Publicado el
8 MIN DE LECTURA
Política de uso de IA: modelo para que tu empresa la adopte
Por:
La política de uso de IA es el documento interno que dice qué herramientas de inteligencia artificial libera la empresa, qué datos pueden entrar en ellas, quién revisa lo que sale y qué hacer cuando algo sale mal. En Brasil, ninguna ley exige un documento con ese nombre, pero la LGPD, la ley de protección de datos de Brasil, exige las medidas que él organiza.
El equipo ya usa asistentes de texto, transcripción y código desde hace meses, cada persona con la cuenta que le pareció mejor, y alguien pregunta si eso está permitido. Quien ya leyó sobre LGPD e inteligencia artificial dentro del producto va a reconocer la misma lógica, aplicada ahora a las personas y a los proveedores.
En Wama, la IA entra en código y automatización, con Claude Code y los agentes de Framer, y todo resultado pasa por lectura humana antes de llegar al cliente. Esa regla cabe en una línea y ya es una política de uso. El modelo de abajo transforma ese tipo de decisión en diez cláusulas que adaptas a tu operación.
¿Por qué la empresa necesita una política de uso de IA?
Porque la ley exige el resultado, y la política es la forma más barata de probar que existe. El artículo 50 de la LGPD permite que la empresa formule reglas de buenas prácticas y de gobernanza, con procedimientos, normas de seguridad, acciones educativas y mecanismos internos de supervisión. El mismo artículo enumera lo que debe tener un programa de gobernanza en privacidad, incluidas políticas internas y planes de respuesta a incidentes.
El artículo 46 exige medidas de seguridad técnicas y administrativas y dice que valen desde la concepción del producto o del servicio. Una cuenta personal de asistente de IA recibiendo una planilla de clientes es exactamente el tipo de exposición que esas medidas existen para evitar.
Sin una regla escrita, cada persona decide sola qué es aceptable, y la empresa solo descubre el patrón después del problema. El artículo sobre Claude Code en el desarrollo muestra el otro lado: con la regla clara, la IA acelera el trabajo sin que nadie tenga que adivinar el límite.
El modelo en diez cláusulas
El modelo que sigue fue pensado para una empresa mediana, con un equipo que ya usa IA en el día a día. Cambia los corchetes por los datos de tu operación y revísalo con quien se encarga de la protección de datos antes de distribuirlo.
Objetivo y alcance. Esta política vale para todas las personas de [EMPRESA] y para quien trabaja en su nombre, incluidos los proveedores. Responsable: [NOMBRE Y CARGO].
Herramientas liberadas. Solo herramientas de la lista oficial, con cuenta de la empresa: [HERRAMIENTA, TIPO DE CUENTA, USO PERMITIDO].
Solicitud de herramienta nueva. Antes de liberarla, verificar si el proveedor usa los datos para entrenar modelos, dónde los procesa y qué dice el contrato.
Datos permitidos. Seguir el semáforo verde, amarillo y rojo (próxima sección).
Usos prohibidos. Decidir sobre personas sin revisión humana registrada; enviar al cliente un texto que nadie leyó.
Revisión humana. Quien usa la IA responde por el resultado; números, citas y fuentes se verifican en el origen.
Transparencia. Avisar al cliente y al usuario cuando conversa con un sistema automatizado.
Proveedores. Las mismas reglas en el contrato de quien trabaja para la empresa.
Incidentes. Un dato rojo expuesto va a [RESPONSABLE] el mismo día.
Revisión. Cada [6 MESES] o cuando entre una herramienta nueva.
La cláusula 3 es la que más protege. Gana peso cuando la IA deja de solo responder y pasa a consultar sistemas internos, tema del artículo sobre MCP para empresas.
¿Qué datos pueden entrar en una herramienta de IA?
Solo los necesarios para la tarea, y nunca datos sensibles ni credenciales. El principio de necesidad, en el artículo 6 de la Ley General de Protección de Datos de Brasil, limita el tratamiento al mínimo para la finalidad, y eso vale igual cuando el tratamiento ocurre dentro de un asistente de IA.
Color | Qué entra | Condición |
|---|---|---|
Verde | información pública, texto propio sin datos personales, ejemplo ficticio | cualquier herramienta liberada |
Amarillo | documento interno, datos de clientes sin identificación, borrador de contrato | solo herramienta liberada con contrato de la empresa |
Rojo | contraseñas y claves de acceso, datos de salud, datos bancarios completos, datos de empleados para evaluación | nunca |
El amarillo es donde vive el trabajo real, y por eso la lista de herramientas de la cláusula 2 importa tanto. La misma planilla puede ser verde después de anonimizada y roja antes.
Una empresa financiera tiene una capa más: una decisión de crédito con apoyo de un modelo le da al titular el derecho de pedir revisión, punto que el artículo sobre IA para fintechs detalla.
Qué exigirle al proveedor que usa IA en tu proyecto
La política vale para quien trabaja en nombre de la empresa, y eso incluye agencia, estudio y desarrollador. Al contratar, pide por escrito cuatro respuestas: qué herramientas de IA entran en el proyecto, qué datos tuyos van a ellas, quién revisa lo que produce la IA y de quién es el resultado al final del contrato.
En software, la titularidad del código depende del contrato, y el artículo sobre software a medida y el dueño del código muestra las cláusulas que cierran esa cuenta.
Cuando Wama entrega un proyecto, se transfiere a la cuenta del cliente: sitio web, dominio y cuenta quedan a su nombre, y una sola persona responde del brief al deploy. Ese tipo de respuesta verificable es lo que la cláusula 8 debe exigirle a cualquier proveedor.
Si el proyecto es un producto con IA adentro, la lista crece: registro de lo que hizo el modelo, revisión de las decisiones y contrato con el proveedor del modelo. Quien va a crear un SaaS con IA necesita esas respuestas antes del diseño.
¿Qué hacer cuando alguien pega datos sensibles en la IA?
Tratarlo como un posible incidente de seguridad, el mismo día. El Reglamento de Comunicación de Incidentes de la ANPD, la autoridad de protección de datos de Brasil, aprobado por la Resolución CD/ANPD n.º 15 del 24 de abril de 2024, define incidente como un evento adverso confirmado que viola la confidencialidad, la integridad, la disponibilidad o la autenticidad de datos personales.
Si el incidente puede causar riesgo o daño relevante, la comunicación a la ANPD y al titular tiene que salir en tres días hábiles, contados desde que la empresa supo que se afectaron datos personales. Para agentes de pequeño porte, el plazo se cuenta en doble.
Incluso el incidente que no necesita comunicarse entra en el registro interno, guardado por al menos cinco años. Por eso la cláusula 9 le pone nombre a un responsable y exige aviso el mismo día.
En la práctica, el procedimiento tiene cuatro pasos: borrar la conversación cuando la herramienta lo permita, avisar al responsable, evaluar el riesgo con quien se encarga de la protección de datos y registrar lo que pasó.
Errores comunes
Copiar la política de otra organización. Una revista científica y una redacción de periódico tienen riesgos distintos de los tuyos; su texto rara vez habla de clientes, contratos o proveedores.
Prohibir todo. El equipo sigue usando IA en el celular, ahora sin ninguna regla, y la empresa pierde hasta la posibilidad de saber qué circula.
Escribir y no capacitar. Una política que nadie entendió no cambia el trabajo; una conversación corta, con ejemplos reales del semáforo, vale más que el PDF.
Olvidar al proveedor. Los datos del cliente salen por la agencia o el desarrollador contratado, fuera del alcance de la regla interna.
Prometer que la IA va a acortar todos los plazos. En Wama, la IA aceleró la construcción, no la decisión, y el plazo total de los proyectos no cambió; la ganancia apareció en el acabado.
Preguntas frecuentes
¿Es obligatorio tener una política de uso de IA en Brasil?
No existe una ley brasileña que exija un documento con ese nombre. La LGPD, sin embargo, exige medidas de seguridad desde la concepción, prevención de daños y rendición de cuentas, y el artículo 50 prevé reglas de buenas prácticas y gobernanza. La política de uso de IA es la forma más simple de reunir esas medidas y comprobar que existen.
¿Quién debe aprobar la política de uso de IA?
La dirección de la empresa, con apoyo de quien se encarga de la protección de datos y de quien conoce las herramientas en el día a día. El documento necesita un responsable con nombre y cargo, porque es quien libera herramientas nuevas, recibe los avisos de incidentes y decide los casos dudosos que el texto no resuelve.
¿La política de uso de IA vale para los proveedores?
Debería. Agencia, estudio y desarrollador tratan datos de la empresa y producen material en su nombre, así que las mismas reglas entran en el contrato. A la hora de elegir una agencia de creación de sitios web, pregunta qué herramientas de IA usa, qué datos tuyos entran en ellas y quién revisa el resultado.
¿Cada cuánto tiempo revisar la política?
Una revisión cada seis meses suele bastar para empezar, y también debe ocurrir siempre que entre una herramienta nueva o cambie el uso. La lista de herramientas liberadas envejece rápido. Deja la fecha de la próxima revisión escrita en el propio documento, junto al nombre del responsable de la actualización.
¿La política de uso de IA reemplaza el programa de LGPD?
No. Es una pieza de él. El programa de gobernanza en privacidad descrito en el artículo 50 de la LGPD cubre todo el tratamiento de datos de la empresa, con evaluación de riesgos y plan de respuesta a incidentes. La política de uso de IA aplica esas reglas a un tipo específico de herramienta y a las personas que la usan.
Si tu empresa va a poner IA dentro de un producto o de un sitio web en este ciclo, empieza por la política: define qué puede usar el proyecto y qué tiene que responder el proveedor antes de la primera pantalla. Conversa con Wama sobre tu proyecto.
