NOTAS

Tu equipo ya usa ChatGPT: 6 normas para una pyme antes de que sea un problema

Publicado el

En muchas pymes alguien usa ya ChatGPT o una herramienta parecida: para redactar correos, resumir contratos o sacar datos de un albarán. No hace falta prohibirlo ni montar un comité. Hacen falta unas pocas normas claras, escritas en una página, que protejan los datos de la empresa y cubran lo básico que piden el RGPD y el AI Act.

Aquí tienes seis, y al final una plantilla para adaptarla. Tú sabes mejor que nadie qué documentos son delicados en tu empresa; la lista solo te obliga a escribirlo.

1. Herramientas de empresa, no cuentas personales

Decide qué herramientas se usan y con qué cuenta. Las cuentas personales gratuitas pueden usar lo que escribes para mejorar sus modelos, según cómo estén configuradas, y la empresa no controla qué se queda guardado. Una cuenta de empresa puede dar más control sobre usuarios, retención y uso de los datos. Hay que comprobar qué incluye el plan contratado.

2. Lo que nunca se pega

Escribe una lista corta y concreta. Por ejemplo:

  • Datos personales de clientes o empleados: DNI, nóminas, datos de salud.
  • Precios, márgenes y condiciones con clientes o proveedores.
  • Contratos y documentos con cláusula de confidencialidad.
  • Contraseñas, claves y datos bancarios.

Si necesitáis trabajar con esos documentos, hay que revisar permisos, condiciones del proveedor, conservación y seguridad; cuando corresponda, también el contrato de encargado del tratamiento. Tener un servidor propio no resuelve por sí solo esas obligaciones. Hablo de esa opción en IA privada para documentos de la empresa.

3. Todo lo que sale hacia fuera lo revisa una persona

Los modelos de lenguaje se equivocan con aplomo: inventan cifras, fechas y referencias que suenan bien. Cualquier texto, importe o dato que vaya a un cliente, a un proveedor o al ERP lo revisa alguien antes de enviarlo. Si la IA extrae datos de documentos, la revisión puede centrarse en las excepciones una vez comprobadas las validaciones y la tasa de error con una muestra real.

4. Formación con ejemplos del trabajo

El AI Act pide desde febrero de 2025 que las empresas que usan sistemas de IA tomen medidas para que su gente sepa usarlos. En julio de 2026 se suavizó la redacción: ahora se trata de apoyar esa formación, sin garantizar un nivel concreto para cada persona. Pero la obligación sigue existiendo y afecta a empresas de cualquier tamaño.

Una sesión sobre estas normas y los errores que podéis encontrar en vuestro trabajo puede ser un comienzo. La formación debe ajustarse al uso y al riesgo: el AI Act no fija una duración mínima ni dice que una hora baste. Conviene guardar la fecha, el contenido y quién asistió.

5. Si la IA habla con clientes, que se sepa

Si pones un asistente en la web o en WhatsApp que responde a clientes, la persona tiene que saber que habla con una IA, salvo que sea evidente. Es una de las obligaciones de transparencia del AI Act que se aplican desde el 2 de agosto de 2026. Recae sobre todo en quien ofrece el sistema, pero si lo configuras y lo pones delante de tus clientes, compruébalo tú. También tiene sentido comercial: un cliente que descubre tarde que hablaba con una máquina se siente engañado.

6. Cuidado con las decisiones sobre personas

No uses la IA para descartar candidatos, evaluar empleados o decidir a quién das crédito sin pensarlo dos veces. La selección de personal es una de las áreas de «alto riesgo» del AI Act, con obligaciones que se aplican desde el 2 de diciembre de 2027. Mientras tanto, si una herramienta filtra currículos, una persona debe revisar los descartes y poder explicar por qué se descartó a alguien.

Plantilla de normas en una página

Cópiala, adapta los corchetes y repártela.

Normas de uso de IA en [empresa] · Revisadas el [fecha]

  1. Usamos solo [herramientas], con la cuenta de empresa.
  2. Nunca pegamos: datos personales de clientes o empleados, precios y márgenes, contratos confidenciales, contraseñas ni datos bancarios.
  3. Todo texto, importe o dato que salga hacia fuera lo revisa una persona.
  4. Si un asistente de IA habla con clientes, lo indicamos claramente.
  5. No usamos IA para decidir sobre personas (selección, evaluación) sin revisión humana.
  6. Dudas y herramientas nuevas: se consultan con [responsable].

Preguntas frecuentes

¿El AI Act obliga a una pyme que solo usa ChatGPT? Sí, en lo básico. Quien usa un sistema de IA en su trabajo debe tomar medidas para que su gente sepa usarlo. Las obligaciones fuertes son para usos de alto riesgo, como la selección de personal.

¿Hay multas por no formar al equipo? El artículo 4 no tiene una multa específica en el catálogo del AI Act. Eso no equivale a ausencia de consecuencias: la Comisión remite también a medidas y sanciones nacionales. El RGPD tiene su propio régimen.

¿Puedo usar IA con documentos confidenciales? Puede ser viable, pero hay que revisar qué permite la confidencialidad del documento y cómo se tratan los datos. Un contrato o un servidor en Europa no bastan por sí solos.

¿Quién supervisa esto en España? La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) para el AI Act, y la AEPD para los datos personales.

¿Y si la IA ya se usa con albaranes o pedidos? Entonces merece la pena comprobar qué se está enviando, a dónde y con qué permisos, y si ese trabajo se puede automatizar. Empieza por qué automatizar primero en una pyme.

Fuentes

¿La IA ya toca albaranes, pedidos o facturas en tu empresa?

La checklist de control del dato te ayuda a decidir si esos documentos pueden ir a la nube o necesitan un entorno privado. Si prefieres contármelo, te contesto en 2 días laborables si encaja el Diagnóstico.

Recibir la checklist de control del dato Contarme el atasco