Una política de uso de inteligencia artificial es un documento interno, de dos a cinco páginas, que le dice a tu equipo qué herramientas de IA puede usar, con qué cuentas, qué información nunca debe subir, qué tiene que revisar una persona antes de que llegue al cliente y a quién avisar si algo sale mal. Para una mediana empresa peruana, tenerla por escrito ya no es un lujo: tus trabajadores probablemente usan ChatGPT, Gemini o Claude hoy, con o sin permiso, y el reglamento de la Ley 31814 pide a las organizaciones que implementan IA establecer políticas y procedimientos claros.
Abajo tienes una plantilla completa con cláusulas listas para adaptar, una tabla para clasificar la información según el riesgo y los pasos para aprobarla y hacerla cumplir sin frenar al equipo. Está pensada para empresas de 20 a 250 trabajadores, pero sirve también para una MYPE que quiera ordenarse.
Actualizado: octubre de 2026
Lo esencial
- La política responde cinco preguntas: qué herramientas, con qué cuentas, qué datos sí y cuáles no, qué revisa una persona y qué hacer ante un error.
- El D.S. 115-2025-PCM, reglamento de la Ley 31814, pide a quienes implementan IA establecer políticas, protocolos y procedimientos, y capacitar a su personal.
- La Ley 29733 y su reglamento (D.S. 016-2024-JUS) siguen aplicando a todo dato personal que subas a una herramienta de IA.
- Clasifica la información en tres niveles (libre, con cuidado, prohibida) para que la regla sea fácil de recordar.
- Una política que nadie conoce no sirve: firma, capacitación corta y revisión cada seis meses.
Por qué tu empresa necesita una política de uso de IA
El escenario más común en una empresa peruana mediana es este: alguien de ventas usa ChatGPT gratis para redactar propuestas, una analista de finanzas pega un reporte de cobranzas en un asistente para resumirlo y el área de marketing genera imágenes para la campaña. Nadie lo aprobó, nadie lo prohibió y nadie sabe qué datos salieron de la empresa.
Según el Sondeo Gerencial de Axpen citado por Gestión, el 52 % de los ejecutivos peruanos prioriza adoptar IA en los próximos 12 meses y más de la mitad considera que su personal no está preparado para aprovecharla. La política es la forma más barata de cerrar esa brecha: no requiere comprar nada y fija reglas comunes.
Los riesgos concretos que evita:
- Filtración de información. Datos de clientes, contratos o precios subidos a cuentas personales cuya configuración no controlas. Los explicamos en los riesgos de usar ChatGPT con datos confidenciales.
- Errores que llegan al cliente. Cifras, citas legales o condiciones inventadas por el modelo. Ver qué es una alucinación de IA.
- Incumplimientos de datos personales, que bajo la Ley 29733 pueden costar multas de hasta 100 UIT.
- Dependencia de cuentas personales: si el trabajador se va, su historial y sus asistentes configurados se van con él.
Qué dice la normativa peruana
El D.S. 115-2025-PCM, publicado en El Peruano el 9 de setiembre de 2025, reglamenta la Ley 31814. Según el resumen del estudio Payet, Rey, Cauvi, Pérez, distingue entre desarrolladores (quienes diseñan o entrenan sistemas de IA) e implementadores (quienes los integran en un proceso productivo u operativo). Una empresa que usa IA en sus procesos es, en principio, implementadora. Sus obligaciones básicas:
- Establecer políticas, protocolos y procedimientos claros alineados con los principios del reglamento (no discriminación, privacidad, derecho de autor, supervisión humana, transparencia, rendición de cuentas, entre otros).
- Fomentar la educación y concientización interna sobre los riesgos de la IA.
- Para usos de riesgo alto (evaluación crediticia, acceso a salud, selección y cese de trabajadores): registro del funcionamiento del sistema, supervisión humana e información previa al usuario.
Para el sector privado, el reglamento entra en vigor por etapas: salud, educación, justicia, seguridad, economía y finanzas desde el 10 de setiembre de 2026; transporte, comercio y trabajo desde el 10 de setiembre de 2027; producción, agricultura, energía y minería desde el 10 de setiembre de 2028, y el resto desde el 10 de setiembre de 2029. El análisis completo está en todo lo que debes saber sobre el reglamento de la Ley de IA.
En paralelo, la Ley 29733 de protección de datos personales y su reglamento aplican siempre que subas datos de personas a una herramienta, y enviarlos a servidores en el extranjero es un flujo transfronterizo que debe estar informado.
Clasifica la información en tres niveles
El corazón de la política es una regla que cualquiera recuerde. Funciona mejor un semáforo que una lista de cincuenta prohibiciones.
| Nivel | Ejemplos | ¿Se puede usar con IA? |
|---|---|---|
| Verde: información pública o genérica | Textos de la web, catálogos publicados, ideas de campaña, plantillas sin datos | Sí, en cualquier herramienta aprobada |
| Ámbar: información interna | Procedimientos, reportes sin nombres, propuestas en preparación, actas de reuniones | Solo en cuentas empresariales aprobadas y sin datos personales |
| Rojo: información confidencial o personal | DNI, datos de salud, planillas, cuentas bancarias, contratos firmados, contraseñas, estrategia de precios, datos de clientes identificables | No, salvo herramienta aprobada expresamente para ese uso por el responsable de la política y con anonimización |
La anonimización es la herramienta más útil del nivel ámbar: reemplazar «Comercial Huamán S.A.C., RUC 20…» por «Cliente A» antes de pedir un resumen. Enseña esto con ejemplos de tu propio rubro.
Plantilla de política de uso de inteligencia artificial
Copia, adapta los corchetes y elimina lo que no aplique. El tono es deliberadamente simple: si el documento necesita un abogado para entenderse, nadie lo leerá.
1. Objetivo
Esta política establece cómo [Nombre de la empresa] usa herramientas de inteligencia artificial para mejorar su trabajo, proteger la información de clientes, trabajadores y la empresa, y cumplir la Ley 29733, su reglamento y la Ley 31814 con su reglamento.
2. Alcance
Aplica a todos los trabajadores, practicantes y proveedores que usen herramientas de IA para tareas de la empresa, en equipos de la empresa o personales.
3. Herramientas aprobadas
Solo se pueden usar las herramientas de la lista del Anexo 1, con la cuenta indicada. Cualquier herramienta nueva se solicita a [responsable] antes de usarla con información de la empresa. Está prohibido usar cuentas personales gratuitas para información de nivel ámbar o rojo.
4. Clasificación de la información
Antes de usar una herramienta de IA, el trabajador identifica el nivel de la información (verde, ámbar o rojo) según la tabla del Anexo 2. Si tiene dudas, la trata como roja y consulta.
5. Usos permitidos
Redactar y corregir textos, resumir documentos de nivel verde o ámbar, generar ideas, traducir, preparar borradores de presentaciones, analizar datos anonimizados y apoyar tareas de programación sin incluir credenciales.
6. Usos prohibidos
Subir información de nivel rojo sin autorización; usar la IA para decidir por sí sola sobre contratación, evaluación o despido de personas, otorgamiento de crédito o acceso a servicios de salud; generar testimonios, reseñas o imágenes que presenten como reales productos, personas o resultados inexistentes; suplantar a personas reales; y usar la IA para eludir controles internos.
7. Revisión humana
Todo contenido generado con IA que vaya a clientes, autoridades o al público lo revisa la persona responsable antes de enviarse. Las cifras, citas legales, precios y plazos se verifican contra la fuente original. Quien envía un contenido responde por él, lo haya escrito o no una herramienta.
8. Transparencia con clientes
Los asistentes automáticos que atienden clientes se identifican como tales y ofrecen una forma de contactar a una persona. Las imágenes generadas con IA usadas en comunicación externa se identifican como tales cuando puedan confundirse con fotografías reales.
9. Datos personales
El uso de IA con datos personales respeta los principios de finalidad, proporcionalidad y seguridad de la Ley 29733. La política de privacidad de la empresa informa el uso de proveedores de IA y las transferencias internacionales. Toda nueva herramienta que trate datos personales se evalúa antes con [responsable de datos personales].
10. Propiedad intelectual
No se suben a herramientas de IA obras, documentos o código de terceros sin derecho a usarlos. Los contenidos generados para la empresa se revisan para evitar copiar marcas, logotipos o textos protegidos.
11. Seguridad de cuentas
Las cuentas empresariales usan correo corporativo y doble factor de autenticación. Al terminar la relación laboral, el administrador retira el acceso y conserva los proyectos o asistentes compartidos.
12. Incidentes
Si un trabajador sube por error información de nivel rojo o detecta que un contenido con errores llegó a un cliente, avisa a [responsable] el mismo día. No se sanciona el reporte oportuno de un error; sí el ocultarlo.
13. Capacitación
Todo trabajador que use IA recibe una inducción sobre esta política y una actualización al menos una vez al año.
14. Responsable y revisión
[Cargo] es responsable de esta política, de mantener el Anexo 1 actualizado y de revisarla cada seis meses o cuando cambie la normativa o las herramientas.
15. Aceptación
Declaro haber leído y entendido esta política. Nombre, DNI, área, fecha y firma.
Anexo 1: cómo armar la lista de herramientas aprobadas
La lista debe decir herramienta, tipo de cuenta, quién la usa y para qué nivel de información. La diferencia clave no es la marca, sino el tipo de plan. Los planes empresariales suelen ofrecer administración central y compromisos de no entrenar con tus datos; por ejemplo, OpenAI declara que no usa para entrenar los datos de ChatGPT Business según su página de privacidad empresarial. En los planes personales de Claude, en cambio, desde 2025 cada usuario elige si permite que sus chats se usen para entrenar modelos, según el anuncio de Anthropic.
Ejemplo ilustrativo de lista para una distribuidora de 60 personas:
- ChatGPT Business o Claude Team para ventas, administración y gerencia: niveles verde y ámbar.
- Gemini dentro de la cuenta de Google Workspace de la empresa para correos y documentos internos: verde y ámbar.
- Generador de imágenes aprobado para marketing: solo verde.
- Ninguna herramienta aprobada para nivel rojo, salvo autorización caso por caso.
Para elegir entre opciones, revisa ChatGPT, Claude o Gemini: cuál usar en tu empresa. Si el problema es pagar desde el Perú, la guía sobre cómo pagar ChatGPT y Claude lo explica.
Ejemplos por área para tu capacitación
La política se entiende mejor con casos del día a día. Estos ejemplos ilustrativos sirven para la charla de lanzamiento:
| Área | Uso correcto | Uso que la política prohíbe |
|---|---|---|
| Ventas | Pedir un borrador de propuesta con la plantilla de la empresa y revisarlo antes de enviarlo | Pegar la base de clientes con teléfonos y montos para «segmentarla» en una cuenta gratuita |
| Recursos humanos | Redactar un aviso de empleo o preparar preguntas de entrevista | Pedir a la IA que elija al mejor postulante o que descarte CV por su cuenta |
| Finanzas | Analizar un reporte de gastos con los nombres de proveedores reemplazados por códigos | Subir estados de cuenta bancarios o la planilla con sueldos |
| Marketing | Generar ideas de campaña o imágenes de ambiente identificadas como IA | Crear reseñas de clientes o fotos de producto que no corresponden a lo que se vende |
| Sistemas | Pedir ayuda para entender un error de código sin credenciales | Pegar contraseñas, claves de acceso o archivos de configuración del servidor |
Pide a cada jefe de área que agregue dos casos propios. Los ejemplos que vienen del mismo equipo se recuerdan mucho mejor que los de una plantilla.
Cómo aprobar e implementar la política en 30 días
- Semana 1: diagnóstico. Pregunta de forma anónima qué herramientas usa cada área y para qué. Te sorprenderá.
- Semana 2: borrador. Adapta la plantilla con un representante de cada área. Define la lista de herramientas y el semáforo con ejemplos reales de tu rubro.
- Semana 3: revisión. Pásala por tu asesor legal y por quien lleva la protección de datos. Contrata las cuentas empresariales necesarias.
- Semana 4: lanzamiento. Una charla de 45 minutos con casos, firma del documento y un canal para dudas. Pide a cada área un ejemplo de buen uso.
Si el diagnóstico muestra que la gente usa IA sin pedir permiso, no lo tomes como una falta: es una señal de que la herramienta resuelve algo. La política debe canalizar ese uso, no esconderlo.
Cómo hacer que se cumpla sin frenar al equipo
- Da alternativas, no solo prohibiciones. Si prohíbes la cuenta gratuita y no ofreces una empresarial, la gente seguirá usando la gratuita.
- Comparte buenos ejemplos. Una biblioteca interna de instrucciones que funcionan acelera más que cualquier capacitación. La guía para escribir prompts efectivos es un buen punto de partida.
- Mide con muestras. Revisa cada mes algunos contenidos enviados a clientes para ver si se cumplió la revisión humana.
- Trata los errores como aprendizaje. El reporte temprano de un incidente vale más que el castigo.
- Actualiza seguido. Las herramientas cambian sus planes y condiciones varias veces al año.
Errores frecuentes al redactar la política
- Copiar la política de una multinacional. Treinta páginas que nadie aplica en una empresa de 80 personas.
- Prohibir todo. Empuja el uso a la clandestinidad.
- No nombrar un responsable. Sin dueño, la lista de herramientas queda desactualizada en tres meses.
- Olvidar a los proveedores. Tu agencia, tu contador externo o tu desarrollador también usan IA con tu información; incluye una cláusula en sus contratos.
- No conectar con la política de privacidad que ven tus clientes.
En KOM ayudamos a empresas peruanas a poner en marcha la IA con orden: qué herramientas contratar, cómo configurar proyectos y asistentes compartidos, qué reglas fijar y cómo reflejarlo en tu web y tu política de privacidad. Si quieres avanzar con tu equipo, escríbenos y armamos un plan.
Preguntas frecuentes
¿Es obligatorio por ley tener una política de uso de IA en una empresa privada?
El reglamento de la Ley 31814 establece que los desarrolladores e implementadores de IA deben tener políticas, protocolos y procedimientos claros, con una entrada en vigor escalonada por sector entre 2026 y 2029. Aunque tu sector aún no esté en plazo, tener la política por escrito te ayuda a cumplir hoy la Ley 29733 cuando tu equipo usa IA con datos personales y te deja preparado para cuando la obligación te alcance.
¿Puedo sancionar a un trabajador que incumple la política de IA?
Sí, si la política forma parte del reglamento interno de trabajo o de las normas que el trabajador conoce y aceptó por escrito, y si la sanción es proporcional a la falta. Lo recomendable es que el documento se comunique formalmente, se firme y se explique en una capacitación. Antes de aplicar una sanción, revisa el caso con tu asesor laboral para respetar el procedimiento que exige la normativa.
¿Quién debe ser el responsable de la política de IA en una mediana empresa?
Depende de tu estructura, pero suele funcionar alguien con autoridad transversal: gerencia de administración, el área de sistemas o el oficial de datos personales si ya lo tienes. Lo importante es que tenga tiempo asignado para mantener la lista de herramientas, atender consultas y coordinar la revisión semestral. En empresas pequeñas, puede ser el propio gerente general con apoyo de un asesor externo.
¿La política también debe aplicar a los practicantes y proveedores externos?
Sí. Los practicantes suelen ser quienes más usan herramientas de IA y tienen acceso a la misma información que el resto del equipo. Con los proveedores, como agencias, contadores o desarrolladores, conviene incluir una cláusula en el contrato que los obligue a respetar tu clasificación de información y a informarte qué herramientas de IA usan con tus datos.
¿Cada cuánto hay que actualizar la política de uso de inteligencia artificial?
Una revisión cada seis meses es un buen ritmo, porque las herramientas cambian planes, funciones y condiciones de privacidad con frecuencia. Además, actualízala cuando incorpores una herramienta nueva, cuando cambie la normativa o cuando ocurra un incidente que muestre un vacío. Registra la versión y la fecha en el documento para saber qué regla estaba vigente en cada momento.
Este contenido es informativo y no reemplaza la asesoría legal.
