Cuatro reglas para armar una política de uso de IA en su empresa

Antes de pegar datos de su empresa en una IA, conviene ordenar el proceso. No se trata de prohibir la herramienta: se trata de decidir, con reglas claras, qué entra, quién revisa y qué se usa. Esta guía convierte el carrusel de @bprosys.inc en una política de uso de IA que su equipo puede aplicar esta misma semana.

Por qué una política corta funciona mejor que una prohibición

Prohibir el uso de IA no funciona: la gente igual la usa, solo que sin control. Ordenar el uso sí funciona, porque le da al equipo un camino claro para trabajar más rápido sin exponer información sensible. Bprosys lleva más de 15 años automatizando operaciones en 7 países de Latinoamérica, y esa experiencia sostiene una idea simple: la IA segura se diseña, no se prohíbe.

Regla 1: nada de clientes en cuentas personales

El riesgo más común es que la lista de clientes se pegue en una herramienta gratuita, usando la cuenta personal de alguien del equipo. Esa cuenta personal no ofrece garantías sobre qué pasa con la información después.

La corrección es directa: se usa una cuenta empresarial, configurada para no utilizar la información de la empresa en el entrenamiento del modelo. Esto es lo primero que debe quedar por escrito en la política: qué cuenta se usa y quién la administra.

Regla 2: anonimice antes de pegar

Antes de enviar cualquier texto a una IA, se retira lo que identifica a una persona o cuenta. Por ejemplo, "Juan Pérez" se convierte en "Cliente A". Nombres, documentos y cuentas bancarias quedan fuera del texto que se pega.

Esta regla es fácil de aplicar porque no depende de la herramienta: depende del hábito. Un reemplazo simple de nombres por etiquetas genéricas ya reduce buena parte del riesgo antes de que el dato salga de la empresa.

Regla 3: lo que importa, lo revisa una persona

No todas las tareas tienen el mismo riesgo, así que no todas necesitan el mismo nivel de revisión:

• Borradores y resúmenes: libre uso.
• Cálculos para reportes: uso con revisión.
• Pagos, contratos y decisiones sobre personas: los decide siempre una persona.

Esta escala evita dos errores opuestos: revisar todo, lo que vuelve la IA inútil por lenta, o no revisar nada, lo que expone a la empresa a errores costosos en lo que sí importa.

Regla 4: una lista corta de herramientas aprobadas

Una lista corta, conocida por todo el equipo, vale más que diez prohibiciones. En lugar de intentar bloquear cada herramienta nueva que aparece, la empresa define cuáles están aprobadas y las comunica una sola vez, de forma clara.

Esta regla conecta directamente con el criterio de revisión de la regla 3: antes de armar la lista de herramientas aprobadas conviene tener claro qué tareas requieren revisión humana, para no aprobar una herramienta que facilite saltarse ese control. Puede revisar el mismo criterio de revisión aplicado a contratos en quién revisa lo que la IA encuentra en un contrato.

Cómo armar la política con estas cuatro reglas

1. Defina la cuenta empresarial de IA que va a usar el equipo y quién la administra.
2. Escriba un instructivo corto de anonimización, con ejemplos como el de "Cliente A".
3. Clasifique las tareas de su operación en las tres franjas: libre uso, con revisión, decide una persona.
4. Publique la lista corta de herramientas aprobadas y compártala en un solo canal, para que todo el equipo la conozca.
5. Revise la política cada trimestre, a medida que cambian las herramientas disponibles.

Este orden replica el mismo recorrido del carrusel original de @bprosys.inc, donde se presentaron las cuatro reglas como pasos sucesivos, sin saltos ni excepciones ocultas.

Qué hacer después de definir la política

Una política de uso de IA no reemplaza la decisión de por dónde empezar a automatizar. Si todavía no tiene definido su primer caso de uso, conviene resolver eso primero, porque la política funciona mejor cuando ya sabe en qué proceso se va a aplicar. Puede revisar la guía sobre cómo elegir el primer caso de uso de IA en la empresa para ordenar esa decisión.

También conviene tener claro qué no debe delegarse a la IA bajo ninguna circunstancia, incluso con revisión humana. Ese límite se explica en lo que la IA no hace por su empresa.

Preguntas frecuentes

¿Qué debe incluir una política de uso de IA para empresas?

Debe incluir al menos cuatro elementos: la cuenta empresarial autorizada para usar IA, un criterio de anonimización antes de pegar información, una clasificación de tareas según el nivel de revisión humana que requieren, y una lista corta de herramientas aprobadas conocida por todo el equipo.

¿Por qué no alcanza con prohibir el uso de IA en la empresa?

Porque el equipo igual encuentra formas de usarla, solo que sin ningún control ni cuenta empresarial de por medio. Ordenar el uso con reglas claras reduce el riesgo real, mientras que una prohibición solo lo esconde.

¿Qué información nunca se debe pegar en una IA sin anonimizar?

Nombres de personas, números de documento y datos de cuentas bancarias. Antes de pegar cualquier texto que los contenga, se reemplazan por identificadores genéricos, como convertir "Juan Pérez" en "Cliente A".

¿Quién debe revisar lo que produce la IA antes de usarlo?

Depende de la tarea. Los borradores y resúmenes pueden usarse tal cual. Los cálculos para reportes necesitan revisión de alguien del equipo. Los pagos, contratos y decisiones sobre personas siempre los decide una persona, nunca la IA sola.

¿Cómo se elige qué herramientas de IA aprobar en la empresa?

Se prioriza una lista corta y conocida por todo el equipo, en lugar de intentar cubrir cada caso con prohibiciones. La lista se comparte por un solo canal oficial y se revisa periódicamente a medida que cambian las herramientas disponibles en el mercado.

¿Cómo empezar a aplicar estas cuatro reglas esta semana?

Comience por la cuenta empresarial: verifique que el equipo no esté usando cuentas personales para tareas de trabajo. Luego defina el instructivo de anonimización y la lista de herramientas aprobadas, y compártalos en una sola comunicación interna, siguiendo el orden descrito en el carrusel original de @bprosys.inc.