¿Qué debe tener una política de uso aceptable de IA?
Una política de uso aceptable de IA debe decir, como mínimo, qué herramientas están aprobadas, qué datos nunca se ingresan (datos personales, secretos, credenciales e información no pública), cómo se verifican los resultados antes de usarlos y quién responde por ellos. Se complementa con controles técnicos, capacitación y revisión periódica.
Contenido mínimo
Herramientas permitidas, con contrato que excluya el entrenamiento con los datos de la empresa y fije la retención; datos prohibidos; verificación de resultados —toda cita, cifra o norma generada por IA se verifica, porque los modelos generativos pueden producir contenido falso presentado con seguridad—; y responsabilidad de quien usa el resultado.
- Fuente: ISO/IEC 27001:2022 — Sistemas de gestión de seguridad de la información (ISO/IEC, 2022), Anexo A: 5.10
- Fuente: ISO/IEC 42001:2023 — Sistema de gestión de inteligencia artificial (ISO/IEC JTC 1/SC 42, 2023), A.9.2–A.9.4
- Fuente: NIST AI 600-1 — Generative AI Profile (NIST (EE. UU.), 2024), Sec. 2.2documento oficial
Lo que la acompaña
Controles técnicos de prevención de fuga de datos y enmascaramiento, bloqueo de servicios no aprobados cuando exista una alternativa, capacitación del personal y renovación periódica de la política.
No es lo mismo que la política de IA de la dirección que pide la ISO/IEC 42001, que es el marco estratégico: la de uso aceptable es operativa y está dirigida a los empleados.
- Fuente: ISO/IEC 27001:2022 — Sistemas de gestión de seguridad de la información (ISO/IEC, 2022), Anexo A: 8.11 y 8.12
- Fuente: ISO/IEC 42001:2023 — Sistema de gestión de inteligencia artificial (ISO/IEC JTC 1/SC 42, 2023), Cl. 5.2
- Fuente: Ley Estatutaria 1581 de 2012 — Protección de datos personales (Congreso de Colombia, 2012), Art. 4, literales f) y g)documento oficial