Política interna de uso de IA y gobernanza en México y Paraguay

Tu equipo ya usa IA. La pregunta es si sabes con qué herramientas, con qué datos y con qué criterio. Esta guía monta la política interna que responde a eso en tres páginas: plantilla copiable bloque a bloque, matriz de clasificación de datos con ejemplos, los controles técnicos que puedes activar hoy según la documentación oficial, y lo que exigen la ley mexicana de 2025 y la paraguaya con su cuenta atrás a noviembre de 2027.

¿Qué es una política interna de uso de IA y por qué tu empresa necesita una ya?

La pregunta no es si tu equipo ya usa IA. La usa. La pregunta es si sabes con qué herramientas, con qué datos y con qué criterio. Sin política escrita, cada persona improvisa su propio criterio, y los criterios improvisados tienden a ser generosos a las tres de la tarde de un día de cierre.

El documento sirve para tres cosas concretas. Primero, quita la duda: alguien que sabe qué puede pegar en un chat trabaja más rápido que alguien que no lo sabe. Segundo, protege a las personas: si algo sale mal y había una regla clara, la conversación es sobre el proceso y no sobre culpas individuales. Tercero, te permite responder cuando un cliente, un auditor o un socio pregunte cómo gobiernas el uso de IA, que en 2026 ya es una pregunta habitual en las licitaciones.

¿Qué pasa si no la tienes? El problema de la IA en la sombra

Pasa que la IA entra igual, solo que por la puerta de atrás y sin registro. A eso se le llama IA en la sombra, y tiene una forma muy reconocible: la persona más productiva del equipo lleva meses usando una cuenta personal gratuita, pegando contratos, listas de clientes o cifras de nómina, y nadie lo sabe porque nadie preguntó.

Los tres daños típicos no son hipotéticos:

• Datos personales en un régimen que no controlas. La diferencia entre un plan de consumo y uno comercial no es solo de funciones: es de política de datos por defecto. Anthropic publica que en sus productos comerciales «by default, we will not use your inputs or outputs from our commercial products to train our models», mientras que en los planes de consumo el entrenamiento depende de un ajuste que el propio usuario controla (productos comerciales · planes de consumo, consultados el 19 de septiembre de 2026).
• Conocimiento que se va con la persona. Todo lo que esa cuenta aprendió sobre tu negocio está en una cuenta personal. El día que alguien se va, se va con ella.
• Resultados sin revisar que llegan al cliente. Una cotización con un número inventado o un correo con un dato de otro cliente pegado por error.

Ninguno de los tres se arregla prohibiendo. Prohibir mueve el uso al teléfono personal y elimina lo único útil que tenías: la visibilidad. Y el riesgo no es teórico en áreas como la comercial, donde se manejan a diario listas de contactos y datos de clientes; lo vemos aplicado en generación de leads B2B con IA.

¿Qué debe contener la política? Las once secciones obligatorias

Once secciones, ni una más. Una política de treinta páginas no la lee nadie y no protege de nada; una de tres páginas que todo el mundo ha leído sí. Esta es la estructura mínima, con lo que resuelve cada parte.

Fíjate en el orden: las herramientas van antes que las prohibiciones, y la formación antes que las sanciones. Una política que empieza por el castigo se lee como una amenaza y se cumple como una amenaza, es decir, mal.

Plantilla de política, parte 1: alcance, herramientas, datos y revisión humana

Copia estos bloques tal cual y sustituye lo que está entre corchetes. Están escritos para que un gerente los pueda adaptar en una tarde sin ayuda externa.

Plantilla de política, parte 2: propiedad intelectual, confidencialidad, formación y consecuencias

Once bloques, tres páginas. Si al imprimirla ocupa más, algo sobra.

¿Cómo se clasifica la información en cuatro niveles?

Con una matriz de cuatro niveles y ejemplos concretos del negocio real, no categorías abstractas. La prueba de que una matriz funciona es que cualquiera del equipo pueda clasificar un documento nuevo en diez segundos sin preguntar. Si hace falta interpretar, la matriz está mal escrita.

Dos detalles que marcan la diferencia. El primero: pon los ejemplos de tu empresa, con los nombres que usa tu equipo, no ejemplos genéricos. Una lista de precios se llama de una forma concreta en tu casa y así es como hay que escribirla. El segundo: la regla del nivel superior ante la duda. Si alguien no sabe si un documento es nivel 2 o 3, es 3. Esa única frase evita la mayoría de los incidentes.

Conviene también nombrar explícitamente las excepciones que la gente pregunta en voz baja: un currículum recibido es nivel 3; una factura de proveedor es nivel 3; el acta de una reunión donde se habló del estado de salud de alguien es nivel 4, aunque el resto del acta sea nivel 2.

¿Qué controles técnicos existen de verdad, según la documentación oficial?

Existen más de los que la mayoría de las empresas activa, y casi todos están descritos en la documentación pública. La política sin controles técnicos es una declaración de intenciones; los controles sin política son una configuración que nadie sabe por qué está puesta. Hacen falta los dos.

Tomando Claude como ejemplo, porque su documentación es pública y verificable, esto es lo que hay a fecha de consulta del 19 de septiembre de 2026:

Dos datos más que conviene conocer antes de firmar nada. El acuerdo de tratamiento de datos se acepta automáticamente al aceptar los términos comerciales, sin firma separada (texto del DPA). Y en certificaciones, Anthropic declara SOC 2 Tipo I y II, ISO/IEC 27001:2022 e ISO/IEC 42001:2023, además de configuración preparada para HIPAA con acuerdo específico, con alcance sobre los productos comerciales y no sobre los de consumo (certificaciones · portal de confianza).

Sobre residencia de datos, conviene no prometer de más: la documentación de plataforma indica que hoy la región de almacenamiento admite únicamente us, y la inferencia únicamente us o global (residencia de datos). Si tu contrato con un cliente exige otra región, hay que resolverlo por otra vía y decirlo en la política.

En cuanto al coste de operar con controles: los planes de equipo arrancan en 20 dólares por asiento al mes con facturación anual y Enterprise en autoservicio parte de 20 dólares por asiento más consumo, con mínimo de 20 asientos, según la página oficial de precios; a septiembre de 2026, confirma en su web porque los precios cambian y varían por región.

¿Cómo se define la revisión humana sin frenar el trabajo?

Poniendo el listón en función del daño, no del prestigio del documento. Si todo exige revisión, nadie revisa nada: se firma en bloque y la revisión se convierte en un trámite. La forma práctica es una escala de tres niveles que cualquiera aplique sin consultar.

• Sin revisión. Trabajo interno y borradores: resumir una reunión para uno mismo, ordenar ideas, traducir un texto público, escribir una fórmula. Aquí la IA es una herramienta más y pedir permiso sería absurdo.
• Revisión propia. Lo que sale de tu área pero se queda dentro: correos internos, documentación de procesos, análisis para tu jefe. Lo revisa quien lo escribe, y responde de ello.
• Revisión de un segundo par de ojos. Todo lo que sale al exterior o afecta a una persona: cotizaciones, contenido publicado, informes con cifras, decisiones de selección o crédito. Aquí firma alguien distinto de quien lo generó.

Un matiz que ahorra discusiones: la revisión es sobre hechos, no sobre estilo. Números contra la fuente, citas contra el original, nombres contra el expediente. El estilo se corrige si sobra tiempo; los hechos siempre.

Y un criterio que funciona muy bien en pymes: cuanto más te guste el resultado, más despacio revísalo. Un texto que suena bien baja la guardia de quien lo lee, y los errores caros suelen venir envueltos en un párrafo elegante.

¿Qué cambia en México con la LFPDPPP de 2025?

Cambia la ley y cambia la autoridad, y muchas políticas internas siguen citando las dos cosas mal. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente se publicó en el Diario Oficial de la Federación el 20 de marzo de 2025, con reforma del 14 de noviembre de 2025. El INAI se extinguió y las funciones en la materia pasaron a la Secretaría Anticorrupción y Buen Gobierno.

Lo que toca directamente a una política de uso de IA:

• Aviso de privacidad obligatorio con identidad del responsable, datos tratados, finalidades, opciones para limitar el uso y mecanismos para ejercer derechos (artículos 14 a 16). Si vas a tratar datos personales con herramientas de IA, esa finalidad debe estar contemplada.
• Datos sensibles —salud, origen racial o étnico, creencias, opiniones políticas, preferencia sexual, información genética— requieren consentimiento expreso y por escrito (artículo 8). Es el motivo por el que en la matriz de clasificación van directos a nivel 4.
• Derechos ARCO con plazo de 20 días para comunicar la determinación y 15 días más para hacerla efectiva (artículo 31). Tu política debe decir quién responde y desde dónde.
• Principios de licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad (artículo 5). El de proporcionalidad es el que sostiene la regla del mínimo necesario.
• Sanciones expresadas en UMA, con tramos que llegan a cientos de miles de unidades y posibilidad de incrementarse cuando se trata de datos sensibles (artículos 58 a 60).

Revisión práctica de cinco minutos: abre tu aviso de privacidad actual. Si menciona al INAI, si no contempla el tratamiento con herramientas de proveedores externos o si no dice a quién dirigirse para ejercer derechos, ya tienes tres tareas.

¿Y en Paraguay? La Ley 7593/2025 y el reloj hasta noviembre de 2027

Paraguay pasó de no tener una ley general de protección de datos a tener una, con dos años para adaptarse. La Ley N.º 7593/2025 de Protección de Datos Personales se promulgó el 27 de noviembre de 2025 con una vacatio legis de veinticuatro meses: será plenamente exigible hacia el 27 de noviembre de 2027. Crea la Agencia Nacional de Protección de Datos Personales, dependiente del MITIC.

Los puntos que conviene reflejar ya en la política interna:

• Bases de licitud. Todo tratamiento necesita una: consentimiento, ejecución de contrato, obligación legal, interés legítimo u otras previstas. La política debe decir cuál invoca tu empresa para cada uso habitual.
• Registro de actividades de tratamiento. La ley se apoya en la responsabilidad proactiva: hay que poder demostrar qué se trata, para qué y con quién se comparte. Un inventario en una hoja de cálculo es un comienzo perfectamente válido.
• Brechas de seguridad en 72 horas. Ese plazo obliga a tener un canal de incidentes que funcione de verdad, y es la razón por la que la sección 9 de la plantilla fija 24 horas internas: para llegar a tiempo a las 72 externas.
• Evaluación de impacto cuando el tratamiento presente riesgos significativos, con consulta previa a la Agencia si el riesgo alto no se puede mitigar.
• Derechos del titular, incluida la revisión humana de decisiones automatizadas. Si usas IA para preseleccionar candidatos o evaluar crédito, este punto te aplica de lleno.
• Sanciones expresadas en jornales mínimos, con topes que escalan cuando hay datos sensibles y más aún si son de menores.

Dos años suenan a mucho tiempo y no lo son: el trabajo real es el inventario, y el inventario tarda. Si tu empresa trata datos de clientes paraguayos en procesos automatizados, el detalle operativo está en usar IA con datos de clientes en Paraguay bajo la Ley 7593.

¿Cómo se comunica la política sin frenar el uso?

Presentándola como un permiso, no como una prohibición. La misma política se puede comunicar de dos formas y producir resultados opuestos. "A partir de hoy está prohibido usar IA salvo autorización" mata la adopción en una semana. "A partir de hoy tienes cuenta corporativa, esto sí se puede y esto no, y aquí preguntas" la multiplica.

El guion que funciona tiene cuatro partes, en este orden:

1. Lo que ganas. Empieza por las cuentas corporativas, las herramientas disponibles y los casos de uso concretos del área. La gente escucha la parte de las reglas mucho mejor después de saber qué recibe.
2. Las tres reglas que hay que recordar. No cuentes once secciones en la reunión: cuenta tres frases. "Usa la cuenta de la empresa." "Los datos de nivel 4 nunca entran." "Lo que sale al cliente lo revisa una persona." El documento completo se lee después.
3. Dónde preguntar. Con nombre y canal concretos, y con el compromiso explícito de que preguntar no tiene coste.
4. Qué pasa si te equivocas. Dilo tú antes de que lo pregunten: un error reportado a tiempo se trata como aprendizaje. Esta frase es la que determina si te enterarás de los incidentes o no.

Tres apoyos que valen más que la reunión: una página de una cara pegada junto a la matriz de datos; un canal de chat donde el equipo comparta lo que le funciona, porque la adopción se contagia entre pares y no desde dirección; y una revisión a los treinta días para recoger dudas reales y ajustar. Ayuda mucho acompañar la política con ejemplos concretos por área, como los de casos de uso por área en pymes.

La formación es la otra mitad del trabajo. Anthropic publica cursos gratuitos en Claude Academy, como el de fundamentos de fluidez en IA con su marco de delegación, descripción, discernimiento y diligencia; son un buen complemento, aunque conviene saber que no otorgan ninguna certificación oficial. El programa interno, semana a semana, lo desarrollamos en el programa de formación en ocho semanas.

¿Cada cuánto se revisa y quién responde de qué?

Cada seis meses como mínimo, y siempre que cambie la ley, entre una herramienta nueva u ocurra un incidente. Lo que convierte la política en gobernanza de verdad no es el documento: es el calendario y los nombres.

Dos advertencias de la documentación oficial que afectan a este calendario. Los registros de auditoría cubren 180 días en ventana móvil: si necesitas trazabilidad más larga, hay que exportar antes de que el periodo caduque. Y la retención por defecto es indefinida salvo que se configure un periodo distinto, con mínimo de 30 días, disponible en el plan Enterprise. Decidir retención es decidir cuánto tiempo puede un antiguo proyecto aparecer en una búsqueda interna.

Para conectar esto con la adopción real —quién usa qué, cuánto y con qué resultado— sirve el cuadro de mando de medir el retorno de la formación en IA.

Trucos que no vienen en el manual

Doce trucos de ver políticas funcionar y fracasar. Ninguno cuesta dinero.

1. Escribe la matriz de datos antes que la política

Es la parte que la gente consulta de verdad. Si solo tienes tiempo para una cosa, haz la matriz de cuatro niveles con ejemplos de tu empresa y pégala junto a la cafetera.

2. Pon ejemplos con los nombres que usa tu equipo

No "información comercial sensible", sino "el archivo de márgenes por cliente". Una matriz con los nombres reales se aplica; una con categorías abstractas se interpreta, y se interpreta a favor de la prisa.

3. Regla del nivel superior ante la duda

Una sola frase —"si dudas entre dos niveles, es el más alto"— evita la mayoría de los incidentes y ahorra decenas de consultas al responsable.

4. Desactiva la valoración de chats el primer día

En los ajustes de organización de un plan de equipo, desactivar «Rate chats» corta la vía por la que una conversación completa podría almacenarse hasta cinco años. Es un clic y casi nadie lo da.

5. Nombra a una sola persona como propietario principal

Solo puede haber un Primary Owner por organización. Decide quién es, escríbelo en la política y define qué pasa si esa persona se va de vacaciones o de la empresa.

6. Exporta los registros de auditoría cada trimestre

Cubren 180 días en ventana móvil. Quien descubre que necesita un registro de hace ocho meses, descubre también que ya no existe.

7. Añade la frase de reporte sin castigo, y cúmplela la primera vez

"Reportar a tiempo y de buena fe no será objeto de sanción." La política vive o muere en el primer incidente: si la primera persona que levanta la mano sale escaldada, no habrá una segunda.

8. Prohíbe el nivel 4 sin excepciones de urgencia

Toda excepción "solo por esta vez, que el cliente lo pide para mañana" se convierte en precedente. Es más fácil sostener una prohibición absoluta que una con matices.

9. Haz que la política quepa en tres páginas y una de una cara

La versión larga para quien la necesite; la de una cara para el resto. Si tu equipo no puede recitar las tres reglas principales, no tienes política: tienes un archivo.

10. Guarda la política como base de conocimiento de la propia herramienta

Cargarla en un proyecto compartido permite que cualquiera pregunte "¿puedo pegar esto?" y reciba la respuesta de la propia política. Cómo montar esa base, en Projects como cerebro de la empresa.

11. Versiona y fecha cada revisión

"Versión 1.3, vigente desde el 4 de marzo de 2027." Sin versión no sabes qué firmó cada persona, y el acuse de lectura pierde todo su valor.

12. Revisa la política el día que entra una herramienta nueva

No al semestre siguiente. La lista de herramientas aprobadas es la sección que más envejece, y una lista desactualizada es la mejor excusa para saltársela.

¿Qué hacer esta semana?

Cinco días. Al final tendrás una política vigente, comunicada y firmada, que es más de lo que tiene la mayoría de las empresas de tu tamaño.

1. Lunes — La matriz. Reúne a una persona de cada área durante una hora y clasifica veinte documentos reales en los cuatro niveles. Los desacuerdos que aparezcan son exactamente el contenido de tu matriz.
2. Martes — La plantilla. Copia los once bloques, sustituye los corchetes y bórrale todo lo que no aplique a tu empresa. Que quepa en tres páginas.
3. Miércoles — Los controles. Revisa la configuración real: quién es el propietario principal, si el acceso entra por el directorio corporativo, si la valoración de chats está desactivada y qué conectores están autorizados.
4. Jueves — La revisión legal. Manda el borrador a quien lleva laboral y protección de datos en tu empresa. Que confirme las secciones 6, 10 y la parte de datos personales.
5. Viernes — La comunicación. Treinta minutos con el equipo, con el guion de cuatro partes. Reparte la página de una cara, abre el canal de dudas y recoge los acuses.

A los treinta días, media hora para recoger dudas reales y ajustar. Si prefieres hacerlo con acompañamiento y formar al equipo a la vez, en formación en IA con Claude tienes esa opción; y para el despliegue completo por fases, el plan de implementación.

Preguntas frecuentes

Artículos relacionados

• Cómo implementar Claude en tu empresa, por fases
• Programa de formación en IA para equipos en 8 semanas
• Projects: la base de conocimiento de la empresa
• Medir la adopción y el retorno de la IA en la empresa
• Usar IA con datos de clientes en Paraguay: Ley 7593
• Casos de uso de IA por área en pymes
• Generación de leads B2B con IA en México y Paraguay
• Más artículos del blog