Política de uso aceptable de IA
Plantillas relacionadas
Qué exige este control
Publicar y hacer cumplir una Política de Uso Aceptable de IA clara que defina las herramientas de IA aprobadas, los casos de uso permitidos por rol, las actividades prohibidas, los requisitos de clasificación de datos para las interacciones con IA, y el proceso para solicitar acceso a nuevas herramientas de IA. La política debe ser aprobada por el liderazgo ejecutivo, reconocida por todos los empleados y revisada al menos anualmente o ante cambios significativos en el panorama de la IA.
Por qué es importante
Los empleados están adoptando herramientas de IA a un ritmo sin precedentes, a menudo sin comprender las implicaciones en materia de privacidad de datos, propiedad intelectual o regulación. Sin límites explícitos, los datos confidenciales se pegan de forma rutinaria en servicios de IA públicos, el código propietario se utiliza para el entrenamiento de modelos, y los resultados generados por IA se despliegan sin revisión humana. Una política de uso aceptable bien comunicada transforma un riesgo ambiguo en estándares organizacionales exigibles.
Cómo implementarlo
Definir los niveles de herramientas y los casos de uso
Categorizar las herramientas de IA en niveles: Nivel 1 (aprobado para uso general; por ejemplo, ChatGPT empresarial con protecciones de datos), Nivel 2 (aprobado para roles específicos con condiciones; por ejemplo, GitHub Copilot únicamente para ingeniería) y Prohibido (herramientas de nivel de consumidor sin acuerdos empresariales). Para cada nivel, especificar las clasificaciones de datos permitidas, las configuraciones requeridas y cualquier requisito de revisión de resultados.
Codificar las actividades prohibidas
Prohibir explícitamente: enviar datos clasificados como Confidenciales o Restringidos a cualquier herramienta de IA sin controles de DLP aprobados, utilizar resultados de IA en decisiones reguladas (contratación, préstamos, clínicas) sin revisión humana, deshabilitar los filtros de seguridad o guardrails en las herramientas aprobadas, y utilizar código generado por IA en producción sin revisión de código. Incluir ejemplos específicos para eliminar la ambigüedad.
Establecer el flujo de solicitud y aprobación
Crear un formulario de admisión estandarizado para las solicitudes de nuevas herramientas de IA que capture el caso de uso propuesto, los tipos de datos involucrados, el estado de la evaluación de seguridad del proveedor y la justificación de negocio. Enrutar las solicitudes a través de una cadena de aprobación ágil (revisión de seguridad, revisión de privacidad y aprobación del propietario del negocio) con un SLA objetivo de 10 días hábiles.
Hacer cumplir y medir el cumplimiento
Integrar la aplicación de la política en los controles técnicos: configurar reglas de DLP para detectar datos sensibles en el tráfico de servicios de IA, bloquear el acceso a herramientas prohibidas a nivel de red y exigir autenticación SSO para las herramientas aprobadas. Rastrear las tasas de reconocimiento de la política, el número de violaciones y las solicitudes de excepción como KPI de gobernanza, reportados mensualmente al comité de gobernanza de IA.
Evidencia y auditoría
- Documento de la Política de Uso Aceptable de IA aprobada, con firma ejecutiva y fecha de vigencia
- Registros de reconocimiento de los empleados que muestran la tasa de finalización por departamento
- Matriz de clasificación de herramientas de IA (aprobadas, condicionales, prohibidas)
- Formularios de admisión de solicitudes de nuevas herramientas de IA y registros de aprobación
- Configuraciones de reglas de DLP que bloquean datos sensibles hacia servicios de IA
- Configuraciones de listas de bloqueo de red para herramientas de IA prohibidas
- Informes mensuales de KPI de gobernanza (violaciones, excepciones, tasas de reconocimiento)