En muchas pymes la inteligencia artificial no entró por la puerta grande, sino por la de atrás. Alguien del equipo empezó a usar un chat de IA para redactar anuncios, otra persona le pasó un contrato para que lo resumiera y, sin que nadie lo decidiera, la herramienta se convirtió en parte del día a día. Funciona, ahorra tiempo y nadie quiere volver atrás. El problema es que casi nunca hay reglas: no se sabe qué cuentas se usan, qué datos se pegan ni quién revisa lo que sale.
Ahora hay dos motivos para ponerle orden. Por un lado, el Reglamento europeo de IA pide a las empresas que usan estas herramientas que tomen medidas para que su personal sepa usarlas, y esa exigencia acaba de revisarse este verano. Por otro, la Agencia Española de Protección de Datos ha publicado a finales de octubre un decálogo para quienes delegan tareas en asistentes y agentes de IA, con consejos muy concretos sobre permisos, memoria y datos de terceros.
En este artículo vas a ver, paso a paso, cómo redactar unas normas internas de uso de IA sencillas, de una o dos páginas, que tu equipo entienda y cumpla. Usaremos como ejemplo una inmobiliaria con cinco agentes comerciales, pero el método sirve igual para una asesoría, una clínica o un taller.
1. Qué ha cambiado: la ley pide formación, no títulos
El Reglamento (UE) 2024/1689, conocido como Reglamento de IA, incluye en su artículo 4 la llamada alfabetización en IA: las empresas que despliegan sistemas de IA, y eso incluye a la pyme que da a su equipo acceso a un chat de IA para trabajar, deben preocuparse de que las personas que los usan tengan conocimientos suficientes. Esa obligación se aplica desde el 2 de febrero de 2025.
El 24 de julio de 2026 se publicó en el Diario Oficial de la UE el Reglamento (UE) 2026/1744, el llamado Ómnibus digital sobre IA, que entró en vigor tres días después. Entre otras cosas, reescribe ese artículo 4. Según el texto y los análisis jurídicos publicados, la obligación se mantiene para proveedores y usuarios profesionales, pero pasa a ser de medios: hay que adoptar medidas para apoyar la alfabetización en IA del personal, sin que se exija garantizar un nivel concreto a cada persona. Además, la Comisión y los Estados miembros deberán apoyar estos esfuerzos, con atención especial a las pymes.
Traducido a tu negocio: nadie te va a pedir un certificado oficial por empleado, pero sí tiene sentido poder demostrar que has hecho algo razonable. Unas normas escritas, una sesión de formación interna y un registro de qué herramientas se usan son precisamente ese algo. Y, sobre todo, te protegen de los errores que de verdad cuestan dinero, que suelen tener más que ver con datos personales que con el propio Reglamento de IA.
2. Haz inventario: qué herramientas usa ya tu equipo y para qué
Antes de escribir una sola norma, pregunta. En la inmobiliaria del ejemplo bastó una reunión de veinte minutos para descubrir que se usaban tres chats de IA distintos, dos de ellos con cuentas personales gratuitas, una extensión del navegador que resumía correos y una aplicación de móvil para transcribir notas de voz de las visitas.
Apunta en una tabla sencilla cada herramienta, quién la usa, con qué cuenta (personal o de empresa), para qué tareas y qué tipo de información recibe. Este inventario te sirve para dos cosas: detectar riesgos que no conocías y decidir qué herramientas autorizas oficialmente. La recomendación general es reducir la lista a una o dos herramientas aprobadas, contratadas a nombre de la empresa, en lugar de dejar que cada persona use la que quiera.
Revisa también qué ofrece cada servicio. La AEPD recomienda comprobar que el proveedor está identificado, que tiene política de privacidad clara, que permite ejercer derechos y que informa de si usa las conversaciones para seguir entrenando sus modelos. Las versiones de empresa de las herramientas más conocidas suelen ofrecer más controles en este sentido que las cuentas gratuitas; conviene comprobarlo en las condiciones de cada una.
3. Clasifica los datos en tres colores
La norma más útil que puedes dar a tu equipo es saber qué se puede pegar en un chat de IA y qué no. Para que sea fácil de recordar, funciona muy bien un sistema de tres colores.
Verde: información pública o sin datos personales. Por ejemplo, la descripción de un piso sin dirección exacta ni datos del propietario, un texto para redes sociales, una pregunta general sobre cómo redactar un correo o un borrador de la web. Esto se puede usar en las herramientas aprobadas sin más.
Ámbar: información interna o con datos personales que se pueden quitar. Un contrato de arras, un correo de un cliente o las notas de una visita. Aquí la regla es anonimizar antes: sustituir nombres, DNI, teléfonos, direcciones y cifras sensibles por marcadores como Cliente A o Vivienda 1. El decálogo de la AEPD insiste justo en esto: dar a la IA lo mínimo y eliminar de los documentos los nombres y datos que no hagan falta.
Rojo: lo que nunca entra en un chat de IA. Contraseñas, códigos de verificación, números de tarjeta o de cuenta, documentos de identidad completos, datos de salud y cualquier información de terceros que no puedas justificar. En una inmobiliaria, por ejemplo, la documentación económica de un comprador que pide hipoteca o las nóminas que entrega un inquilino deberían estar siempre en rojo.
4. Asistentes y agentes: permisos mínimos y confirmación humana
Las herramientas de IA ya no solo responden preguntas: cada vez más se conectan al correo, al calendario, a las carpetas compartidas o al CRM, y algunas pueden enviar mensajes o rellenar formularios por ti. Es lo que se conoce como agentes. Son muy útiles, pero el riesgo cambia, porque ya no se trata solo de qué ve la IA, sino de qué puede hacer en tu nombre.
El decálogo de la AEPD propone cinco preguntas antes de conectar un asistente: qué puede ver, qué puede recordar, qué puede hacer en mi nombre, dónde envía mis datos y si afecta a alguien más. Llévalas a tus normas. Si un agente solo necesita leer el calendario para proponer horas de visita, que no tenga permiso para escribir correos. Si debe redactar respuestas a clientes, que las deje como borrador y una persona las revise antes de enviarlas.
Fija por escrito qué acciones requieren siempre confirmación humana: enviar comunicaciones a clientes, publicar en la web o en redes, borrar información, pagar, contratar o aceptar condiciones. La AEPD lo resume en una idea muy clara: delegar no es desentenderse. Y añade un aviso que conviene trasladar al equipo: correos, webs o PDF pueden contener instrucciones ocultas que intenten manipular al agente, así que si una herramienta pide de pronto una contraseña o un código, la tarea se detiene.
Para uso profesional, el mismo documento recomienda usar solo los asistentes autorizados por la organización y no conectar el correo o los documentos de trabajo a una cuenta personal de IA. Es una norma fácil de entender y evita buena parte de los problemas.
5. Revisa lo que sale: la IA se equivoca con seguridad
La segunda gran fuente de problemas no es lo que entra en la IA, sino lo que sale. Los chats de IA pueden inventar datos, mezclar normativas de otros países o redactar con mucha seguridad algo que es incorrecto. La propia AEPD advierte en sus recomendaciones de que no hay garantías de que la información que da un chatbot sea correcta.
En tus normas, establece que todo contenido generado con IA lo revisa una persona antes de llegar a un cliente. En el caso de la inmobiliaria, eso significa comprobar metros, precios, características y cargas de cada vivienda en la ficha del anuncio, porque un dato inventado en una descripción puede acabar en una reclamación. En una asesoría o un despacho, cualquier referencia a una norma o un plazo se verifica en la fuente oficial.
Si usas IA para crear imágenes de una vivienda, por ejemplo para amueblar virtualmente un salón vacío, indícalo en el anuncio para no inducir a error. Y si tienes un chatbot de IA en la web que atiende a clientes, recuerda que el artículo 50 del Reglamento de IA, aplicable desde el 2 de agosto de 2026, exige que las personas sepan que hablan con una IA cuando no resulte evidente por el contexto.
6. Cómo redactar las normas y formar al equipo en una mañana
No hace falta un documento de veinte páginas. Unas normas útiles caben en dos folios y responden a seis preguntas: qué herramientas están autorizadas y con qué cuentas, qué datos se pueden usar según los tres colores, qué acciones necesitan confirmación humana, quién revisa los contenidos antes de publicarlos, a quién se avisa si algo sale mal y cada cuánto se revisan las propias normas.
Para formar al equipo, organiza una sesión práctica de una o dos horas con casos reales del negocio. En la inmobiliaria del ejemplo se trabajaron tres: redactar un anuncio a partir de las notas de una visita quitando los datos del propietario, resumir un contrato anonimizado y preparar una respuesta a un comprador que el agente revisa antes de enviar. Guarda la fecha, los asistentes y el material: eso es lo que te permitirá demostrar que has tomado medidas de alfabetización en IA.
Por último, define un protocolo para incidentes. Si alguien pega por error datos sensibles de un cliente en una herramienta no autorizada, debe saber que tiene que avisar enseguida, sin miedo a represalias, para poder borrar la conversación, valorar si hay una brecha de datos personales y, si procede, actuar dentro de los plazos que marca el RGPD. Revisa las normas al menos una vez al año o cada vez que incorpores una herramienta nueva.
Conclusión
Prohibir la IA no funciona: el equipo seguirá usándola, pero a escondidas y con cuentas personales. Lo que sí funciona es decidir qué herramientas se usan, qué datos pueden entrar, qué acciones necesitan una persona detrás y cómo se revisa lo que sale. Con unas normas claras de dos páginas y una sesión de formación cubres lo que pide el Reglamento de IA tras su última revisión, aplicas las recomendaciones de la AEPD y, sobre todo, proteges la confianza de tus clientes.
Si quieres ir un paso más allá y conectar la IA a tus procesos con permisos bien definidos, desde un chatbot en la web hasta automatizaciones con tu CRM, en Navegatel diseñamos soluciones a medida para pymes. Puedes ver cómo trabajamos en /servicios/chatbots-y-apps o escribirnos desde /contacto.
Fuentes
Información actualizada a 11 de noviembre de 2026. Este artículo tiene carácter divulgativo y no sustituye el asesoramiento jurídico ni en protección de datos adaptado a tu caso.
Diario Oficial de la Unión Europea. Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026, por el que se modifican los Reglamentos (UE) 2024/1689, (UE) 2018/1139 y (UE) 2023/1230 (Ómnibus digital sobre IA). DO L de 24 de julio de 2026. https://www.boe.es/doue/2026/1744/L00001-00041.pdf
Agencia Española de Protección de Datos. Asistentes y agentes de IA. Decálogo para personas usuarias. Octubre de 2026. https://www.aepd.es/guias/decalogo-usuarios-asistentes-agentes-ia.pdf
Agencia Española de Protección de Datos. Recomendaciones para usuarios en la utilización de chatbots con inteligencia artificial. https://aepd.es/es/documento/info-recomendaciones-chatbots-ia.pdf
Law & Technology. AI literacy: the Digital Omnibus rewrites Article 4 of the AI Act. 30 de julio de 2026. https://lawandtechnology.eu/en/ai-literacy-digital-omnibus-article-4-ai-act/
NicFab. Digital Omnibus on AI: Regulation (EU) 2026/1744 Is Published in the Official Journal. 24 de julio de 2026. https://www.nicfab.eu/en/posts/digital-omnibus-ai-official-journal/
¿Quieres aplicarlo a tu marca?
Cuéntanos tu proyecto y te proponemos un plan a medida: web, identidad, redes o automatización.
Ir a contacto