ChatGPT en la empresa: normas para los empleados (como los vidrieros de Murano)

Si en tu empresa nadie ha dicho nunca por escrito cómo se usa ChatGPT, lo más probable es que ya se esté usando de diez maneras distintas, con cuentas personales y datos que no deberían salir de la oficina. Una política de uso de la inteligencia artificial resuelve el problema en una página: qué se puede hacer, con qué herramientas, qué datos están prohibidos y quién controla. Al final encontrarás un modelo en ocho puntos listo para adaptar.

Los vidrieros de Venecia y su reglamento

Venecia, segunda mitad del siglo XIII. El vidrio es una de las industrias más valiosas de la ciudad, y sus maestros, los fioleri, se dan reglas escritas. El Capitolare más antiguo que conocemos del gremio vidriero data de 1271: un estatuto que fija quién puede trabajar, cómo y con qué materiales. Se actualizará durante siglos.

En 1291 el gobierno veneciano ordena trasladar los hornos a Murano. El motivo más citado es el riesgo de incendio en una ciudad construida en gran parte de madera; pero muchos historiadores señalan que concentrar la producción en una isla también facilitaba controlar quién entraba, quién salía y adónde iban los secretos del oficio (un resumen en la entrada sobre el vidrio veneciano y en los materiales del Corning Museum of Glass). En los siglos siguientes las normas sobre los vidrieros se endurecieron, hasta limitar su libertad de abandonar la República.

Dirán ustedes: ¡no queremos encerrar a los empleados en una isla! Faltaría más. La clave es otra: Venecia había entendido que el valor de un oficio está en el saber de las personas, y que ese saber se protege con reglas claras, escritas y conocidas por todos. No con la sospecha.

Pues bien, su empresa hoy tiene el problema de los vidrieros, pero al revés. Los secretos del oficio ya no salen en una barca hacia tierra firme: salen por un campo de texto. Tarifas, presupuestos, contratos, datos de clientes, código fuente, estrategias: basta un copiar y pegar en un chatbot con una cuenta personal. No hace falta una isla. Hace falta un capitolare moderno: una política de IA.

Por qué una política y no una prohibición

Prohibir ChatGPT no suele funcionar. La gente lo usa igual, desde el móvil, y la empresa pierde toda visibilidad: es la llamada shadow AI. Una política bien escrita hace tres cosas que una prohibición no hace:

• saca el uso a la luz, con herramientas de empresa y contratos adecuados;
• protege los datos de los clientes y el saber hacer;
• da seguridad a las personas, que saben qué pueden hacer sin miedo a equivocarse.

Hay además una razón normativa. El artículo 4 del AI Act, reescrito por el Reglamento (UE) 2026/1744, pide a quien usa sistemas de IA que adopte medidas para apoyar la alfabetización del personal: una política acompañada de una formación breve es la forma más sencilla de hacerlo. Y en Italia la Ley 132/2025, en su artículo 11, obliga al empleador a informar a los trabajadores del uso de la IA en los casos previstos.

El semáforo de los datos: qué se puede introducir

El núcleo de toda política es una clasificación sencilla de los datos. Proponemos un semáforo.

El semáforo funciona porque se recuerda en tres segundos. Una política de veinte páginas no la lee nadie; una imagen con tres colores, colgada en la oficina o fijada en el chat del equipo, sí.

Las herramientas permitidas

La política debe decir qué herramientas se pueden usar y con qué cuentas. Reglas prácticas:

• solo cuentas de empresa, creadas por la empresa, con el correo corporativo;
• planes business o enterprise con contrato de encargo y entrenamiento con tus contenidos desactivado (compruébalo en las condiciones del proveedor);
• una lista breve de herramientas aprobadas, actualizada por una persona responsable;
• un procedimiento sencillo para pedir una herramienta nueva (un formulario, un correo), para que nadie caiga en la tentación de ir por libre.

Sobre privacidad, contratos y transferencias de datos tienes todo en nuestra guía RGPD e inteligencia artificial.

Revisión, responsabilidad y transparencia

La IA generativa escribe con gran seguridad incluso cuando se equivoca. La política debe decirlo sin rodeos:

• quien usa la IA es responsable del resultado, como si lo hubiera escrito él mismo;
• todo texto que sale de la empresa (correos a clientes, presupuestos, documentos técnicos) lo revisa una persona;
• cifras, citas, referencias normativas y datos técnicos se comprueban en la fuente;
• si trabajas en un despacho profesional en Italia, la Ley 132/2025 (artículo 13) exige informar al cliente de los sistemas de IA utilizados, con un lenguaje claro y sencillo;
• si la empresa usa un chatbot para hablar con clientes, desde el 2 de agosto de 2026 el AI Act exige que las personas sepan que hablan con una máquina.

El modelo de política en 8 puntos

Aquí tienes una estructura para copiar y adaptar. Cabe en una o dos páginas.

1. Finalidad. "La empresa fomenta el uso de la inteligencia artificial para trabajar mejor, respetando los datos de clientes y compañeros y el saber hacer de la empresa."
2. Herramientas permitidas. Lista de herramientas aprobadas y obligación de usar solo cuentas de empresa.
3. Datos. El semáforo verde/amarillo/rojo, con ejemplos concretos sacados de vuestro trabajo.
4. Usos permitidos. Borradores, resúmenes, traducciones, lluvia de ideas, análisis de documentos no confidenciales, apoyo en programación.
5. Usos no permitidos. Decisiones sobre personas (contratación, evaluaciones, sanciones) confiadas a la IA sin control humano; introducir datos "rojos"; crear contenidos engañosos; usar cuentas personales para el trabajo.
6. Revisión y responsabilidad. Todo resultado lo revisa una persona, que sigue siendo responsable.
7. Contactos. A quién acudir con dudas, herramientas nuevas o errores (una persona con nombre y apellido, no "informática").
8. Formación y actualización. Formación breve al incorporarse y revisión de la política al menos una vez al año.

Un consejo de profesor: escribe los ejemplos con las palabras de tu empresa. "No pegues la lista de clientes del ERP" funciona mejor que "no introduzcas datos personales".

¿Y si alguien se equivoca?

Prevé una regla de aviso sin culpa: quien se dé cuenta de haber introducido un dato indebido lo comunica enseguida al responsable. Si la gente teme un castigo, esconderá los errores, y un error escondido es el que más daño hace. Las medidas disciplinarias, para las infracciones conscientes y repetidas, de acuerdo con el convenio aplicable.

Ojo también a la otra cara: si para controlar el uso de las herramientas piensas supervisar la actividad de los empleados, recuerda que la normativa laboral limita los controles a distancia. Consulta antes a tu asesor laboral.

Escenario tipo: una ingeniería de 8 personas

Imagina un estudio de ingeniería de instalaciones con ocho personas. Dos ingenieros usan ChatGPT con su cuenta personal para redactar informes; una compañera de administración subió un extracto bancario "para entender los conceptos". Nadie tenía mala intención, pero datos de clientes e información bancaria acabaron en cuentas privadas.

La solución: un plan de empresa para quien lo necesite, la política en ocho puntos presentada en una reunión de una hora, el semáforo en la pared y un responsable interno. Coste modesto, riesgo mucho menor, y la gente sigue usando la IA, pero a la vista de todos.

El siguiente paso

Una política funciona si las personas saben usar las herramientas. Por eso el paso natural es la formación en inteligencia artificial para empleados. Para el panorama completo, empieza por nuestra guía de inteligencia artificial para pymes.

En Penzai ayudamos a empresarios y pymes a redactar normas de uso a medida y a formar a las personas con casos reales. Descubre nuestros servicios o reserva una llamada gratuita: en media hora vemos juntos por dónde empezar.