Política de uso de IA en la empresa: modelo y pautas

Una política de uso de IA en la empresa es un documento corto que le dice a tu equipo qué herramientas de inteligencia artificial puede usar, con qué cuenta, para qué tareas y, sobre todo, qué datos no se pegan nunca. No hace falta que sea larga: la mejor es la que cabe en una o dos páginas y todo el mundo leyó. Abajo te dejamos un modelo para copiar y adaptar, y las pautas para que encaje con lo que ya tienes en Colombia: tu política de tratamiento de datos personales.

Si tu empresa trata datos de clientes, pacientes, proveedores o empleados, y casi todas lo hacen, la IA ya está entrando a la oficina por algún lado. La pregunta no es si se usa, sino si se usa con reglas.

Por qué tu empresa necesita una política de uso de IA

En la mayoría de las empresas la IA llegó sin que nadie la invitara. Una persona de cartera empezó a pedirle a ChatGPT que redactara los correos de cobro, alguien de recursos humanos le pasó las hojas de vida para que hiciera un resumen, el contador le preguntó por una norma de la DIAN pegando el correo del cliente entero. Nadie hizo nada malo con intención. Pero en cada caso salieron de la empresa datos que alguien te confió para otra cosa.

Una política de uso responsable de IA no busca frenar eso, sino ordenarlo:

• Le da a la gente una respuesta clara. Sin política, cada uno decide lo que le parece. Con política, la duda «¿puedo pegar esto?» tiene respuesta escrita.
• Protege a la empresa frente a la SIC. Si un día hay un problema, poder mostrar una política firmada, una herramienta para tapar datos y una capacitación hecha es muy distinto de no tener nada. Y lo mismo ante la aseguradora, si la empresa tiene un seguro cibernético.
• Responde a tus clientes. Cada vez más empresas grandes, bancos y entidades públicas preguntan a sus proveedores en sus cuestionarios de seguridad si usan IA y cómo protegen los datos. Con la política escrita, la respuesta ya está.

Qué dice la ley colombiana

No hay en Colombia una ley que obligue a tener una «política de uso de IA» con ese nombre. Lo que sí hay son deberes generales que se aplican de lleno cuando alguien pega datos personales en una IA.

La Ley 1581 de 2012 es la base. Su principio de seguridad (artículo 4, literal g) exige manejar los datos con «las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros». Su principio de confidencialidad (literal h) obliga a todas las personas que intervienen en el tratamiento a «garantizar la reserva de la información», incluso después de terminar su relación con esas labores. Y su artículo 17 enumera los deberes del responsable, entre ellos el literal k: «adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley».

La política de uso de IA es, en la práctica, un capítulo de ese manual interno. Es la medida «humana y administrativa» más barata que existe: una regla escrita, explicada y firmada.

Sobre la IA en concreto, la Superintendencia de Industria y Comercio publicó la Circular Externa 002 de 2024, con lineamientos sobre el tratamiento de datos personales en sistemas de inteligencia artificial. Va dirigida a los sujetos vigilados por la SIC en su rol de autoridad de protección de datos y busca dar certidumbre sobre el tratamiento de datos «para desarrollar, desplegar o usar sistemas de Inteligencia artificial». Usar ChatGPT en la oficina es usar un sistema de IA. Lo explicamos con más detalle en inteligencia artificial y protección de datos en Colombia.

Esto resume las normas y no reemplaza la asesoría de un abogado.

Lo que pide la SIC cuando la IA trata datos personales

La Circular Externa 002 de 2024 no está pensada sólo para quien desarrolla sistemas de IA: también para quien los usa. Varias de sus pautas se traducen directamente en puntos de una política interna:

• Ponderar antes de usar. La circular pide revisar si el tratamiento es idóneo, necesario, razonable y proporcional. Traducido a la oficina: ¿la IA necesita ese dato para contestar? Si no, se tapa.
• Ante la duda, abstenerse o tomar precauciones. Cuando no hay certeza sobre el daño que puede causar un tratamiento, la circular pide abstenerse de hacerlo o adoptar medidas precautorias. Tapar los datos antes de pegar es exactamente una medida precautoria.
• Estudio de impacto cuando el riesgo es alto. Si vas a usar la IA de forma sistemática con datos sensibles, por ejemplo historias clínicas o procesos disciplinarios, la circular pide efectuar y documentar un estudio de impacto de privacidad. Para el uso diario en una oficina, con los datos tapados, normalmente basta la política.
• Medidas que se puedan demostrar. La circular habla de medidas de seguridad tecnológicas, humanas, administrativas, físicas y contractuales, auditables por las autoridades. Una política firmada, una herramienta para tapar y un registro de capacitaciones son justo eso: medidas que se pueden mostrar.
• Lo que está en internet no es de libre uso. La circular recuerda que un dato accesible al público no es, por eso, un dato público. Copiar perfiles de redes sociales o directorios a una IA para armar una base de prospectos también necesita autorización.

La política de uso de IA y la política de tratamiento de datos

En Colombia casi todas las empresas ya tienen publicada su política de tratamiento de datos personales. Es obligatoria: el Decreto 1074 de 2015, que compila el antiguo Decreto 1377 de 2013, dice en su artículo 2.2.2.25.3.1 que «los responsables del tratamiento deberán desarrollar sus políticas para el tratamiento de los datos personales». Ahí está lo que les prometiste a tus clientes: qué datos recoges, para qué, quién los trata y cómo pueden ejercer sus derechos.

La política de uso de IA no reemplaza esa política: la cumple. Son dos documentos distintos que tienen que decir lo mismo:

	política de tratamiento de datos	política de uso de IA
Para quién es	los titulares: clientes, empleados, proveedores	tu equipo
Qué dice	qué datos tratas, para qué y con qué derechos	cómo se usa la IA sin salirse de lo anterior
Dónde vive	publicada en tu página web y en el RNBD si aplica	en el manual interno, firmada por cada persona
Quién la exige	la Ley 1581 y el Decreto 1074 de 2015	nadie con ese nombre; la piden tus deberes de seguridad y tus clientes

La regla para que no se contradigan es sencilla: si tu política de tratamiento dice que los datos se usan «para la ejecución del contrato», pegarlos con nombre en un chat para otra finalidad no encaja. Lo que sí encaja es pegar el texto con los datos tapados, porque entonces a la IA no le llega dato personal.

Si en algún momento decides que un proveedor de IA trate datos personales por cuenta tuya, por ejemplo con una cuenta empresarial y un contrato, revisa con tu abogado si debes actualizar la política de tratamiento para decirlo. Sobre la ley y sus derechos, la guía completa es habeas data y Ley 1581 de 2012.

Modelo de política de uso de IA (para copiar)

Este modelo está pensado para una empresa pequeña o mediana: una firma de abogados, una oficina de contadores públicos, una IPS, una inmobiliaria o un área administrativa. Cambia lo que va entre corchetes y borra lo que no aplique. Es un punto de partida, no un texto legal cerrado: que lo revise quien te asesora.

---

POLÍTICA DE USO DE INTELIGENCIA ARTIFICIAL [Nombre de la empresa] · Versión [1.0] · Vigente desde [fecha] · Responsable: [cargo]

1. Para qué sirve esta política. Para que todas las personas que trabajan con [empresa] usen herramientas de inteligencia artificial sin poner en riesgo los datos de clientes, empleados y proveedores, y sin incumplir nuestra política de tratamiento de datos personales.

2. A quién aplica. A empleados, contratistas, practicantes y cualquier persona con acceso a información de [empresa], desde cualquier dispositivo, incluido el celular personal, cuando trabajen con esa información.

3. Herramientas permitidas. Se pueden usar: [ChatGPT / Claude / Gemini / Copilot], con la cuenta [corporativa / indicada por la empresa]. No se usan cuentas personales para tareas de trabajo. Cualquier otra herramienta de IA, extensión de navegador o aplicación se consulta antes con [responsable].

4. Datos que nunca se pegan en una IA.

• Contraseñas, claves, códigos de verificación y claves de acceso a la DIAN, bancos o sistemas internos.
• Datos completos de tarjetas y números de cuenta bancaria.
• Fotos o copias escaneadas de cédulas, pasaportes y licencias de conducción.
• Historias clínicas, incapacidades y diagnósticos con datos que identifiquen a la persona.
• Información que un cliente nos entregó con reserva expresa o bajo secreto profesional, salvo que se haya tapado lo que identifica.

5. Datos que se tapan antes de pegar. Nombres, números de cédula y su fecha de expedición, NIT, cédula de extranjería, celulares, correos, direcciones y placas. Se usa [la app de Nonimo / la herramienta indicada], que los cambia por etiquetas como [PERSONA_1] antes de que el texto salga del computador. Lo que quede a la vista, como la fecha de expedición, se tapa a mano. Después se relee el texto buscando lo que identifique a alguien sin nombrarlo: un cargo único, una empresa pequeña, un municipio y una fecha.

6. Revisión de lo que escribe la IA. Todo lo que produzca la IA lo revisa una persona antes de enviarlo a un cliente, presentarlo ante una autoridad o incorporarlo a un documento. La IA puede equivocarse en cifras, fechas, normas y nombres. La responsabilidad del resultado es de quien lo firma.

7. Datos sensibles y de menores. No se pegan datos de salud, vida sexual, origen étnico, opiniones políticas, creencias religiosas, afiliación sindical ni datos biométricos con nada que identifique a la persona. Tampoco datos de niños, niñas y adolescentes.

8. Si algo sale mal. Quien pegue por error datos que no debía avisa de inmediato a [responsable] por [canal]. Avisar rápido no se sanciona: lo que se busca es poder reaccionar a tiempo. [Responsable] evalúa si es un incidente de seguridad que deba reportarse a la Superintendencia de Industria y Comercio.

9. Capacitación. Cada persona recibe una explicación de esta política al ingresar y una actualización al menos una vez al año.

10. Revisión de la política. [Responsable] revisa esta política cada [seis / doce] meses o cuando cambien las herramientas o la ley.

Leí y entiendo esta política. Nombre: ______ · Cargo: ______ · Fecha: ______ · Firma: ______

---

Pautas para adaptar el modelo

Herramientas y cuentas: el punto que más falla

La diferencia más grande en privacidad no está entre ChatGPT, Claude, Gemini o Copilot, sino entre la cuenta personal y la empresarial. Las cuentas para empresas suelen traer, por contrato, compromisos como no entrenar con lo que escribes y que el administrador controle la conservación. Las personales dependen de cómo cada uno las configure.

Por eso el punto 3 del modelo es el más importante: si la empresa no dice qué cuenta usar, cada uno usa la suya. Qué guarda cada asistente y qué cambia con la cuenta de empresa lo contamos por separado, empezando por ¿es seguro ChatGPT?.

Si tu empresa trabaja con Microsoft 365, ojo con Copilot: llega integrado en Word, Excel y Outlook, y mucha gente lo usa sin saber con qué cuenta. Lo explicamos en Microsoft Copilot y tus datos.

La lista de datos: concreta y colombiana

Una política que dice «no compartir información confidencial» no le sirve a nadie, porque cada persona entiende algo distinto. La que funciona nombra los datos como aparecen en los papeles de tu oficina: la cédula, la fecha de expedición, el NIT, el desprendible de nómina, la historia clínica, la cuenta del arrendatario. Si tu sector tiene un dato propio, agrégalo: el número de radicado de un proceso, la placa en una reclamación de seguro, la matrícula inmobiliaria.

La lista completa, con lo que conviene tapar y lo que no hace falta, está en qué datos no compartir con ChatGPT.

Tapar antes de pegar: que sea fácil

Una regla que exige quitar datos a mano, uno por uno, se cumple el primer día y se abandona el tercero. Por eso el modelo dice «se usa una herramienta». Con la app de Nonimo, la persona copia el texto, oprime una tecla y lo que pega en la IA ya va con etiquetas en lugar de los nombres, la cédula, el NIT, el celular o el correo. Cuando llega la respuesta, la app le devuelve los datos reales en su computador.

Así se ve, con datos de ejemplo, una solicitud de un empleado antes y después de tapar:

ANTES
Trabajadora: Silvia Ardila Prada
Correo: nombre@example.com
Motivo: solicitud de vacaciones del 2 al 16 de diciembre.

DESPUÉS
Trabajadora: [PERSONA_1]
Correo: [CORREO_1]
Motivo: solicitud de vacaciones del 2 al 16 de diciembre.

Datos de ejemplo: el nombre es inventado y example.com es un dominio reservado para ejemplos.

La IA puede redactar la respuesta, calcular los días hábiles o revisar el tono sin saber quién es la trabajadora.

Lo que no se puede tapar: dilo claro

Hay documentos que no tiene sentido pasar por una IA ni tapados, porque lo que importa es justo el dato: la foto de una cédula, una prueba médica, una firma. El punto 4 del modelo los saca de la ecuación. Si alguien tiene que enviar la copia de una cédula a otro sitio, lo que conviene es ponerle una marca de agua que diga para quién es, y lo contamos en marca de agua en la cédula.

La revisión humana: no es un trámite

El punto 6 parece obvio y es el que más evita problemas. Una IA puede citar un artículo que no existe, cambiar una fecha o mezclar a dos personas. En una firma de abogados eso puede terminar en un memorial con una sentencia inventada; en contabilidad, en una cifra mal calculada. La política debe decir que la responsabilidad es de quien firma, no de la herramienta.

El aviso de incidentes: sin miedo

Si en tu empresa la gente teme que la regañen, nadie va a avisar de que pegó una base de clientes en un chat, y te vas a enterar tarde. Por eso el punto 8 dice expresamente que avisar rápido no se sanciona. La Ley 1581 obliga al responsable a informar a la SIC cuando se presenten violaciones a los códigos de seguridad y existan riesgos para la información de los titulares (artículo 17, literal n): para cumplirlo, primero tienes que enterarte. Qué hacer después lo contamos en incidente de seguridad con datos personales.

Una política para cada sector

El modelo sirve para cualquier empresa, pero cada sector tiene su dato delicado y conviene nombrarlo:

• Firmas de abogados: todo lo que cubre el secreto profesional. La Constitución dice en su artículo 74 que «el secreto profesional es inviolable», y el Código Disciplinario del Abogado (Ley 1123 de 2007, artículo 28, numeral 9) obliga a guardarlo «incluso después de cesar la prestación de sus servicios». En la política, lo que llega con reserva del cliente no se pega sin tapar. Más en IA para firmas de abogados.
• Contadores públicos: el RUT, el NIT, las declaraciones y las claves de la DIAN de los clientes. La política debe prohibir expresamente pegar claves y pedir que los estados financieros se pasen con los terceros tapados.
• IPS y consultorios: la historia clínica, que según la Resolución 1995 de 1999 es «un documento privado, obligatorio y sometido a reserva». Ningún diagnóstico va con el nombre o el número de documento del paciente.
• Recursos humanos: las hojas de vida, los desprendibles de nómina, las incapacidades y los procesos disciplinarios. Lo desarrollamos en IA para recursos humanos.
• Inmobiliarias: las cédulas, los certificados laborales y los extractos de arrendatarios y codeudores que se reciben para un estudio de arriendo.

Cómo implantarla sin que se quede en un cajón

Escribir la política es la parte fácil. Para que se cumpla:

1. Preséntala en una reunión corta, con ejemplos de tu propia oficina: «este correo sí, con los nombres tapados; esta foto de la cédula, no».
2. Dales la herramienta el mismo día. Si la política pide tapar y no hay con qué, no se va a cumplir.
3. Que cada persona la firme. No es un trámite: es la prueba de que la conoce.
4. Ponla donde se vea: en la intranet, en la carpeta compartida, junto a la política de tratamiento de datos.
5. Revisa a los tres meses qué dudas aparecieron y ajusta la lista de datos.
6. Actualízala cuando cambie algo: una herramienta nueva, una cuenta empresarial, una circular de la SIC.

Errores comunes

• Copiar una política de otra empresa sin adaptarla. Si la lista de datos habla de documentos que tu oficina no maneja, nadie la toma en serio.
• Prohibir todo. La gente usa la IA igual, desde el celular y con su cuenta personal, donde la empresa ya no ve nada.
• Olvidar a los contratistas. En muchas empresas colombianas buena parte del trabajo lo hacen contratistas por prestación de servicios. Si manejan datos de la empresa, la política también es para ellos.
• No decir con qué cuenta. Es la diferencia más grande en privacidad, y la que más se olvida.
• Dejarla sin dueño. Si nadie es responsable de revisarla, en un año habla de herramientas que ya no se usan.

Lo que responde al cuestionario de un cliente

Cada vez más clientes grandes preguntan a sus proveedores, en sus formularios de seguridad o de vinculación, si usan inteligencia artificial y cómo protegen los datos. Con la política escrita, la respuesta es corta y concreta:

Usamos [herramientas] con cuentas [corporativas]. Nuestra política de uso de IA, firmada por todo el personal, prohíbe pegar datos personales sin tapar. Antes de enviar cualquier texto a una IA, los nombres, documentos de identidad, celulares, correos y direcciones se cambian por etiquetas en el computador del usuario, de modo que no salen de nuestra empresa. Todo lo que produce la IA lo revisa una persona.

Si tu empresa usa la app de Nonimo, lo que pasa con los datos lo explicamos en nuestra página de seguridad, que puedes enlazar en esa respuesta.

Para empezar hoy

Copia el modelo, cambia los corchetes, nombra un responsable y decide qué cuenta se usa. Con eso ya tienes más que la mayoría. Si además quieres que tapar sea una tecla y no una tarea, prueba la app de Nonimo con tu equipo: hay un plan gratuito y planes para equipos de 2 a 49 personas en precios.