Qué tienes que decidir antes de que todo tu equipo use IA
Por Aritz Abuin · Publicado el
Antes de dar IA a todo el equipo hay que decidir cuatro cosas: qué normas de uso hay, qué cuenta se usa, qué datos puede leer la IA y quién responde de cada decisión.
La herramienta se elige después. Si se elige primero, las normas acaban adaptándose a la herramienta y no a la empresa.
¿Por qué empezar por las normas y no por la herramienta?
Porque tu equipo probablemente ya usa IA. Lo hace con cuentas personales, sin normas y sin que la dirección sepa qué información sale de la empresa.
Comprar licencias no resuelve eso. Si no hay normas, la cuenta de empresa se usa igual que la personal.
Las normas responden a preguntas concretas. ¿Se pueden pegar datos de clientes? ¿Quién revisa un texto antes de enviarlo? ¿Qué usos están prohibidos?
Con esas respuestas, elegir la herramienta es fácil. Buscas la que permite aplicar tus normas.
¿Cuenta de empresa o cuentas personales?
Cuenta de empresa. La diferencia no está en lo que la IA sabe hacer. Está en quién controla los datos y los accesos.
| Aspecto | Cuentas personales | Cuenta de empresa |
|---|---|---|
| Quién da de alta y de baja | Cada persona | La empresa |
| Qué pasa cuando alguien se va | Se lleva sus conversaciones | La empresa retira el acceso |
| Uso de tus datos para entrenar | Depende de la configuración de cada persona | Se fija una vez para todos, según el contrato |
| Conexiones a correo y documentos | Cada uno conecta lo que quiere | La empresa decide qué se conecta |
| Registro de uso | No existe para la empresa | Existe y se puede revisar |
| Contrato de tratamiento de datos | No hay | Se firma con el proveedor |
El último punto importa. Si el proveedor trata datos personales por cuenta de tu empresa, el contrato de encargado de tratamiento del RGPD es obligatorio. La AEPD lo recuerda en su laboratorio sobre IA generativa (consultado el 17 de octubre de 2026).
¿Qué puede leer y enviar la IA si la conectas al correo?
Todo lo que pueda leer la persona que la conecta. Si conectas la IA a tu correo, puede leer tus correos, sus adjuntos y, según los permisos, enviar en tu nombre.
Esto es útil para resumir hilos o preparar respuestas. También es el punto de más riesgo del despliegue.
Mi recomendación es empezar con permisos de solo lectura. Que la IA prepare borradores y que una persona los envíe.
Después, decide conexión por conexión. Correo, calendario, documentos compartidos, CRM. Cada una se activa cuando hay un motivo claro.
¿Qué hago con quien ya la usa por su cuenta?
Aprovecharlo. Quien ya usa IA sabe dónde ayuda en su trabajo. Esa experiencia vale más que cualquier formación genérica.
Pídeles que cuenten qué hacen con ella y qué datos pegan. No como control, sino para saber qué usos hay que cubrir.
Después, dales una fecha para pasar a la cuenta de empresa. A partir de esa fecha, no se usan cuentas personales con datos de la empresa.
Prohibir la IA sin dar una alternativa no funciona. El uso sigue, pero deja de ser visible.
¿Qué exige hoy la ley a una empresa que usa IA?
Para la mayoría de usos de oficina, dos cosas: formar a quien usa la IA y cumplir el RGPD con los datos personales.
El artículo 4 del Reglamento europeo de IA trata la alfabetización en IA. Obliga a las empresas que usan IA a tomar medidas para formar a su personal.
El Reglamento (UE) 2026/1744 modificó ese artículo en julio de 2026. Desde entonces no exige garantizar un nivel concreto en cada persona (consultado el 17 de octubre de 2026).
En la práctica, conviene dejar por escrito qué formación ha recibido cada persona y cuándo. Es una sesión práctica sobre vuestras normas, no un curso largo.
Los usos de alto riesgo, como decidir contrataciones con IA, tienen obligaciones mucho mayores. Si tu caso se acerca a eso, consulta con un abogado antes de empezar.
¿En qué orden se toman las decisiones?
Este es el orden que sigo. Cada paso depende del anterior.
- Inventario. Qué herramientas de IA se usan hoy, quién las usa y con qué datos.
- Normas de uso. Qué datos no se pegan nunca, qué usos están prohibidos y quién revisa los textos que salen fuera.
- Responsable. Una persona de la dirección que decide las dudas y mantiene las normas al día.
- Cuenta de empresa. Elección del proveedor, contrato de tratamiento de datos y configuración de privacidad.
- Conexiones. Qué se conecta a la IA (correo, documentos, CRM) y con qué permisos.
- Formación. Una sesión práctica sobre las normas, con registro de quién la ha recibido.
- Revisión. A los tres meses, se revisa qué se usa, qué problemas ha habido y qué hay que cambiar.
Qué pasaba. El despacho quería que todo el equipo usara IA. Trabaja con datos de clientes que no pueden salir sin control.
Qué hice. Ordené el despliegue en este orden: normas de uso, cuenta de empresa y control de lo que se comparte fuera de la organización.
Qué resultado tiene. El despacho tiene normas de uso, una cuenta de empresa y control de lo que se comparte fuera.
¿Y después de las normas?
Cuando el equipo usa la IA con orden, llega la siguiente pregunta: que responda con los datos de la empresa. Eso es un asistente conectado a tu ERP o tu contabilidad.
Si dudas entre usar ChatGPT tal cual o montar algo propio, empieza por esta comparación. Y si buscas a alguien que te acompañe a largo plazo, lee qué es un partner tecnológico.
¿Cuánto te cuesta hoy hacerlo a mano?
Calcula en 30 segundos las horas y el dinero que se van en tareas repetitivas, y cuéntame tu caso: te digo dónde veo margen, sin compromiso.
Preguntas frecuentes
¿Es obligatorio formar a los empleados en IA?
El artículo 4 del Reglamento europeo de IA obliga a tomar medidas para la alfabetización en IA del personal que la usa. Desde su modificación de julio de 2026 no exige garantizar un nivel concreto. Conviene documentar la formación.
¿Puedo prohibir ChatGPT en la empresa?
Puedes, pero sin alternativa el uso sigue con cuentas personales y deja de ser visible. Funciona mejor ofrecer una cuenta de empresa con normas claras y fijar una fecha para dejar las cuentas personales.
¿Qué datos no deberían pegarse nunca en una IA?
Lo decide cada empresa en sus normas. Lo habitual es excluir datos de salud, datos de menores, expedientes disciplinarios y denuncias internas. También los datos de clientes, si no hay contrato de tratamiento con el proveedor.
¿De qué depende que se ponga en marcha?
Depende sobre todo de cuánto tarde la dirección en tomar las decisiones de la lista. La parte técnica de configurar una cuenta de empresa es la más sencilla.