Política y uso responsable

¿Todo el equipo conoce las reglas de uso de IA —verificado, no declarado— y cada prohibición tiene su alternativa habilitada?

Una política que solo prohíbe produce exactamente el shadow AI que decía prevenir. No alcanza con que las reglas existan: hay que verificar de forma preventiva que se conocen.

Dónde estamos · los cuatro niveles

N1Exploración. Sin reglas explícitas; el shadow AI es la norma y nadie mide su superficie.
N2Piloto. Lineamientos mínimos comunicados; cumplimiento voluntario y desparejo; control reactivo.
N3Adopción sistemática. Política viva: conocida por todos con verificación preventiva, aplicada, con excepciones ágiles y actualización periódica; habilita con seguridad.
N4Transformación. Gobernanza demostrable ante clientes y auditores (referencia ISO/IEC 42001); la política es referencia para otros.

Cómo subir un nivel

N1→N2

Publicar los lineamientos mínimos en una página: 5 reglas claras con ejemplos del trabajo real, no un documento legal de 20 páginas.

Tiempo (est.): 2 semanasQuién: Dirección + responsable de seguridadEvidencia de hecho: Política de una página publicada y comunicada a todo el equipo.

N2→N3

Convertirla en política viva: revisión trimestral, canal de consultas con respuesta rápida, la regla de oro (cada prohibición con su alternativa) y verificación preventiva del conocimiento (inducción con evaluación, chequeo en onboarding, refuerzos).

Tiempo (est.): 1-2 trimestresQuién: Responsable de seguridad + RRHH + dueño de la adopciónEvidencia de hecho: % del equipo que responde correctamente el chequeo (M5) > 80%; consultas y excepciones gestionadas por mes > 0.

N3→N4

Documentar formalmente el marco (ISO/IEC 42001 como referencia) y usarlo comercialmente en RFPs y auditorías de clientes.

Tiempo (est.): 2-3 trimestresQuién: Dirección + calidad + comercialEvidencia de hecho: Marco documentado presentado en al menos un RFP o auditoría.

Qué medir

% del equipo que conoce y puede citar la política (verificado)
Consultas y excepciones gestionadas por mes (cero = política de papel)
Herramientas en uso fuera de política (a la baja)

Tablero: M5 Conocimiento de la política (semestral).

Variante por perfil

PyME (≈30 personas). Una página y una conversación de equipo alcanzan para N2-N3.

Empresa grande (≈500). El desafío es la coherencia entre áreas y geografías.

Anti-patrón

La política-castigo: un documento restrictivo escrito por miedo legal que el equipo esquiva en masa.

En qué se apoya

Kotter (quitar obstáculos y comunicar por todos los canales) · Christensen (si la organización no habilita la herramienta que el equipo necesita, la contrata por fuera).

Ver también: G.2 Protección de datos y cumplimiento · 3.4 Plataforma y stack tecnológico · 2.1 Modelo de adopción

Ficha G.1 en PDF Hacer la autoevaluación Plantilla del plan de 90 días (PDF)

Los tiempos son estimaciones de la Mesa de Innovación para una organización que dedica un responsable con tiempo protegido; se calibran con el piloto del tablero.