Política de uso de IA en empresas: qué decir y una plantilla

Tu equipo ya usa inteligencia artificial, lo sepas o no. Alguien en administración le pide a ChatGPT que redacte un recordatorio de pago, alguien en ventas pega una cotización en Gemini para mejorarla y alguien en recursos humanos resume un expediente con Copilot. Una política de uso de IA no está para frenar eso: está para que lo hagan rápido y sin que los datos de tus clientes terminen donde no deben.

Esta guía explica qué debe decir esa política, por qué cada punto, dónde se apoya en la ley mexicana y cómo se pone en marcha. La plantilla está más abajo, lista para copiar y adaptar.

Por qué tu empresa necesita una política de uso de IA

Ninguna ley mexicana pide una «política de IA» con ese nombre. Lo que sí pide la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), publicada en el DOF el 20 de marzo de 2025, son dos cosas que una política resuelve de un jalón. Si trabajas en un ayuntamiento, la ley que te aplica es otra, la general de sujetos obligados, y la explicamos en la inteligencia artificial en el servicio público municipal.

La primera está en el artículo 18: todo responsable debe establecer y mantener medidas de seguridad administrativas, técnicas y físicas contra el daño, la pérdida o el uso, acceso o tratamiento no autorizado de los datos, tomando en cuenta el riesgo, la sensibilidad de los datos y el desarrollo tecnológico. Una regla escrita sobre qué se pega en un chat es, a nuestro juicio, justo una medida administrativa. Una de las pólizas cibernéticas que revisamos excluye el incidente si no cumplías unos estándares mínimos de seguridad, como explicamos en las exclusiones del seguro de ciberriesgos.

La segunda está en el artículo 20: el responsable debe establecer controles para que todas las personas que intervienen en el tratamiento guarden confidencialidad, una obligación que sigue vigente aunque la relación termine. Una política firmada por cada empleado es la forma más simple de dejar constancia de ese control. El panorama completo lo contamos en la guía sobre la LFPDPPP y la inteligencia artificial.

Si tu empresa es un despacho jurídico, hay un motivo más. La Barra Mexicana, Colegio de Abogados, publicó en octubre de 2025 sus lineamientos para el uso responsable de la IA, y en su apartado de deberes generales pide establecer en las organizaciones políticas claras sobre qué información puede procesarse con IA, cómo debe anonimizarse y quién tiene acceso a esas herramientas.

Plantilla de política de uso de IA, para copiar

Está pensada para un despacho, una contaduría, una agencia o una empresa de menos de cincuenta personas. Cambia lo que va entre corchetes y borra lo que no aplique. Una regla que nadie va a cumplir es mejor no escribirla. Si la usas en un ayuntamiento, puedes partir de ella y ver cómo se usa la IA en el municipio sin exponer a la ciudadanía.

POLÍTICA DE USO DE INTELIGENCIA ARTIFICIAL
[Nombre de la empresa] · versión [1] · [fecha]

1. HERRAMIENTAS AUTORIZADAS
Sólo estas, con la cuenta de la empresa:
· [herramienta], aprobada el [fecha].
Ninguna cuenta personal para asuntos de trabajo.
Una herramienta nueva sólo entra si la aprueba
[nombre], y se agrega aquí con su fecha.

2. DATOS QUE NUNCA SE PEGAN
En ninguna herramienta de IA, esté o no en la lista:
· nombres, CURP, RFC, correos, teléfonos ni
  domicilios de clientes, proveedores o empleados;
· números de cuenta, CLABE, NSS ni datos de tarjetas;
· datos de salud, aunque no lleven nombre;
· contraseñas, claves de acceso ni e.firma.

3. ANTES DE PEGAR
Todo texto con datos de personas se pega con los
datos ocultos, cambiados por etiquetas como
[CLIENTE_1] o [EMPLEADO_1]. Si no se pueden ocultar,
el texto no se pega.

4. REVISIÓN HUMANA
Lo que escriba la IA lo lee completo y lo verifica
quien lo firme o lo mande. La IA no decide sobre
contrataciones, despidos, créditos ni cobranza.

5. SI ALGO SALE MAL
Responsable: [nombre y extensión].
Si un dato del punto 2 llega a una herramienta por
error, se le avisa el mismo día, antes de borrar nada.

6. REVISIÓN DE ESTA POLÍTICA
Cada [doce] meses y siempre que entre una herramienta
nueva o cambien las condiciones de una aprobada.

Leí esta política, la cumpliré y guardaré
confidencialidad sobre los datos que trate en la
empresa, también después de dejar de trabajar aquí.
Nombre, fecha y firma: ___________________________

La última frase no es adorno: repite casi con las mismas palabras lo que pide el artículo 20 de la LFPDPPP, una confidencialidad que subsiste después de terminar la relación.

Qué herramientas sí: una lista corta y la cuenta de la empresa

El punto 1 es una lista cerrada: lo que no está, no se usa. Parece rígido, pero te ahorra discutir cada semana si la extensión que encontró alguien sirve o no. Se decide una vez, se anota con su fecha y se revisa cuando algo cambia.

La cuenta importa tanto como la herramienta. Con una cuenta personal, las condiciones las acepta el empleado, el historial se va con él y, según el plan, lo que escribe puede usarse para entrenar el modelo. Con la cuenta de la empresa sabes qué condiciones aceptaste. Antes de aprobar una herramienta, revisa qué hace ChatGPT con tus datos o la guía equivalente de la que vayas a usar.

Un detalle que pocos esperan: en los planes de empresa, el administrador del espacio de trabajo suele poder ver las conversaciones. No es malo, es control, pero tu equipo tiene que saberlo antes de empezar.

Qué datos nunca: una lista que se entienda sin pensar

El punto 2 nombra datos concretos y no categorías abstractas, porque «información confidencial» se interpreta y «CURP» no. En un cierre de mes nadie se detiene a clasificar campos.

La lista sigue lo que la LFPDPPP considera dato personal: cualquier información de una persona identificada o identificable, también cuando se le identifica de forma indirecta. Los datos de salud van aparte porque son sensibles, y el artículo 8 pide consentimiento expreso y por escrito para tratarlos. Si tienes dudas sobre cuáles entran ahí, revisa qué datos personales son sensibles.

Ajusta la lista a tu giro. En una contaduría la encabezarían la Constancia de Situación Fiscal, los estados de cuenta y la e.firma. En un área de personal, los recibos de nómina, el NSS y las incapacidades, como explicamos en la guía de IA para recursos humanos.

Ocultar antes de pegar: la regla que hace posible todo lo demás

Una política que sólo prohíbe invita a saltársela en silencio. El punto 3 da la salida: casi cualquier consulta funciona igual con los datos cambiados por etiquetas. Para redactar un recordatorio de pago, la IA necesita el monto y la fecha de vencimiento, no el nombre del cliente.

Hacerlo a mano funciona para un correo, pero no para veinte al día. Para eso hicimos Nonimo, una app para Windows y Mac, con extensión para el navegador, que en tu computadora cambia por marcadores los nombres, los correos, la CURP, el RFC y la fecha de nacimiento y el domicilio cuando van rotulados. Seleccionas el texto, presionas una tecla y pegas en ChatGPT, Claude, Gemini o Copilot. Cuando copias la respuesta, los datos regresan a su lugar.

Así el punto 3 deja de depender de la memoria de cada persona.

Y si lo que hay que procesar es un archivo completo, nuestras herramientas web cambian los datos de un PDF, un Word o un Excel y te devuelven el documento listo.

Qué significa técnicamente quitar la identidad de un dato lo explicamos en la disociación de datos personales.

Revisión humana: quien firma, revisa

El punto 4 tiene dos partes. La primera es de calidad: la IA se equivoca con aplomo, inventa artículos y redondea cifras. Quien firma un documento responde por él, lo haya escrito una persona o un chat.

La segunda es de derechos. El artículo 26 de la LFPDPPP le da a la persona titular el derecho a oponerse a un tratamiento automatizado, sin intervención humana, que evalúe aspectos como su rendimiento profesional o su situación económica y le produzca efectos jurídicos no deseados o le afecte de manera significativa. Dejar que una persona decida sobre una contratación o un crédito te aleja de ese supuesto.

Si un dato sale por error

El punto 5 pide un nombre y una extensión, no un comité. En una empresa pequeña, la primera llamada tiene que ir a alguien que esté en la oficina.

«Antes de borrar nada» está ahí a propósito: primero se anota qué salió y a quién afecta, y después se borra. Y si el dato afecta de forma significativa los derechos patrimoniales o morales de alguien, el artículo 19 de la LFPDPPP obliga a informarle de inmediato. Qué hacer paso a paso lo explicamos en qué hacer ante una vulneración de seguridad con IA.

La política y la Ley Federal del Trabajo

Aquí hay un punto que conviene tener claro. El artículo 422 de la Ley Federal del Trabajo define el reglamento interior de trabajo como el conjunto de disposiciones obligatorias para personas trabajadoras y empleadoras. Pero añade que no son materia del reglamento las normas de orden técnico y administrativo que formulen directamente las empresas para la ejecución de los trabajos.

A nuestro juicio, una política sobre qué herramienta usar y cómo preparar un texto antes de pegarlo encaja en esa segunda categoría: la empresa la emite directamente, sin pasar por la comisión mixta.

Las sanciones son otra historia. El artículo 423, fracción X, pone las disposiciones disciplinarias y su procedimiento dentro del reglamento interior, con un tope de ocho días de suspensión y el derecho del trabajador a ser oído antes. El reglamento lo formula una comisión mixta de trabajadores y patrón y surte efectos desde su depósito ante el Centro Federal de Conciliación y Registro Laboral (artículos 424 y 425). Si quieres que incumplir la política tenga consecuencias disciplinarias, lo prudente es que tu reglamento las contemple.

La ley ya da una base de fondo. El artículo 134, fracción XIII, obliga a los trabajadores a guardar escrupulosamente los secretos técnicos y comerciales y los asuntos administrativos reservados cuya divulgación pueda causar perjuicios a la empresa. Y el artículo 47, fracción IX, incluye entre las causas de rescisión sin responsabilidad para el patrón dar a conocer asuntos de carácter reservado con perjuicio de la empresa.

Cómo ponerla en marcha en una semana

1. Elige las herramientas. Una o dos, con cuenta de empresa. Lee sus condiciones de privacidad antes de aprobarlas.
2. Ajusta la lista del punto 2 a los documentos de tu giro. En una agencia de seguros, por ejemplo, ahí entran el nombre, el RFC y la fecha de nacimiento del asegurado, como contamos en IA para promotorías y agencias de seguros.
3. Instala lo necesario para ocultar en las computadoras de quien trabaja con datos de clientes, para que el punto 3 se cumpla sin esfuerzo.
4. Explícala en una junta corta con ejemplos reales de tu oficina, con los datos ya ocultos.
5. Recoge las firmas y guárdalas con la versión y la fecha. Esa hoja es la prueba que te piden en las respuestas sobre IA de un cuestionario de seguridad.
6. Revisa tu aviso de privacidad, porque la política dice lo que pasa dentro y el aviso le cuenta al cliente qué haces con sus datos. Lo explicamos en aviso de privacidad e inteligencia artificial.

Si tu empresa presta servicios profesionales, la política tiene una pieza gemela hacia fuera: la cláusula de IA en el contrato de servicios, que le cuenta al cliente cómo trabajas.

Y si eres despacho jurídico, la política es también tu forma de cuidar el secreto profesional del abogado al usar IA.