01 Jun Política de uso de IA para startups: qué tiene que incluir y cómo redactarla

El Reglamento Europeo de Inteligencia Artificial (AI Act) se aplica por fases, y el calendario acaba de cambiar. El «Ómnibus Digital» aprobado por el Consejo de la UE el 29 de junio de 2026 ha aplazado las obligaciones de los sistemas de IA de alto riesgo: pasan del 2 de agosto de 2026 a diciembre de 2027 (sistemas autónomos) y agosto de 2028 (IA integrada en productos). Pero ese aplazamiento no te da vía libre. Dos cosas te aplican ya: la obligación de alfabetización en IA del artículo 4, vigente desde febrero de 2025, y el RGPD, que estaba ahí desde mucho antes. Por eso cualquier startup que use IA debería tener documentada su política de uso de IA.

No es un trámite burocrático más. Es una consecuencia directa del artículo 4 del Reglamento IA —una de las piezas que el Ómnibus ha mantenido intactas—, que obliga a todas las organizaciones que despliegan o usan sistemas de IA a garantizar que sus empleados tienen la formación y los marcos de actuación necesarios para usarlos de forma responsable. Y ese marco, en la mayoría de startups, no existe todavía.

La buena noticia es que redactar una política de uso de IA para startups no requiere un equipo legal ni meses de trabajo. Sí requiere entender qué debe incluir, por qué importa y cómo encajarlo con el RGPD —que ya estaba ahí antes de que llegara el Reglamento IA y que condiciona directamente qué herramientas de IA puede usar tu empresa y cómo.

En este artículo te explico los elementos imprescindibles, la estructura que recomiendo a mis clientes y los errores más comunes que veo en startups que se lanzan a redactarla sin contexto.

Por qué tu startup necesita una política de uso de IA (aunque solo seáis diez personas)

Cuando hablo con fundadores sobre este tema, la reacción habitual es: «eso ya lo veremos cuando seamos más grandes.» Es comprensible. Hay prioridades. Pero hay tres razones por las que esta vez el tamaño no es una excusa.

La primera es regulatoria. El Reglamento IA europeo no hace distinciones por número de empleados. Si tu startup usa un sistema de IA para, por ejemplo, filtrar candidaturas, evaluar riesgo crediticio, recomendar contenido a usuarios o tomar decisiones que afecten a personas físicas, estás potencialmente en el perímetro de los sistemas de alto riesgo. El Ómnibus Digital ha retrasado el momento en que esas obligaciones documentales serán exigibles (diciembre de 2027 y agosto de 2028) e incluso ha introducido simplificaciones pensadas para pymes y startups. Pero retrasar no es eliminar: las obligaciones llegan, y presentarte preparado sale mucho más barato que improvisar sobre la fecha límite.

La segunda es el RGPD, que muchas startups ya conocen pero no conectan con la IA. Cada vez que un empleado copia datos de clientes en un chatbot de IA, o usa una herramienta que procesa conversaciones, está realizando un tratamiento de datos personales. Ese tratamiento necesita base legal, y en muchos casos una Evaluación de Impacto sobre la Protección de Datos (EIPD) previa. Sin una política interna que defina qué herramientas están aprobadas y cuáles no, cada empleado toma esa decisión por su cuenta —con todo el riesgo que eso conlleva.

La tercera es operativa: el 49 % de los empleados reconoce usar herramientas de IA no autorizadas por sus empresas. El llamado «Shadow AI» ya está en tu organización, aunque no lo hayas activado tú. Una política interna no lo elimina, pero lo visibiliza y lo regula.

Qué es exactamente una política de uso de IA para startups

Una política de uso de IA es un documento interno que establece las reglas del juego: qué herramientas de inteligencia artificial puede usar tu equipo, con qué datos, para qué tareas, quién autoriza excepciones y qué ocurre cuando algo va mal.

No es una declaración de valores ni un decálogo ético en la pared. Es un documento operativo que responde a preguntas concretas: ¿puede un empleado usar ChatGPT para redactar un contrato con datos de cliente? ¿Quién decide si aprobamos una herramienta nueva? ¿Qué hacemos si alguien pega información confidencial en un modelo de IA sin saber que esa herramienta entrena con los datos?

En una startup, este documento puede ser relativamente breve —no necesitas las diez secciones con comité de ética que se recomiendan para una multinacional—. Pero sí necesita cubrir unos mínimos que te explico a continuación.

Los elementos que no pueden faltar

1. El inventario de herramientas aprobadas

El primer paso es saber qué herramientas de IA usa realmente tu equipo. Pide a cada departamento que liste las que utiliza: ChatGPT, Copilot, Gemini, Notion AI, Grammarly, herramientas de transcripción, asistentes de código… La lista suele sorprender.

Una vez tienes el inventario, clasifica cada herramienta en tres categorías: aprobada, restringida o prohibida. Los criterios para clasificarlas deben basarse en dos preguntas fundamentales desde la perspectiva del RGPD: ¿esta herramienta firma un Acuerdo de Encargado del Tratamiento (AET/DPA) compatible con el RGPD? ¿Dónde se procesan y almacenan los datos?

Las versiones gratuitas de la mayoría de herramientas de IA —ChatGPT Free, Claude Free, Gemini Free— no ofrecen ese acuerdo. Pueden entrenar con tus datos. Para uso con datos internos o de clientes, deben estar en la categoría de prohibidas, no por capricho, sino porque usarlas supone una cesión de datos sin base legal.

2. Las reglas sobre qué datos pueden entrar en qué herramientas

Este es el nudo gordiano de la política y el punto donde más startups cometen errores. La clasificación que suelo recomendar tiene cuatro niveles:

Los datos públicos —información ya disponible en internet, documentación técnica, precios publicados— pueden usarse en cualquier herramienta aprobada sin restricciones. Los datos internos —procedimientos, borradores, notas de reunión sin datos personales— pueden usarse en herramientas aprobadas con DPA firmado. Los datos confidenciales —información de clientes, estrategia comercial, datos financieros no publicados— solo pueden entrar en herramientas con DPA y residencia de datos verificada en la UE, o en soluciones desplegadas en tu propia infraestructura. Los datos restringidos —categorías especiales del RGPD: salud, datos biométricos, afiliación sindical, etc.— no pueden entrar en ninguna herramienta de IA externa bajo ningún concepto.

Escrito así parece sencillo. La dificultad está en hacer que tu equipo lo interiorice. Por eso la formación es inseparable de la política.

3. La obligación de supervisión humana

El Reglamento IA establece que los sistemas de IA de alto riesgo deben tener supervisión humana. Aunque el Ómnibus Digital ha aplazado la exigibilidad de esa obligación, el principio sigue siendo puro sentido común: la IA comete errores, alucina, puede introducir sesgos. Tu política debe especificar que cualquier output de IA que vaya a un cliente, que forme parte de un contrato, que afecte a una persona o que se publique necesita revisión humana antes de usarse.

Esto no significa desconfiar de la IA. Significa que quien envía el email o firma el documento es una persona que asume la responsabilidad, no un algoritmo.

4. El procedimiento para aprobar herramientas nuevas

Cada semana aparecen herramientas nuevas. Tu política debe definir un proceso mínimo para evaluarlas antes de que alguien del equipo empiece a usarlas. En una startup sin DPO dedicado, ese proceso puede ser tan simple como: el responsable del área que quiere usar la herramienta completa un formulario básico (¿tiene DPA? ¿dónde se procesan los datos? ¿qué datos se le van a dar?), y la decisión final la toma la persona responsable de protección de datos —interna o externa.

Si tienes un DPO externo, como los que ofrecemos en Emprender Seguro, este es exactamente el tipo de decisión para la que está contratado.

5. El protocolo de incidentes

¿Qué pasa si un empleado pega por error datos de cien clientes en una herramienta no aprobada? Tu política debe decirlo. El protocolo mínimo: notificar al responsable en menos de 24 horas, el responsable evalúa si es una brecha de datos personales, y si lo es, la AEPD debe ser notificada en un máximo de 72 horas según el artículo 33 del RGPD.

Sin este protocolo documentado, la confusión en el momento del incidente multiplica el daño y las probabilidades de incumplir los plazos legales.

6. La formación mínima obligatoria

El artículo 4 del Reglamento IA —la llamada obligación de «AI Literacy»— exige que las organizaciones garanticen que las personas que trabajan con sistemas de IA tienen un nivel suficiente de alfabetización en IA. Eso incluye entender qué hace la herramienta, cuáles son sus limitaciones, y cuándo sus resultados deben cuestionarse. Es, además, una de las obligaciones que el Ómnibus Digital ha dejado intactas: sigue vigente desde el 2 de febrero de 2025.

En la práctica, para una startup, esto puede resolverse con una sesión de formación de dos horas cuando se incorpora alguien nuevo y una actualización anual. Lo importante es que quede registrado.

El ángulo que la mayoría pasa por alto: RGPD y Reglamento IA van de la mano

Muchos artículos sobre política de uso de IA para startups hablan del Reglamento IA o del RGPD por separado. La realidad es que en tu empresa coexisten y se condicionan mutuamente.

Antes de aprobar cualquier herramienta de IA que vaya a procesar datos personales, el RGPD ya te obliga a hacer una Evaluación de Impacto sobre la Protección de Datos si el tratamiento supone un riesgo alto para los derechos de las personas. Eso incluye muchos sistemas de IA: los que analizan comportamiento de usuarios, los que procesan comunicaciones de clientes, los que toman decisiones automatizadas.

La persona que debería aprobar o rechazar cada herramienta de IA en tu startup, desde la perspectiva del RGPD, es el Responsable de Protección de Datos —ya sea un DPO interno o un DPD externo. No el CTO, no el CEO: la persona que conoce el marco normativo y puede evaluar si ese tratamiento es conforme.

Esto no significa que el equipo de producto no pueda proponer herramientas ni que el departamento técnico no sea quien las implemente. Significa que antes de que entren en producción, especialmente si van a tocar datos de clientes o empleados, hay una revisión que debe ocurrir.

Cómo empezar esta semana si partes de cero

Si tu startup no tiene nada todavía, aquí tienes un punto de partida real:

Primero, envía una encuesta interna pidiendo a cada persona del equipo que liste las herramientas de IA que usa, con qué frecuencia y para qué. Garantiza el anonimato si crees que puede haber Shadow AI que la gente no quiera reconocer.

Segundo, con esa lista, identifica cuáles tienen DPA firmable y cuáles no. Para las herramientas más comunes, la información está disponible en sus páginas de privacidad empresarial.

Tercero, redacta una primera versión del documento con los seis elementos que te he descrito. No tiene que ser perfecta. Una política de dos páginas que tu equipo conoce y aplica vale infinitamente más que un documento de veinte páginas que nadie ha leído.

Cuarto, compártela con quien lleva la protección de datos en tu empresa —interno o externo— para que revise si la clasificación de herramientas y las reglas sobre datos son conformes con el RGPD.

Quinto, hazla firmar a todo el equipo y guarda el registro. Eso es parte de la evidencia que necesitarás si algún día te auditan.

Las fechas que no puedes ignorar (y por qué no puedes esperar a 2027)

El calendario del Reglamento IA cambió con el Ómnibus Digital aprobado por el Consejo de la UE el 29 de junio de 2026. Estas son las fechas que importan hoy:

• Artículo 4 (alfabetización en IA): vigente desde el 2 de febrero de 2025. No se ha aplazado.
• Nuevas prohibiciones del artículo 5: 2 de diciembre de 2026.
• Sistemas de IA de alto riesgo autónomos (Anexo III): 2 de diciembre de 2027.
• IA de alto riesgo integrada en productos (Anexo I): 2 de agosto de 2028.

Un apunte importante: el Ómnibus solo surtirá efecto cuando se publique en el Diario Oficial de la UE (entra en vigor a los tres días de esa publicación). Hasta entonces, formalmente siguen rigiendo las fechas originales.

¿La conclusión para tu startup? Que la parte que te obliga hoy —formar a tu equipo y tener el marco de uso por escrito— no espera a 2027. Y que el RGPD ya condiciona qué herramientas de IA puedes usar y con qué datos, con independencia del calendario del Reglamento IA. La AESIA —Agencia Española de Supervisión de la Inteligencia Artificial (aesia.digital.gob.es)— ya está operativa, y la AEPD lleva tiempo investigando tratamientos de datos personales con IA. El marco regulador no es una promesa futura: está en marcha.

Si tu startup usa IA para procesar datos, tomar decisiones o interactuar con usuarios, el tiempo para prepararte no se mide en años, sino en semanas.

Una política de uso de IA para startups bien redactada, combinada con la formación básica de tu equipo, es el primer paso. No el último, pero sí el que bloquea todo lo demás si no existe.

Si quieres que te ayudemos a redactarla, escríbenos. Es exactamente para lo que estamos en Emprender Seguro.