Carta de uso de la IA en la empresa: modelo y guía de redacción
La inteligencia artificial se ha instalado en las empresas sin hacer ruido. Un empleado prueba ChatGPT para redactar un correo, otro le pide a una IA que resuma un contrato, un tercero genera imágenes para las redes sociales. Antes de que el directivo se dé cuenta, datos internos, de clientes o estratégicos pasan por herramientas cuyas condiciones de uso nadie ha validado.
Una carta de uso de la IA resuelve este problema. Este documento, a menudo breve, fija quién puede usar qué, en qué marco, con qué datos. No busca prohibir: busca hacer que el uso de la IA sea previsible, trazable y conforme a la normativa. Para una pyme o una profesión liberal, es el primer acto de gobernanza de la IA. Y a menudo es el único necesario durante meses.
Puntos clave
- Según un estudio de junio de 2025 realizado por Bpifrance Le Lab, el 43 % de las pymes y empresas medianas ya ha adoptado la IA.
- Una carta de IA regula las herramientas autorizadas, los datos utilizables y los casos de recurso obligatorio a un humano.
- El RGPD, la Ley de IA y la responsabilidad del empleador obligan a documentar los usos sensibles.
- Un buen modelo de carta cabe en una página A4 y se lee en menos de diez minutos.
- NexeAI acompaña a las pymes en la redacción y la implantación de su carta de IA.
Qué es una carta de uso de la IA
Una carta de uso de la IA es un documento interno que define las reglas de recurso a las herramientas de inteligencia artificial dentro de la empresa. Responde a cinco preguntas simples: quién puede usar la IA, con qué finalidad, con qué datos, en qué herramientas y bajo qué supervisión.
No sustituye a la política de seguridad informática ni al reglamento interno. Los complementa tratando un punto preciso: la frontera entre lo que la empresa autoriza y lo que prohíbe en materia de IA. Esta frontera varía según los sectores. Un despacho de abogados no aceptará los mismos usos que una agencia inmobiliaria. Una consultora de TI no tendrá las mismas restricciones que un restaurante.
El objetivo no es producir un documento jurídico de veinte páginas. Una carta útil se entiende a la primera. Si un empleado tiene que releerla tres veces para saber si puede usar una herramienta, la carta ha fracasado.
Por qué una pyme necesita hoy una carta de IA
La adopción de la IA ya no es marginal. Según un estudio de junio de 2025 realizado por Bpifrance Le Lab, el 43 % de las pymes y empresas medianas ya ha adoptado la IA. Esta cifra oculta una realidad más compleja: en muchas empresas, la IA se usa sin marco, sin inventario y sin validación de los riesgos.
Esta falta de marco expone a tres problemas.
La fuga de datos. Un empleado que pega un contrato, un balance o un expediente médico en una interfaz en línea puede violar el secreto profesional o el RGPD. Incluso las herramientas de consumo masivo más conocidas almacenan temporalmente las conversaciones y potencialmente las usan para mejorar sus modelos.
La responsabilidad del empleador. En caso de perjuicio causado por un uso desleal o negligente de la IA, el directivo puede ser considerado responsable. Un empleado que genera imágenes protegidas por derechos de autor, que redacta un informe médico erróneo o que automatiza una decisión discriminatoria compromete a la empresa. Una auditoría de sus riesgos de IA permite identificar estas situaciones antes de que se conviertan en problemas.
La pérdida de confianza. Los clientes y los socios hacen cada vez más preguntas sobre el uso de la IA. Una empresa incapaz de explicar cómo usa estas herramientas parece descontrolada. Una carta publicada, aunque sea parcialmente, refuerza la credibilidad. Las empresas más avanzadas integran este enfoque en una reflexión más amplia sobre la IA en la empresa.
Los seis puntos que debe contener una carta de IA
Un modelo de carta eficaz se apoya en seis secciones. Cubren lo esencial sin abrumar al lector con consideraciones teóricas.
1. Ámbito de aplicación y definiciones
La carta empieza diciendo a quién se dirige: todos los empleados, los becarios, los autónomos, los subcontratistas. Después define lo que entiende por «herramienta de IA»: asistentes conversacionales, generadores de texto, de imagen, de código, de vídeo, herramientas de transcripción, de traducción, de síntesis, y cualquier software que integre un modelo de lenguaje.
Esta sección evita ambigüedades. Un empleado que usa la función de redacción de su software ofimático debe saber si la carta se aplica.
2. Herramientas autorizadas y prohibidas
La carta enumera las herramientas validadas por la empresa. Para cada una, indica el uso autorizado, el nivel de confidencialidad de datos aceptado y la cuenta que hay que usar. Precisa también las herramientas prohibidas, aunque sean gratuitas o populares.
Es útil clasificar las herramientas en tres categorías:
- Libre servicio: herramientas validadas para usos habituales sin autorización previa.
- Autorización previa: herramientas reservadas a ciertos oficios o a ciertos datos.
- Prohibido: herramientas que no cumplen las exigencias de confidencialidad o seguridad de la empresa.
3. Datos utilizables y datos prohibidos
Es la sección más técnica y más importante. La carta debe decir con claridad qué datos pueden introducirse en una herramienta de IA. Regla general: ningún dato de carácter personal, ningún dato confidencial de cliente, ningún secreto profesional, ninguna información estratégica no pública en una herramienta de consumo masivo sin validación.
Precisa también las excepciones. Por ejemplo, una herramienta autoalojada en los servidores de la empresa puede tratar datos sensibles. Una herramienta certificada para datos de salud puede usarse para datos sanitarios. Cada excepción debe estar justificada.
4. Casos de recurso obligatorio a un humano
La IA no sustituye la decisión humana en ciertos casos. La carta enumera las situaciones en las que un operador humano debe validar, corregir o firmar el trabajo de la IA. Ejemplos habituales: el asesoramiento a clientes, las decisiones financieras, los diagnósticos, los contenidos publicados en nombre de la empresa, las respuestas a las autoridades.
Esta sección protege contra dos excesos: la prohibición sistemática, que paraliza a los equipos, y la confianza ciega, que expone a errores.
5. Propiedad intelectual y verificación de contenidos
La carta recuerda que la empresa sigue siendo responsable de los contenidos producidos con ayuda de la IA. Obliga a verificar los hechos, a releer los textos, a controlar las fuentes y a asegurarse de que las imágenes o los códigos generados no vulneran derechos de terceros.
También puede fijar una regla de transparencia: indicar cuándo un contenido ha sido producido o asistido por la IA, en particular en las comunicaciones externas.
6. Sanciones y actualización
La carta precisa las consecuencias de un incumplimiento. Van desde el aviso hasta la sanción disciplinaria según la gravedad. Por último, indica quién valida las modificaciones de la carta y con qué frecuencia se revisa. Una actualización anual es un mínimo, con una revisión rápida ante cada nueva herramienta importante.
Modelo de carta de IA para adaptar
Aquí tiene un modelo que puede retomar y completar. Cabe en una página y cubre los seis puntos anteriores.
Carta de uso de la inteligencia artificial
Empresa: [nombre] Fecha de entrada en vigor: [fecha] Responsable de la carta: [nombre / cargo]
1. Objeto La presente carta fija las reglas de uso de las herramientas de inteligencia artificial dentro de la empresa. Se aplica a todos los empleados, sea cual sea su contrato.
2. Herramientas autorizadas Las siguientes herramientas están validadas para uso profesional: [lista]. Cualquier otra herramienta de IA debe ser objeto de una solicitud previa ante [responsable].
3. Datos autorizados Solo pueden introducirse en las herramientas autorizadas datos públicos, anonimizados o internos no sensibles. Están prohibidos: los datos de carácter personal de los clientes, los datos financieros confidenciales, los secretos comerciales, los expedientes amparados por el secreto profesional.
4. Verificación humana Todo contenido producido por la IA y destinado a usarse en nombre de la empresa debe ser releído, verificado y validado por un humano antes de su difusión.
5. Propiedad intelectual La empresa sigue siendo la única responsable de los contenidos generados con ayuda de la IA. El empleado se asegura de que los contenidos cumplen los derechos de terceros.
6. Sanciones El incumplimiento de la presente carta expone a su autor a una medida disciplinaria proporcional a la gravedad de los hechos.
7. Actualización La presente carta se revisa cada año y ante cada evolución significativa de las herramientas utilizadas.
Este modelo constituye un punto de partida. No sustituye una opinión jurídica adaptada a su sector. Las profesiones reguladas deben completar estas reglas con obligaciones específicas.
Adaptar la carta a su sector
Una carta genérica vale más que ninguna carta. Una carta adaptada a su oficio vale más que una carta genérica.
Despachos de abogados y profesiones jurídicas. El secreto profesional y el secreto de las deliberaciones prohíben introducir expedientes de clientes en una herramienta alojada fuera de la Unión Europea. La carta debe imponer herramientas locales o autoalojadas, con trazabilidad de los accesos. Nuestro acompañamiento para el sector jurídico
Asesores contables y auditores. Los datos fiscales y sociales de los clientes están protegidos. La carta prohíbe introducirlos en herramientas de consumo masivo y precisa los casos en que la IA puede ayudar a redactar documentos estándar sin acceso a los datos nominativos.
Médicos y profesiones sanitarias. Los datos de salud están amparados por el secreto médico. Solo pueden usarse herramientas certificadas y alojadas en Francia. La carta debe exigir una validación sistemática de la información médica generada por la IA.
Agencias inmobiliarias. Los datos de vendedores, compradores e inquilinos son personales. La carta regula el uso de la IA para redactar anuncios, descripciones de inmuebles o respuestas a solicitudes, prohibiendo introducir expedientes completos.
Artesanos y comerciantes. Los riesgos se centran sobre todo en la protección de los datos de clientes y la verificación de los contenidos publicitarios. Una carta sencilla, centrada en las herramientas autorizadas y la verificación humana, suele bastar.
Hacer que la carta se adopte en la empresa
Un documento guardado en un rincón del servidor no sirve de nada. La carta debe convertirse en un reflejo. Tres acciones facilitan su adopción.
La formación. Organizar una reunión de presentación de veinte minutos. Mostrar ejemplos concretos: un correo de cliente introducido en una herramienta no autorizada, una imagen generada con derechos de autor, una respuesta de IA enviada sin verificación. Lo concreto convence más que lo teórico. Para ir más lejos, una formación en IA para empresas ayuda a los equipos a distinguir los usos autorizados de los usos arriesgados.
La integración en la incorporación. Todo nuevo empleado firma la carta a su llegada. Esto crea un hábito y evita que se instalen malas prácticas. Esta firma se inscribe de forma natural en una guía de uso de la IA en la empresa más amplia.
El punto de contacto. Designar a una persona de referencia para las preguntas. Un empleado que duda debe saber a quién preguntar. Esta persona mantiene actualizada la lista de herramientas autorizadas y responde a los casos límite.
Preguntas frecuentes
¿Es obligatoria una carta de IA en Francia?
Hoy no existe una obligación legal explícita de redactar una carta de IA. En cambio, el RGPD, la Ley de IA y el derecho laboral obligan a controlar los riesgos ligados a las herramientas usadas por los empleados. Una carta es la forma más sencilla de demostrar ese control.
¿Cuál es la diferencia entre una carta de IA y una política de seguridad informática?
La política de seguridad informática trata los accesos, las contraseñas, las redes y los equipos. La carta de IA trata específicamente los usos de la inteligencia artificial: herramientas autorizadas, datos que pueden introducirse, verificación humana. Los dos documentos se complementan.
¿Se puede imponer una carta de IA a autónomos y subcontratistas?
Sí, en la medida en que accedan a los datos o actúen en nombre de la empresa. La carta debe integrarse en el contrato o ser objeto de un anexo. Se aplican las mismas reglas de confidencialidad.
¿Una herramienta de IA alojada en Francia es forzosamente conforme a la normativa?
No. El alojamiento en Francia o en Europa es una condición necesaria para los datos sensibles, pero no suficiente. También hay que verificar las condiciones de servicio, el nivel de certificación, la ausencia de reutilización de los datos para el entrenamiento, y la trazabilidad de los accesos.
¿Cuánto tiempo se tarda en implantar una carta de IA?
Una primera versión sencilla puede redactarse en media jornada. La fase más larga suele ser la consulta interna y la validación por el directivo. La implantación, con formación y firma, se extiende durante unos días.
Conclusión
Una carta de uso de la IA no es un freno. Es una herramienta de clarificación que da a los equipos el derecho a usar la IA dentro de un perímetro seguro. Reduce los riesgos jurídicos, protege la reputación de la empresa y tranquiliza a los clientes.
Para una pyme o una profesión liberal, el proceso sigue siendo sencillo. Un modelo de una página, adaptado al oficio, firmado por los empleados y revisado una vez al año basta para transformar un uso informal en una práctica controlada.
Si desea que redactemos su carta de IA con un equipo que conoce las restricciones de las pymes francesas, contáctenos. Le ayudamos a identificar sus riesgos, elegir sus herramientas y formar a sus equipos.
