datos.

Si tu empresa presta servicios profesionales, la política tiene una pieza gemela hacia fuera: la cláusula de IA en el contrato de honorarios, que le cuenta al cliente cómo trabajas con la IA.

Si eres abogado, la política es también la forma de cuidar el secreto profesional al usar inteligencia artificial.

Cómo se aplica en el día a día de un estudio lo contamos en IA para estudios jurídicos.

Si eres contador, el mismo criterio sirve para la oficina contable, con la clave del SII y las cartolas al tope de la lista. Y si trabajas en una municipalidad, el modelo te sirve de base, pero tu marco suma las reglas propias del sector público, como contamos en IA para municipalidades.

Lo que la política no hace sola

Una política es una hoja. Lo que la vuelve real es que la gente sepa cumplirla sin pensar. Por eso el punto 3 es el corazón del modelo: si tapar los datos cuesta una tecla, la regla se cumple; si cuesta cinco minutos de edición a mano, la regla se cumple el primer día y después no.

Tampoco reemplaza el criterio. Habrá textos que, aun sin nombres, cuentan demasiado: un conflicto único en una comuna chica, una cifra que salió en la prensa, una combinación de edad, cargo y fecha que basta para saber de quién se habla. Ahí la pregunta que tiene que hacerse cada persona es simple: ¿alguien que conozca el caso lo reconocería leyendo esto? Si la respuesta es sí, se cambian también esos detalles.

Y no reemplaza la revisión. Cada año, o cuando una herramienta cambie sus condiciones, siéntate media hora con la política, revisa qué se cumplió y qué no, y corrige lo que haga falta. Una política que se revisa es una política que se usa. A nosotros no nos llega tu texto; más en nuestra página de seguridad.

Lo de arriba resume la ley chilena y no reemplaza la opinión de un abogado sobre tu caso concreto.