Qué debe resolver una política interna de uso de IA

1. Qué usos y responsables debe cubrir

El punto de partida incluye asistentes, funciones de IA integradas en aplicaciones y automatizaciones que ya utiliza el equipo. Una política útil relaciona cada uso con su finalidad, las personas que lo emplean y quien responde por el proceso.

La política interna publicada por la AEPD ofrece una referencia organizativa. La propia Agencia aclara que se aplica a sus procesos y no certifica el cumplimiento del Reglamento de IA. Su contenido ayuda a formular preguntas, pero no sustituye el análisis de otra organización.

2. Qué usos necesitan autorización

Una lista de aplicaciones permitidas deja decisiones importantes sin resolver. Preparar un borrador público y analizar documentación interna pueden requerir condiciones diferentes aunque se utilice la misma herramienta. Deben quedar claras la cuenta autorizada, la finalidad y la información admitida.

Por ejemplo, el uso de un folleto publicado y el de un presupuesto todavía pendiente no plantean necesariamente las mismas condiciones. Una política debe indicar qué está permitido, cuándo consultar y quién puede resolver una solicitud de uso nuevo. El ejemplo ilustra una decisión, no una autorización general.

3. Cómo se reconoce la información que debe protegerse

Las reglas deben traducirse a documentos que el equipo reconozca: comunicaciones públicas, presupuestos, fichas de clientes o expedientes. La clasificación y los permisos concretos se adaptan a los procesos y entornos de la organización.

Para exploraciones generales, la AEPD recomienda situaciones ficticias y evitar datos personales o información delicada. Quitar un nombre no garantiza anonimato si el documento sigue permitiendo identificar a alguien. Cuando intervienen datos personales, las condiciones se revisan con los responsables correspondientes.

4. Qué significa revisar un resultado

Indicar que habrá revisión humana no explica qué debe comprobarse. En un informe pueden importar hechos y fuentes; en una comunicación, importes y destinatarios; en una automatización, sus acciones y errores. La revisión debe corresponder a las consecuencias del uso.

• Contenido: qué necesita comprobar la persona antes de utilizar el resultado.
• Responsabilidad: quién puede aprobarlo, corregirlo o rechazarlo.
• Actuación: qué pasos requieren una autorización separada, como enviar o modificar datos.
• Registro: qué evidencia conviene conservar sin acumular información innecesaria.

5. Qué ocurre ante errores e incidentes

El equipo necesita un canal comprensible para comunicar una carga de información equivocada o una acción inesperada. La política debe conectarse con los procedimientos existentes: quién recibe el aviso, cuándo se detiene el uso y cómo continúa una tarea necesaria.

La valoración de una posible brecha y sus obligaciones corresponde al procedimiento de la organización. El gobierno de IA debe facilitar esa coordinación. Una lista genérica no determina por sí sola qué decisiones jurídicas corresponden a un incidente concreto.

6. Cómo reconocer una política que el equipo puede aplicar

Además del documento, hacen falta ejemplos, responsables de consulta y formación. Una comprobación útil consiste en observar si personas de distintos perfiles encuentran una respuesta coherente ante situaciones habituales y saben dónde consultar una excepción.

Un encargo de gobierno puede incluir inventario, política adaptada, matriz de permisos y responsabilidades, evaluación de herramientas y plan de revisión. Su alcance se acuerda con la organización y la revisión jurídica se coordina con su asesoría. No es necesario preparar el inventario antes de pedir ayuda: forma parte del trabajo que puede contratarse.