La política de IA de una página para una empresa DACH de 5 a 50 personas

Su plantilla ya usa IA. La única cuestión es si lo hace de forma coherente y segura, o improvisa en herramientas de consumo que usted no ve. Para una empresa de 5 a 50 personas en Austria, Alemania o Suiza, no necesita un manual de gobernanza de 27 páginas. Necesita una página que de verdad se lea, que cubra: las herramientas aprobadas y cómo solicitar nuevas, qué datos nunca deben entrar en qué herramientas, una expectativa básica de formación (su punto de anclaje a la alfabetización del Reglamento de IA de la UE), una regla de revisión humana del resultado, la divulgación de chatbots y contenido de IA, y una persona responsable con nombre y apellido. Más abajo encontrará una plantilla lista para copiar. El objetivo es habilitar de forma segura, no prohibir, porque una prohibición solo traslada el uso de IA a cuentas privadas que usted no puede ver.

Esta es una guía práctica, no asesoramiento legal. Los detalles normativos están actualizados a mediados de 2026 y algunos están cambiando; verifíquelos contra las fuentes oficiales antes de confiar en ellos, y haga revisar cualquier punto crítico por su propio asesor legal.

Por qué una empresa pequeña sí la necesita

No por miedo, solo por realidad. Las encuestas sitúan el uso de IA entre los trabajadores del conocimiento en torno a tres cuartas partes, y la mayoría trae sus propias herramientas, más aún en las pequeñas y medianas empresas. Eso es IA en la sombra, y es el estado por defecto a menos que usted ofrezca a cambio una vía conocida y aprobada. Los riesgos son concretos: hay empleados que han pegado código confidencial y datos de clientes en chatbots de consumo, y resultados de IA sin verificar han llegado a clientes y a tribunales con consecuencias reales. Una sola página no añade burocracia. Sustituye el uso invisible e improvisado por una vía que la gente puede seguir de verdad.

También hay un empujón legal. El deber de alfabetización en IA del Reglamento de IA de la UE (Artículo 4) se aplica desde el 2 de febrero de 2025 tanto a proveedores como a responsables del despliegue, es decir, a casi cualquier empresa cuyo personal use IA. El listón es deliberadamente flexible: formación básica documentada y ajustada al rol, no un programa de certificación, y no existe una multa específica del Artículo 4, con una aplicación canalizada a través de las autoridades nacionales a partir de agosto de 2026. En 2026 circulaba una propuesta para suavizar el Artículo 4 (el Digital Omnibus), pero aún no se ha adoptado, así que trate el deber actual como vigente.

Qué debe contener la política

Ocho secciones breves, cada una con su razón de ser.

La parte de protección de datos en la región DACH

Cuando un empleado introduce datos personales o de clientes en una herramienta, su empresa decide la finalidad y los medios, por lo que es el responsable del tratamiento y asume los deberes del RGPD. Usar un proveedor de IA externo para tratar datos personales suele requerir un acuerdo de tratamiento de datos (un AVV conforme al Artículo 28), que los planes gratuitos de consumo no suelen ofrecer y que además podrían entrenarse con sus entradas, mientras que los planes de empresa normalmente sí lo ofrecen y no entrenan con sus datos por defecto. La ley de protección de datos revisada de Suiza (revDSG) se aplica en paralelo y se considera tecnológicamente neutra, por lo que cubre también el tratamiento por IA. Un detalle cambiante que conviene señalar: las condiciones de los proveedores cambian rápido, así que cite el DPA vigente de cada proveedor en lugar de dar nada por supuesto. Cubrimos cómo se solapan estos regímenes en cómo se combinan el RGPD y el Reglamento de IA para un SaaS de la región DACH.

La plantilla de una página lista para copiar

Péguela, rellene los corchetes y borre lo que no aplique. Está hecha para una empresa de 5 a 50 personas, no para una gran corporación.

"Una política de una página que la gente de verdad lee y sigue le gana a un documento de 27 páginas que se queda en una carpeta. El objetivo no es parecer conforme. Es darle a su equipo un sí seguro en vez de un atajo invisible."

Qué dejar fuera, a propósito

Aquí el enemigo es el teatro. Olvídese del lenguaje vago y aspiracional ("usar la IA de forma responsable" sin nada concreto), que solo crea una falsa sensación de cumplimiento. Olvídese de una certificación ISO 42001 completa o de un despliegue íntegro de gestión de riesgos de IA según el NIST; ambos son de nivel corporativo y desproporcionados para un equipo pequeño, aunque sirven como vocabulario de referencia si crece más adelante. Olvídese de las largas taxonomías de riesgos y los catálogos exhaustivos de casos de uso que nadie mantiene. Y nunca publique una política sin responsable con nombre o sin fecha de revisión, porque ambas cosas garantizan que acabe convertida en ficción. Limítese a la página que se lee.