Política de Uso Aceptable de IA

Propósito

Esta política establece requisitos vinculantes para el uso aceptable de sistemas y herramientas de inteligencia artificial dentro de [ORGANIZATION NAME]. Existe para proteger los activos organizacionales, mantener el cumplimiento regulatorio y garantizar una adopción responsable de la IA.

Alcance

Esta política aplica a:

• Todos los empleados, contratistas, consultores y personal de terceros
• Todas las tecnologías de IA, incluidos los modelos de lenguaje de gran tamaño (LLM), modelos de aprendizaje automático, herramientas de generación de código impulsadas por IA, sistemas de decisión automatizados y arquitecturas de IA agéntica
• Sistemas desarrollados internamente, adquiridos de proveedores o a los que se accede mediante API
• Tanto entornos de producción como de no producción

Aplicabilidad

Esta política aplica independientemente de si se accede al sistema de IA mediante una interfaz web, API, integración incorporada, extensión de navegador o herramienta de línea de comandos. La IA en la sombra (Shadow AI) — cualquier herramienta de IA adoptada sin la aprobación de TI o seguridad — está explícitamente dentro del alcance y sujeta a todas las disposiciones aquí establecidas.

Los departamentos con obligaciones regulatorias específicas del sector (por ejemplo, salud, servicios financieros, legal) deben incorporar controles adicionales sobre esta política según lo requieran sus marcos regulatorios.

Casos de uso preaprobados (riesgo bajo)

Las siguientes actividades de IA están aprobadas para todo el personal que haya completado la capacitación de concientización sobre IA:

• Asistencia en generación de código con revisión humana obligatoria antes de la fusión (merge)
• Redacción de comunicaciones internas, resúmenes de reuniones y documentación
• Análisis y visualización de datos en conjuntos de datos no regulados y no confidenciales
• Búsqueda y resumen en la base de conocimiento interna
• Generación de casos de prueba y documentación de código
• Traducción de documentos internos entre los idiomas admitidos

Aprobación del gerente requerida (riesgo medio)

Los siguientes casos requieren aprobación documentada del gerente directo de la persona y una minievaluación de riesgo completada:

• Generación de contenido de cara al cliente con revisión editorial previa a la publicación
• Análisis de datos asistido por IA en conjuntos de datos que contengan información de identificación personal (PII)
• Generación automatizada de informes con fines de cumplimiento o regulatorios
• Sistemas de monitoreo, alertas o triaje impulsados por IA
• Integración de capacidades de IA en herramientas o flujos de trabajo internos

Aprobación ejecutiva y de seguridad requerida (riesgo alto)

Los siguientes casos requieren la aprobación tanto del CISO (o su delegado) como de un ejecutivo de la unidad de negocio:

• Toma de decisiones automatizada que afecte a personas (contratación, crédito, control de acceso, beneficios)
• Procesamiento de datos regulados (datos cubiertos por HIPAA, PCI-DSS, GDPR)
• Chatbots de IA de cara al cliente, agentes virtuales o respondedores autónomos
• Sistemas de IA integrados en infraestructura crítica o procesos críticos para la seguridad
• Ajuste fino o entrenamiento de modelos con datos organizacionales propietarios

Registro de aprobaciones

Todas las aprobaciones de riesgo medio y alto deben documentarse mediante el Formulario de Aprobación de Casos de Uso de IA y conservarse durante un mínimo de tres años. El Comité de Gobernanza de IA mantiene un registro de todos los casos de uso aprobados.

Prohibiciones absolutas

Las siguientes actividades están estrictamente prohibidas y constituyen una violación de la política independientemente de la intención, la justificación de negocio o el resultado:

1. Exfiltración de datos mediante IA: Enviar código fuente propietario, secretos comerciales, datos de clientes, credenciales, claves de API o información comercial confidencial a cualquier servicio de IA no aprobado explícitamente por el equipo de seguridad
2. Contenido engañoso: Usar IA para generar, modificar o distribuir contenido engañoso, fraudulento o falso, incluidos deepfakes, evidencia fabricada o suplantación de identidad
3. Elusión de la seguridad: Intentar eludir controles de seguridad, filtros de contenido, restricciones de acceso o límites de tasa en sistemas de IA, ya sean internos o de terceros
4. Decisiones sin supervisión: Usar las salidas de IA como decisiones finales sin revisión humana en cualquier dominio regulado, incluidos empleo, crédito, seguros, salud o aplicación de la ley
5. Exposición de credenciales: Compartir claves de API, credenciales de cuentas de servicio, tokens de autenticación o identificadores de sesión con sistemas de IA no aprobados por el equipo de seguridad
6. Entrenamiento no autorizado: Entrenar o ajustar modelos con datos de clientes, datos de empleados o cualquier conjunto de datos regulado sin un acuerdo de procesamiento de datos firmado y revisión legal
7. Despliegue no validado: Desplegar modelos de IA a producción sin completar la Lista de Verificación de Validación de Despliegue de IA y obtener todas las aprobaciones requeridas
8. Vigilancia: Usar IA para la vigilancia de empleados, la elaboración de perfiles de comportamiento o el monitoreo de clientes sin autorización legal explícita y una evaluación de impacto en la privacidad
9. Armas autónomas o daño: Usar IA para desarrollar, mejorar o desplegar cualquier sistema diseñado para causar daño físico, habilitar sistemas de armas o facilitar actividades ilegales

Informe de violaciones

Cualquier persona que tenga conocimiento de una violación de estas prohibiciones debe reportarla a [ROLE TITLE] dentro de las 24 horas. Los informes pueden realizarse a través de la línea directa de ética de la organización, comunicación directa con el Comité de Gobernanza de IA o el sistema de informe de incidentes.

Las represalias contra las personas que reporten violaciones de buena fe constituyen en sí mismas una violación de la política sujeta a acción disciplinaria.

Matriz de clasificación de datos para IA

Requisitos de minimización de datos

Todas las interacciones con IA deben seguir el principio de minimización de datos:

• Incluir solo los datos mínimos necesarios para realizar la tarea
• Eliminar PII, credenciales e identificadores sensibles antes de enviar prompts
• Usar técnicas de anonimización o seudonimización al trabajar con conjuntos de datos
• Nunca incluir registros completos de bases de datos cuando un resumen o esquema sea suficiente

Higiene de prompts

Antes de enviar cualquier prompt a un sistema de IA, el personal debe verificar que el prompt no contenga:

• Números de seguro social, números de identificación nacional u otros identificadores gubernamentales
• Números de cuentas financieras, números de tarjetas de crédito o datos bancarios
• Información de salud protegida (PHI) o registros médicos
• Credenciales de autenticación, tokens o claves criptográficas
• Direcciones IP internas, diagramas de red o configuraciones de seguridad

Registro y retención

Todas las interacciones con IA que involucren datos de clasificación Interna o superior deben registrarse en el registro de interacciones de IA de la organización. Los registros deben incluir: marca de tiempo, identidad del usuario, sistema de IA utilizado, nivel de clasificación de datos y propósito. Los registros deben conservarse durante un mínimo de [12/24/36] meses según el programa de retención de datos de [ORGANIZATION NAME].

Descripción general del flujo de trabajo

Todos los casos de uso de IA nuevos — y los cambios materiales a los casos de uso aprobados — deben seguir este flujo de aprobación antes del despliegue operativo.

Paso 1: Registro del caso de uso

La persona o el equipo solicitante completa el Formulario de Registro de Casos de Uso de IA, que recopila:

• Descripción del caso de uso de IA previsto y justificación de negocio
• Sistema o herramienta de IA a utilizar (proveedor, modelo, versión)
• Clasificación de datos de las entradas y salidas esperadas
• Usuarios previstos y alcance de acceso
• Autoevaluación del nivel de riesgo (Bajo / Medio / Alto)

Paso 2: Evaluación de riesgo

El Comité de Gobernanza de IA (o el revisor designado) evalúa la solicitud considerando:

• Sensibilidad de los datos y requisitos regulatorios
• Potencial de sesgo, discriminación o resultados injustos
• Riesgo reputacional e impacto en el cliente
• Postura de seguridad técnica del sistema de IA
• Perfil de riesgo del proveedor (para sistemas de terceros)

Paso 3: Decisión de aprobación

Paso 4: Aprobación condicional

Las aprobaciones pueden incluir condiciones tales como: registro obligatorio, revisión periódica, límites de uso, grupos de usuarios restringidos o requisitos de capacitación adicionales. Todas las condiciones se documentan en el registro de aprobación y son monitoreadas por el Comité de Gobernanza de IA.

Paso 5: Revalidación periódica

Todos los casos de uso aprobados están sujetos a revalidación anual. Los casos de uso que no hayan sido revalidados dentro de los 12 meses posteriores a la aprobación se suspenden automáticamente hasta que se complete la revisión.

Requisitos de capacitación obligatoria

Todo el personal dentro del alcance de esta política debe completar la siguiente capacitación antes de usar cualquier sistema de IA:

Capacitación de concientización sobre IA (todo el personal)

• Duración: 60 minutos (en línea, a ritmo propio)
• Frecuencia: Al momento de la contratación y anualmente en adelante
• Contenido: Fundamentos de IA, resumen de la política organizacional, reglas de manejo de datos, actividades prohibidas, informe de incidentes
• Evaluación: Se requiere una calificación mínima de 80% en el cuestionario posterior a la capacitación

Capacitación de seguridad en IA (personal técnico)

• Duración: 4 horas (presencial con instructor o en línea)
• Frecuencia: Al momento de la asignación a proyectos de IA y anualmente en adelante
• Contenido: Ataques de inyección de prompts, riesgos de fuga de datos, seguridad de modelos, prácticas de despliegue seguro, fundamentos de red teaming
• Evaluación: Ejercicio práctico de laboratorio con calificación mínima de 90%

Capacitación en gobernanza de IA (gerentes y ejecutivos)

• Duración: 2 horas (presencial con instructor)
• Frecuencia: Anual
• Contenido: Panorama regulatorio, gestión de riesgos, flujos de aprobación, escalamiento de incidentes, supervisión de proveedores

Proceso de reconocimiento

Al completar la capacitación, cada persona debe firmar el Reconocimiento de Uso Aceptable de IA, confirmando que ha:

1. Leído y comprendido la Política de Uso Aceptable de IA en su totalidad
2. Completado la capacitación requerida para su rol
3. Aceptado cumplir con todas las disposiciones de esta política
4. Reconocido que las violaciones pueden resultar en acción disciplinaria, incluyendo hasta la terminación del empleo

Los reconocimientos firmados son conservados por [DEPARTMENT] durante la duración de la relación de la persona con [ORGANIZATION NAME] más [2/5/7] años.

Registros de capacitación

El [DEPARTMENT] mantiene un registro de finalización de capacitación. Los gerentes reciben informes mensuales sobre el cumplimiento de capacitación de sus informes directos. Al personal que no haya completado la capacitación requerida dentro de los 30 días posteriores a su fecha límite se le suspenderá el acceso a los sistemas de IA.

Categorías de violaciones

Consecuencias

Proceso de investigación

1. Detección: La violación se identifica mediante monitoreo, autorreporte o notificación de terceros
2. Triaje: El Comité de Gobernanza de IA evalúa la gravedad dentro de las 24 horas
3. Investigación: [ROLE TITLE] realiza la investigación dentro de los 10 días hábiles, incluyendo entrevistas, análisis de registros y evaluación de impacto
4. Determinación: Se documentan los hallazgos y se asigna la categoría de violación
5. Acción: Se aplica la consecuencia correspondiente según la matriz anterior
6. Remediación: Se aborda la causa raíz — puede incluir capacitación adicional, cambios de proceso o controles técnicos
7. Registro: Todos los registros de investigación se conservan durante [5/7] años

Monitoreo continuo

[ORGANIZATION NAME] se reserva el derecho de monitorear el uso de los sistemas de IA, revisar los registros de interacción y auditar el cumplimiento de esta política. El monitoreo se llevará a cabo de conformidad con las leyes de privacidad y las regulaciones laborales aplicables.