Política de IA en tu empresa panameña: una circular lista
· Actualizado el
Joaquín Trapero in Experto en inteligencia artificial y privacidad, y fundador de Nonimo.
La inteligencia artificial ya trabaja en tu oficina aunque nadie la haya aprobado. Cobros redacta avisos con ChatGPT, ventas pule cotizaciones en Gemini y quien lleva la planilla resume expedientes. El riesgo de esa escena está en los nombres y las cédulas que viajan dentro de cada consulta.
Aquí tienes una circular para el personal, escrita para Panamá y copiable cláusula por cláusula, con la norma detrás de cada punto y el camino para volverla obligatoria ante el MITRADEL. Lo que se le promete al cliente va aparte, en la cláusula sobre IA del contrato de servicios.
Ninguna ley panameña exige hoy una «política de IA», pero la Ley 81 y el Decreto Ejecutivo 285 piden protocolos internos y un compromiso de confidencialidad del personal. Una circular firmada sobre herramientas y datos que no se pegan lo deja por escrito; el reglamento interno la vuelve sancionable.
¿Es obligatoria una política de uso de IA en Panamá?
Con ese nombre, no. El artículo 7 de la Ley 81 de 2019 manda al responsable de una base de datos a fijar «protocolos, procesos y procedimientos de gestión y transferencia segura». El Decreto Ejecutivo 285 los junta en una ficha técnica que fiscaliza la ANTAI (artículo 33).
Dos artículos del decreto parecen escritos para una circular. El 34 pide que el personal se comprometa a la confidencialidad y que conste en los protocolos. El 62, al graduar una sanción, toma en cuenta haber adoptado y demostrado una política de buenas prácticas. Lo demás, en la guía de la ley de datos.
El oficial de protección de datos es opcional en la empresa privada; en el sector público lo es el oficial de información de la Ley 33 de 2013 (artículo 42). Aun así, la circular debe nombrar a quien recibe los avisos. Lo propio de alcaldías y juntas comunales está en IA en los municipios.
Dónde cae la circular dentro de la ficha técnica
La ficha técnica es la carpeta de cumplimiento; la circular es uno de sus protocolos.
Esquema a partir del ejemplo de ficha técnica del manual para empresas que la ANTAI fechó en junio de 2023. El recuadro de la circular es un agregado: ni la ley ni el decreto la nombran.
¿Hay que esperar la ley de IA? El Proyecto 588 y la Estrategia Nacional
Mucha gerencia aplaza la circular «hasta que salga la ley». La Estrategia Nacional de IA, que el Consejo de Gabinete aprobó en agosto de 2026 (Resolución N° 75), traza objetivos para el Estado; a tu oficina no le pone deberes.
El Proyecto 588, de gobernanza adaptativa de la IA, pasó tercer debate el 19 de agosto de 2026. El presidente lo objetó en parte el 28 de septiembre y al 10 de noviembre sigue sin sanción. Cómo llegó hasta ahí lo cuento en la página sobre IA y datos personales.
Esperarlo sería, a mi entender, un error de calendario: puede tardar meses, y la Ley 81 ya mide hoy cada chat con datos de clientes. Si el proyecto llega a la Gaceta con reglas nuevas, se cambia una cláusula y se vuelve a firmar.
Qué le pide hoy cada texto a tu oficina
La fila resaltada es la que ya puede pedirte cuentas.
| Texto | Dónde está | Qué te pide hoy |
|---|---|---|
| Estrategia Nacional de IA | Resolución de Gabinete N° 75, Gaceta Oficial 30592-A | Nada directo: son objetivos y programas del Estado |
| Proyecto de Ley 588 | Con objeción parcial del Ejecutivo desde el 28 de septiembre de 2026 | Nada: no es ley |
| Ley 81 de 2019 y Decreto Ejecutivo 285 | Vigente desde marzo de 2021 | Protocolos en la ficha técnica, compromiso de confidencialidad del personal y registro de incidentes |
| Código de Trabajo | Vigente | Que la falta esté en el reglamento interno antes de sancionarla |
Gaceta Oficial 30592-A, nota de prensa de la Asamblea Nacional sobre el tercer debate, noticia de Panamá América sobre las objeciones, Ley 81 (artículo 47), Decreto Ejecutivo 285 (artículos 33, 34 y 38) y Código de Trabajo (artículo 185).
Circular de uso de inteligencia artificial: el modelo para copiar
Sirve para una oficina de cinco a cincuenta personas: una firma de abogados, una contabilidad, una corredora de seguros, una agencia. Llena los corchetes con lo de tu oficina. La regla que no piensas exigir, bórrala, porque una norma que nadie respeta les quita seriedad a las otras.
Cada parte tiene su botón de copiar, para pegarla en el papel membretado de las circulares que ya reparte tu empresa. El encabezado pide el RUC con su DV; si no lo tienes a mano, esta guía del DV explica dónde encontrarlo.
Circular No. [__]: uso de herramientas de inteligencia artificial
Copia cada parte y ajústala a tu oficina.
CIRCULAR No. [__]-[año]. PARA: todo el personal de [razón social], RUC [__] DV [__]. DE: [Gerencia General]. ASUNTO: uso de herramientas de inteligencia artificial. FECHA: [día] de [mes] de [año].
Esta circular aplica a colaboradores permanentes y eventuales, practicantes y proveedores que usen equipos, correos, archivos o cuentas de [razón social], en la oficina, en teletrabajo o desde el celular.
Solo se usan las herramientas de inteligencia artificial de esta lista, con la cuenta de la empresa: [herramienta], autorizada el [fecha]. Las cuentas personales no se usan para asuntos de la empresa. Una herramienta nueva la autoriza por escrito [nombre y cargo], que la agrega a esta lista con su fecha.
No se pega en ninguna herramienta de inteligencia artificial, ni siquiera sin nombre: a) cuentas bancarias, tarjetas, estados de cuenta, talonarios y la planilla; b) certificados de incapacidad, expedientes clínicos y cualquier dato de salud, de afiliación sindical, de religión o de opinión política; c) usuarios y contraseñas de e-Tax, SIPE, banca en línea o cualquier sistema.
Nombres, cédulas, carnés de residente, pasaportes, RUC de personas, números de seguro social, correos, celulares y direcciones de clientes, colaboradores o proveedores se cambian por etiquetas, como [PERSONA_1] o [CORREO_1], antes de pegar. Si la consulta no funciona sin esos datos, se hace sin inteligencia artificial.
Quien firma o envía un texto hecho con ayuda de la inteligencia artificial lo lee completo antes y responde por él. Ninguna decisión de contratación, evaluación, sanción, despido, crédito o cobro sobre una persona se toma solo con lo que diga una herramienta.
Cada persona usa con la inteligencia artificial únicamente los documentos que necesita para su tarea. No se suben carpetas completas, bases de clientes ni la planilla entera.
Si un dato de los puntos 3 o 4 llega sin tapar a una herramienta, se avisa el mismo día a [nombre, extensión o celular]. Antes de borrar la conversación se anota la fecha, la herramienta, qué datos salieron y de quién eran.
El incumplimiento se trata como falta conforme al reglamento interno de trabajo [artículo], en proporción a su gravedad. Esta circular no establece multas ni descuentos de salario.
Rige desde su firma. [Cargo] la revisa cada [12] meses y cada vez que se autorice o se retire una herramienta. Firma: [nombre], [cargo], [razón social].
Recibí copia de la Circular No. [__]-[año], la leí y la cumpliré. Me comprometo a guardar confidencialidad sobre los datos personales y los asuntos reservados de la empresa que conozca por mi trabajo, también después de terminada la relación laboral. Nombre completo, cédula, cargo, fecha y firma.
Modelo para adaptar; no garantiza por sí solo el cumplimiento. Se apoya en la Ley 81 (artículos 2, 7, 9 y 19), el Decreto Ejecutivo 285 (artículos 8, 33, 34 y 38) y el Código de Trabajo (artículos 126 y 185). Antes de firmarla, que la lea tu abogado laboral.
Qué datos no se pegan en ChatGPT: la lista por área de la oficina
«Información confidencial» se interpreta; «cédula» no. Por eso la circular nombra papeles y no categorías. La Ley 81 llama dato personal a todo lo que identifica o hace identificable a alguien (artículo 4, numeral 9), y a una persona natural le sirve de RUC su misma cédula.
El punto 3 va separado del 4 porque pesa más. Desconocer las reglas de los datos sensibles es falta muy grave (artículo 41), y un diagnóstico con la edad y el corregimiento puede delatar a alguien sin nombre. La lista legal está en datos sensibles según la Ley 81.
Una lista genérica no la consulta nadie a fin de mes. Que cada jefe de área haga la suya con los papeles que su gente toca a diario. El porqué de cada dato lo explica la lista de lo que conviene borrar antes de compartir un archivo.
Qué sumar a los puntos 3 y 4 según el área
Elige el área y copia lo que te falte en la circular.
Contabilidad. Al punto 3: claves de e-Tax 2.0 y del SIPE, estados de cuenta y conciliaciones con número de cuenta. Al punto 4: el RUC y el DV de clientes personas naturales. Más casos de la oficina contable en IA para contadores en Panamá.
Recursos Humanos. Al punto 3: talonarios de la quincena, certificados de incapacidad, cálculos de liquidación y afiliación al sindicato. Al punto 4: hojas de vida con cédula, celular y dirección. El certificado de incapacidad es dato de salud: no entra ni tapado.
Cobros. Al punto 3: números de préstamo o de tarjeta y estados de cuenta del cliente. Al punto 4: listas de morosos y celulares de referencias personales. El monto y la fecha de la factura sí le sirven a la IA; quién debe, no.
Legal y corporativo. Al punto 4: pactos sociales con directores, dignatarios y beneficiarios, poderes, escrituras antes de la notaría y expedientes de residencia con pasaporte y carné. Los datos de salud que aparezcan en un expediente van al punto 3. Si subes la escritura como archivo, mira antes lo que arrastra en subir documentos a ChatGPT.
Ejemplos inventados por área; ajústalos a los documentos que maneja tu oficina.
Cuentas personales en el trabajo: por qué la circular las prohíbe
El punto 2 cierra la puerta a la cuenta personal porque lo que pasa en ella no lo ves. Si alguien renuncia, sus chats con cotizaciones y clientes se quedan en su celular, bajo condiciones que aceptó solo. Qué guarda el proveedor y cuánto tiempo lo detalla la guía de privacidad de ChatGPT.
Con la cuenta de la empresa, en cambio, tienes papeles que enseñar: el contrato con el proveedor, la lista de usuarios y la fecha en que autorizaste la herramienta. El decreto pide que ese proveedor siga tus instrucciones por contrato (artículo 48); con una cuenta personal ese contrato no existe.
La cuenta de empresa resuelve quién guarda los chats, no qué datos llevan: una cédula pegada ahí sigue pidiendo una condición del artículo 33 de la Ley 81. Por eso el punto 4 manda tapar con cualquier cuenta. Lo que no autorizaría nunca es la cuenta gratuita de alguien para la base de clientes.
Lo que controla la empresa según la cuenta
La fila resaltada es la que te piden si la ANTAI, un cliente o tu aseguradora preguntan.
| Cuenta personal del colaborador | Cuenta de la empresa | |
|---|---|---|
| Quién aceptó las condiciones | El colaborador, sin que la empresa las vea | La empresa, que las guarda con fecha |
| Qué pasa con los chats cuando alguien se va | Se van con él | Se quedan bajo el administrador, con reglas escritas; así funciona, por ejemplo, Copilot en una cuenta de trabajo |
| Uso de los chats para entrenar | Según el plan y la configuración que eligió él | Lo fija el plan contratado; léelo antes, como se explica para Claude y tus datos |
| Qué puedes enseñar | Nada | Contrato con el proveedor, lista de usuarios y fecha de autorización (Decreto Ejecutivo 285, artículo 48) |
| ¿Hay que tapar igual? | Sí | Sí: los datos salen de Panamá (Ley 81, artículo 33) |
Fuente: Decreto Ejecutivo 285 (artículo 48) y Ley 81 (artículo 33). Las condiciones cambian de un plan a otro.
Tapar nombres y cédulas: el punto 4 en la práctica
Una circular que solo dice «no», yo no la firmaría: la gente seguiría pegando a escondidas. El punto 4 ofrece otro camino: el aviso, el resumen o la cotización salen bien con etiquetas en lugar de personas. Es la proporcionalidad del artículo 2 llevada al teclado; técnicas y límites, en anonimización de datos personales.
A mano sirve para un correo, no para treinta al día. Para eso está Nonimo: seleccionas el texto, presionas una tecla y nombres, cédulas, correos y celulares pasan a etiquetas. La respuesta vuelve con cada dato en su lugar. El tapado ocurre en tu propia computadora: el texto original no viaja a Nonimo.
Si lo que hay que preparar es un archivo, las herramientas web de Nonimo tapan los datos de un PDF, un Word o un Excel y te devuelven el documento.
Un aviso de cobro, antes y después del punto 4
Lo que escribe quien cobra y lo que recibe el chat.
Prepárame un segundo aviso de cobro, firme y cordial, para Yamileth Morales Espinosa (cliente@example.com, +507 6000-0000): la factura 0042 de septiembre, B/.860.00, sigue pendiente.
Prepárame un segundo aviso de cobro, firme y cordial, para [PERSONA_1] ([CORREO_1], [TELEFONO_1]): la factura 0042 de septiembre, B/.860.00, sigue pendiente.
Ejemplo inventado: nombre de ficción, celular de ceros y un dominio reservado. El monto se queda porque la IA lo necesita y no identifica a nadie.
Revisión humana: el punto 5 de la circular
El punto 5 tiene dos motivos. Uno es de calidad: un borrador de IA puede citar un artículo del Código de Trabajo que no dice eso o cambiar un monto sin avisar. Lo que sale con el logo de tu empresa tiene que haberlo leído alguien de principio a fin.
El otro es legal: la Ley 81, en su artículo 19, dice que nadie tiene que aguantar efectos negativos de una decisión que tomó solo una máquina. Dentro de la oficina, eso se traduce en una costumbre: quien decide sobre una persona deja escrito que revisó el resultado y con qué criterio.
En una firma de abogados la revisión pesa el doble, porque se suma el deber de reserva con el cliente; está en el secreto profesional del abogado y la IA. Para mí, «lo dijo el sistema» no es respaldo de ninguna decisión sobre una persona.
¿Puede la IA resolver esto sola?
Piensa en una tarea concreta de tu oficina.
¿El resultado recae sobre una persona concreta: un colaborador, un cliente o un candidato?
¿Le cambia algo con efecto jurídico: un despido, una sanción, un crédito negado, un cobro?
¿Evalúa su rendimiento, su conducta o su fiabilidad?
Armado con la Ley 81 (art. 19) y el Decreto Ejecutivo 285 (art. 14), que pide informar al titular de las decisiones automatizadas.
Reglamento interno de trabajo y MITRADEL: cómo hacer obligatoria la política de IA
La circular firmada obliga desde ya como instrucción del empleador. El trabajador debe acatar órdenes e instrucciones (Código de Trabajo, artículo 126, numeral 2) y no revelar asuntos administrativos reservados cuya divulgación perjudique a la empresa (numeral 3).
Para sancionar con respaldo, la falta tiene que estar tipificada antes en el reglamento interno (artículo 185). Si ya tienes reglamento, agregar una regla disciplinaria exige ponerla en conocimiento del sindicato o de los trabajadores; el consentimiento previo se reserva para horarios, pago y otros puntos (artículo 184).
El trámite lo presenta un abogado con poder notariado; para Recursos Humanos hay más en IA para Recursos Humanos en Panamá. Primero la circular, que rige desde la firma; la falta entra al reglamento en la próxima modificación. Con diez trabajadores o más, el reglamento es obligatorio (artículo 191).
Circular firmada o reglamento interno: qué te da cada uno
Las dos se complementan; la fila resaltada marca la diferencia.
| Circular firmada | Reglamento interno | |
|---|---|---|
| Quién la hace | La gerencia, por escrito | El empleador, como proyecto (artículo 182) |
| Trámite | Se entrega y se firma la constancia | Se presenta al MITRADEL, que pide opinión al sindicato o a los trabajadores (artículo 183) |
| Papeles | Ninguno | Poder y solicitud notariados, certificación del Registro Público y del MICI, aviso de operación, planilla de la CSS al día, idoneidad del abogado y original con dos copias |
| Plazos | Rige desde la firma | 120 días calendario para objetarlo; si no, queda aprobado. Se da a conocer 15 días antes de regir |
| Sanciones | Solo las que ya tipifique tu reglamento | Las que tipifique, proporcionales: suspensión de hasta tres días y nada de multas (artículo 185) |
| Costo | Ninguno | Gratuito en el MITRADEL |
Código de Trabajo, artículos 126 y 182 a 185, y ficha del trámite «Aprobación de reglamentos internos» del MITRADEL.
Sanciones por mal uso de la IA y qué hacer si un dato se escapa
Gradúa. Un correo con un nombre pegado por las prisas de fin de quincena no se castiga como el listado completo de clientes metido en una herramienta que nadie autorizó. El Código de Trabajo prohíbe suspensiones de más de tres días y sanciones económicas (artículo 185).
Revelar sin autorización asuntos reservados que perjudiquen al empleador es causa justificada de despido (artículo 213, acápite A, numeral 4). Eso no vuelve despido cada chat: se mira caso por caso. Si tienes póliza cibernética, revisa qué exige ante un error humano en seguro de ciberseguridad.
Callar un error pesa más que cometerlo. El punto 7 manda anotar antes de borrar porque el Decreto 285 exige documentar cada incidente (artículo 38) y, si hay riesgo, avisar a la ANTAI en 72 horas; qué sigue después lo explica la guía para cuando se escapan datos.
Dos casos, dos respuestas
Cómo se reparte el peso entre la circular, el reglamento y la ley.
Descuido aislado
Un nombre y un correo pegados en la herramienta autorizada.Se anota y se borra (punto 7; Decreto 285, artículo 38).Respuesta sugerida: recordatorio por escrito y repaso del punto 4.Base de clientes a sabiendas
Listado completo subido a una cuenta personal.Puede ser violación de seguridad: si hay riesgo, aviso en 72 horas a la autoridad y a cada titular afectado (Decreto 285, artículo 37).Respuesta sugerida: la falta que tipifique tu reglamento, con tu abogado laboral; donde hay 20 trabajadores o más, el comité de empresa conoce de la sanción (artículos 186 y 187).Ejemplos inventados. Lo marcado como «respuesta sugerida» es opinión, no una regla de la ley.
![Una circular en el cajón tachada y la etiqueta [REGLAMENTO]: la política de IA se vuelve sancionable en el reglamento interno](/guias/es-pa/politica-de-ia-reglamento-interno-mitradel.webp "La política de IA, al reglamento interno")
Repartir y firmar la circular en una quincena
Una circular vale lo que cuesta cumplirla. Si tapar es una tecla, se cumple; si son cinco minutos de edición por correo, dura la primera semana. Por eso, antes de repartirla, instala la forma de tapar en las computadoras de quien maneja datos de clientes.
Tampoco reemplaza el criterio: un caso único en un corregimiento pequeño se reconoce sin nombre. Para lo demás, en la portada de Nonimo para Panamá está la app que cambia por etiquetas los nombres, cédulas y correos de tus clientes antes de que el texto llegue a la IA.
Revísala también cuando cambie una herramienta, sin esperar el aniversario. Si te preguntas cómo cuida Nonimo los datos, está en su página de seguridad.
¿Tu circular está lista para firmarse?
Marca lo que ya tienes hecho.
0 de 7
Le falta para firmarse. Empieza por las herramientas y por los puntos 3 y 4: sin eso no hay qué firmar.
Casi lista. Lo que falte puede ir después de la primera ronda de firmas.
Lista para repartir. Pon en tu calendario la revisión del punto 9.
Tus marcas no salen de esta página.
Fuentes
- Ley 81 de 26 de marzo de 2019, copia de la Superintendencia de Bancos. Gaceta Oficial 28743-A; artículos 2, 4, 7, 9, 19, 25, 33 y 41.
- Decreto Ejecutivo 285 de 28 de mayo de 2021, Gaceta Oficial. Gaceta Oficial 29296-A; ficha técnica, confidencialidad, incidentes, custodio, oficial de protección de datos y graduación de sanciones.
- Código de Trabajo, recopilación del MITRADEL publicada por el Órgano Judicial. Artículos 126, 182 a 187, 191 y 213.
- MITRADEL, «Aprobación de reglamentos internos». Requisitos del trámite; es gratuito.
- ANTAI, «Protegiendo los datos personales», guía para el sector privado. Ejemplo de contenido de la ficha técnica (junio de 2023).
- Gaceta Oficial 30592-A, de 18 de agosto de 2026. Trae la Resolución de Gabinete N° 75, con la Estrategia Nacional de IA.
- Asamblea Nacional, «Reglas de gobernanza en aplicación de la IA». El proyecto 588 sale de tercer debate.
- Asamblea Nacional, seguimiento legislativo. El 588 figura como «Objetado por Ejecutivo» al 10 de noviembre.
- Panamá América, «Presidente Mulino objeta ocho proyectos de ley en solo dos días». El veto parcial del 588, fechado el 28 de septiembre.
Consultado el 10 de noviembre de 2026.
Preguntas frecuentes
¿Es obligatorio tener una política de uso de IA en una empresa en Panamá?
No con ese nombre, pero la Ley 81 exige protocolos internos. Su artículo 7 pide procedimientos de gestión segura de datos, y el Decreto Ejecutivo 285 los reúne en una ficha técnica que fiscaliza la ANTAI.
¿Cuáles son las políticas de uso de IA en las empresas?
Son normas escritas sobre qué herramientas se usan y qué datos no se pegan. Suelen sumar quién revisa lo que produce la IA, qué hacer si un dato se escapa y una constancia de recibo firmada.
¿Un empleado puede usar su cuenta personal de ChatGPT para el trabajo?
Mejor que no: la empresa no controla esa cuenta. Las condiciones las aceptó el empleado y el historial se va con él. La circular lo prohíbe para asuntos de la oficina.
¿Hay que meter la política de IA en el reglamento interno de trabajo?
Para sancionar su incumplimiento, sí. La circular obliga como instrucción, pero la falta debe estar tipificada en el reglamento, que aprueba el MITRADEL: tiene 120 días calendario para objetarlo (Código de Trabajo, artículos 182 y 185).
¿Qué empresas deben tener reglamento interno de trabajo?
Toda empresa o establecimiento con diez o más trabajadores (Código de Trabajo, artículo 191). Con menos, la circular firmada sigue dejando por escrito las reglas de IA.
¿Pueden despedir a alguien por pegar datos de clientes en ChatGPT?
Depende del caso: un descuido no pesa como una fuga a sabiendas. Revelar asuntos reservados que perjudiquen al empleador es causa justificada (artículo 213), pero toda sanción debe ser proporcional.
¿Firmar la circular de IA cuenta como compromiso de confidencialidad?
Puede servir, si la constancia lo dice por escrito. El artículo 34 del Decreto Ejecutivo 285 pide que quien trata datos personales se haya comprometido a la confidencialidad y que conste en los protocolos.
¿Hay que esperar la ley de inteligencia artificial para tener una política?
No: lo que pegas en una IA ya se rige por la Ley 81. El Proyecto 588 salió de tercer debate en agosto de 2026, pero el Ejecutivo le hizo objeción parcial en septiembre y no está sancionado.