--- title: "Política de IA en la empresa | DataRoad IT" description: "Cinco reglas en una página para usar ChatGPT y Copilot sin exponer datos: herramientas oficiales, datos vetados y accesos revisados. Propuesta sin compromiso." language: es url: https://www.dataroad-it.com/es/politica-ia-empresa-chatgpt-copilot/ source: https://www.dataroad-it.com/es/politica-ia-empresa-chatgpt-copilot/ publisher: DataRoad IT (DataRoad - IT Services and Consulting), Portugal --- > Cinco reglas en una página para usar ChatGPT y Copilot sin exponer datos: herramientas oficiales, datos vetados y accesos revisados. Propuesta sin compromiso. # Política de IA en la empresa: cinco reglas para ChatGPT y Copilot En resumen Para directivos con poco tiempo. - 01 El 45% de los trabajadores ya usa IA en el trabajo y el 67% con cuentas personales (Verizon, 2026). - 02 Copilot muestra lo que los permisos dejan ver: revise los accesos antes de activarlo. - 03 Una política de IA cabe en cinco reglas en una página, firmada por la dirección. - 04 Desde el 2 de febrero de 2025, el AI Act exige alfabetización en IA a cualquier empresa. ### En este artículo **Una política de IA en la empresa cuesta una reunión y una hoja A4. No tenerla puede costar la confidencialidad de clientes, sueldos y contratos.** Antes de dejar que el equipo use ChatGPT de forma masiva o de activar Copilot, la dirección tiene que fijar tres cosas: las herramientas autorizadas y la cuenta que se usa, la información que queda siempre fuera y quién puede abrir qué en Microsoft 365. A continuación explicamos la secuencia que DataRoad aplica en sus clientes y lo que el AI Act ya obliga a cumplir a las pymes. ## ¿Sus empleados ya usan IA sin autorización? Muy probablemente, sí. El informe anual de Verizon sobre brechas de datos (edición 2026) muestra que el 45% de las personas recurre habitualmente a la IA en los ordenadores del trabajo, frente al 15% un año antes. Peor aún: el 67% accede a esos servicios con cuentas que la empresa no controla. La IA utilizada al margen de la organización, la llamada IA en la sombra, se ha convertido en la tercera causa interna no maliciosa más registrada en las filtraciones de datos. Prohibir, por tanto, no resuelve nada. Sin una alternativa oficial, el equipo usa el móvil y la cuenta personal, y la empresa pierde el rastro de lo que sale. ## ¿Qué datos quedan expuestos al usar una cuenta personal? Todo lo que se pegue en la conversación. Los ejemplos son corrientes: un extracto bancario enviado para resumir, el mensaje de un cliente reescrito por el comercial, una evaluación de desempeño mejorada por recursos humanos. Lo que lo cambia todo son las condiciones del servicio. En las versiones para consumidores, OpenAI puede usar las conversaciones para entrenar sus modelos, salvo que el usuario desactive ese ajuste. En las suscripciones empresariales y en la API, el comportamiento por defecto es el contrario: el contenido queda fuera del entrenamiento. La línea que separa ambos mundos es una cuenta empresarial, administrada por la empresa. **Comparación sencilla:** hablar de un negocio con una IA en una cuenta personal es como negociar por teléfono en un tren lleno. Con una cuenta empresarial, la conversación pasa a una sala cerrada, con las normas de la casa y registro de quién estuvo presente. ## ¿Puede Copilot revelar archivos confidenciales? Puede, si los permisos ya están mal. Microsoft 365 Copilot no fuerza ninguna puerta: según la documentación de Microsoft, solo devuelve información a la que el usuario ya puede acceder, como mínimo, en lectura. El peligro está en los permisos compartidos que nadie ha revisado. Es lo que encontramos en las auditorías con regularidad. Una carpeta de la dirección abierta a toda la organización. Un enlace creado hace tres años a la hoja de nóminas, válido para cualquier compañero. Un sitio de SharePoint de un proyecto cerrado, sin restricciones. Durante años pasó desapercibido. Con Copilot, una pregunta sobre la retribución del equipo comercial puede tener respuesta inmediata. El orden es innegociable: primero limpiar los accesos en SharePoint, OneDrive y Teams; después abrir Copilot a un grupo reducido. Se trata de configurar bien el [Microsoft 365 de la empresa](https://www.dataroad-it.com/es/microsoft-365-empresas-gestion/), no de comprar más licencias. ## ¿Qué reglas debe incluir la política de IA? Bastan cinco. Caben en una página, y quien firma es la dirección, no el técnico. | Regla | Aplicación | Responsable | | --- | --- | --- | | **1. Lista cerrada de herramientas** | Solo las herramientas aprobadas, siempre con credenciales de la empresa; nada de cuentas privadas para asuntos de trabajo. | Dirección e IT | | **2. Información prohibida** | Ningún dato personal de clientes o del equipo, información clínica, retribuciones, credenciales, contratos o propuestas reservadas. | Todos los usuarios | | **3. Primero, accesos limpios** | Permisos compartidos y enlaces abiertos revisados en SharePoint, OneDrive y Teams; Copilot arranca con un grupo piloto. | IT | | **4. Revisión por una persona** | La IA hace el borrador; alguien valida importes, nombres y hechos antes de que el documento llegue al cliente. | Mandos directos | | **5. Formación con registro** | Una sesión breve para todo el equipo y hoja de asistencia archivada: es la prueba de la alfabetización exigida por la ley. | Recursos humanos | Intégrelas en el conjunto de [políticas internas de seguridad](https://www.dataroad-it.com/es/ciberseguridad-gestionada-7-politicas/) que cualquier organización de más de 10 personas debería tener documentadas. ### Lista de comprobación antes del primer piloto - **Autenticación** MFA activada en todas las cuentas, sin excepciones. - **Bajas** Usuarios de quienes ya se fueron eliminados y licencias devueltas. - **Enlaces públicos** Enlaces de "cualquier persona" auditados y desactivados donde sea posible. - **Áreas reservadas** Dirección, personal y finanzas accesibles solo para quien las necesita. - **Grupo de prueba** Entre 5 y 10 usuarios, con fecha fijada para evaluar. ## ¿Qué exige hoy el AI Act a una pyme? Exige alfabetización en IA. El Reglamento (UE) 2024/1689 está en vigor desde el 1 de agosto de 2024 y se aplica de forma escalonada. Para una empresa que usa ChatGPT o Copilot en el trabajo diario, cuentan tres puntos: - **Desde el 2 de febrero de 2025** Se aplican las prácticas prohibidas y el artículo 4. Quien utiliza IA tiene que asegurarse de que las personas tienen la preparación suficiente para usarla con criterio. - **Julio de 2026** El Reglamento (UE) 2026/1744, conocido como Ómnibus Digital de la IA, aplazó las obligaciones de alto riesgo al 2 de diciembre de 2027 (sistemas autónomos) y al 2 de agosto de 2028 (sistemas integrados en productos). La alfabetización siguió siendo obligatoria. - **Alto riesgo** Abarca, por ejemplo, la selección de candidatos, la biometría y las infraestructuras críticas. Si la IA interviene en la contratación, pida asesoramiento jurídico. Quien usa IA para redactar mensajes, resumir informes o preparar propuestas no necesita certificación. Necesita demostrar que el equipo conoce la herramienta, sabe dónde falla y trata los datos con cuidado. La regla 5 garantiza esa prueba. DataRoad no presta asesoramiento jurídico. Ejecutamos la parte técnica (cuentas, accesos, registros) y ayudamos a preparar la sesión de formación. ## ¿Cómo funciona en una empresa con tres oficinas? [Velv by OnRising](https://www.dataroad-it.com/es/velv-onrising-200-puestos-software/) desarrolla software en Oporto, Lisboa y Río de Janeiro, con unos 200 puestos gestionados por DataRoad en IT Unlimited. Casi la mitad de la facturación (45%) procede de clientes internacionales, y el contrato cubre firewall, seguridad de red y políticas de protección. Para un equipo así, decidir qué información de clientes puede pasar por una IA es rutina, y la regla tiene que ser la misma en las tres ciudades. La política de IA se incorpora al paquete de políticas que ya existe y la ejecuta el mismo equipo que gestiona identidades, accesos y equipos. ## ¿Por dónde empezar esta misma semana? - **Preguntar**: averigüe qué servicios de IA usa hoy el equipo. - **Oficializar**: elija una herramienta y dótela de cuentas empresariales. - **Auditar**: encargue la revisión de accesos antes de cualquier prueba de Copilot. Sin MFA generalizada, esa es la prioridad: es el arranque de un modelo [Zero Trust adaptado a pymes](https://www.dataroad-it.com/es/zero-trust-pyme-plan-90-dias/). Y no olvide que los atacantes también usan IA: merece la pena [preparar a las personas contra el phishing y los deepfakes](https://www.dataroad-it.com/es/phishing-voz-clonada-deepfakes-concienciacion/). ## Preguntas frecuentes sobre la política de IA ### ¿Debemos bloquear ChatGPT en la red de la empresa? No es la mejor opción. Un bloqueo sin alternativa desvía el uso hacia móviles y cuentas privadas; es más seguro oficializar una herramienta empresarial y enumerar los datos prohibidos. ### ¿Puede un empleado ver a través de Copilot lo que no debería? Solo si ya tiene ese acceso. Copilot solo amplifica permisos mal asignados (carpetas abiertas a todos, enlaces antiguos), y por eso la revisión de accesos va siempre antes de la activación. ### ¿Una empresa de 15 personas también tiene que cumplir la alfabetización en IA? Sí. El artículo 4 del AI Act se aplica desde el 2 de febrero de 2025 a cualquier uso profesional de la IA, sin importar el tamaño; normas escritas, una sesión breve y el registro de asistencia son el mínimo sensato, y la lectura jurídica corresponde a su abogado. ### ¿Usar IA con seguridad obliga a comprar licencias? No. Lo esencial es configurar lo que la empresa ya paga (MFA, accesos revisados, cuentas empresariales en las herramientas elegidas) y solo después se justifican las licencias de Copilot. ## Siguiente paso: política de IA y accesos revisados en 10 días laborables DataRoad audita los permisos compartidos de su Microsoft 365, le muestra lo que Copilot haría visible y le entrega la hoja de normas lista para firmar. La protección forma parte del [plan IT Unlimited Premium](https://www.dataroad-it.com/es/it-unlimited-premium-asistencia-presencial/) y de nuestra [ciberseguridad gestionada](https://www.dataroad-it.com/es/ciberseguridad-empresas/) completa. Pida una propuesta sin compromiso. **Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico.** Llame al +351 211 459 950 * o escriba a sales@dataroad.pt. **Llamada a la red fija portuguesa.* ## Fuentes consultadas - [Verizon DBIR 2026 (resumen ejecutivo)](https://www.verizon.com/business/resources/executivebriefs/2026-dbir-executive-summary.pdf) - [Microsoft Learn: privacidad y protección de datos en Copilot](https://learn.microsoft.com/en-us/microsoft-365/copilot/microsoft-365-copilot-privacy) - [OpenAI: uso de los datos para entrenar modelos](https://openai.com/policies/how-your-data-is-used-to-improve-model-performance/) - [EUR-Lex: texto del AI Act, Reglamento (UE) 2024/1689](https://eur-lex.europa.eu/legal-content/PT/TXT/?uri=CELEX:32024R1689) - [EUR-Lex: Ómnibus Digital de la IA, Reglamento (UE) 2026/1744](https://eur-lex.europa.eu/eli/reg/2026/1744/oj/por) - [Comisión Europea: nuevas fechas para los sistemas de alto riesgo](https://digital-strategy.ec.europa.eu/en/news/eu-agrees-simplify-ai-rules-boost-innovation-and-ban-nudification-apps-protect-citizens) Elegida por empresas reconocidas e internacionales ★★★★★ 5,0 · 52 reseñas en Google ★★★★★ 5,0 · 52 reseñas en Google DataRoad ## Artículos relacionados [IT gestionado y ciberseguridadEquipos de viaje: portátiles, móviles y Wi-Fi público segurosEl riesgo real de un viaje es el portátil perdido sin cifrar, no el Wi-Fi del hotel. Con disco cifrado, gestión central, MFA y conexión cont…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/ciberseguridad-equipos-viaje-portatiles-wifi-publico/)[IT gestionado y ciberseguridadSuperficie de ataque externa: lo que internet ve de su empresaLos ataques automáticos buscan versiones vulnerables y el tamaño de la empresa no importa. En 2025, el CERT.PT registró 3.864 incidentes, un…12 de octubre de 2026 · 5 min de lectura](https://www.dataroad-it.com/es/superficie-ataque-externa-ciberseguridad/)[IT gestionado y ciberseguridadNOC y ciberseguridad gestionada: quién vigila su pyme, y cuándoLa cuestión no es tener un SOC: es saber quién recibe la alerta a las 22 h de un sábado y qué hace después. En DataRoad, noches, fines de se…12 de octubre de 2026 · 6 min de lectura](https://www.dataroad-it.com/es/noc-ciberseguridad-gestionada-pymes/)[IT gestionado y ciberseguridadSeguridad de Microsoft 365: los 10 controles de la empresaEn Microsoft 365, la plataforma es de Microsoft y las llaves son suyas. Según Microsoft, el MFA y el bloqueo de la autenticación antigua fre…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/microsoft-365-responsabilidad-compartida-seguridad/)[IT gestionado y ciberseguridadRGPD y ciberseguridad gestionada: 10 controles técnicos claveSin medidas técnicas documentadas, una brecha de datos pasa de incidente de IT a problema con la autoridad de control. Diez controles en tre…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/rgpd-medidas-tecnicas-infraestructura-it/)[IT gestionado y ciberseguridadContraseñas expuestas: auditar el dominio y actuar en 5 díasEl riesgo no es que el email aparezca en una filtración: es que la misma contraseña abra una cuenta de trabajo. Cambiar lo expuesto, MFA en …12 de octubre de 2026 · 6 min de lectura](https://www.dataroad-it.com/es/credenciales-filtradas-verificar-dominio-empresa/)[IT gestionado y ciberseguridadInventario de activos: la base de la gestión del parque y de NIS2Sin inventario de activos no hay renovación planificada, seguridad demostrable ni respuesta al CNCS. Las entidades NIS2 deben enviar la list…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/inventario-activos-parque-informatico-nis2/)[IT gestionado y ciberseguridadCuentas break-glass en Microsoft 365: el seguro de la empresaUn administrador bloqueado puede dejar correo, Teams y archivos sin gestión durante días. Las cuentas break-glass son el administrador de re…12 de octubre de 2026 · 5 min de lectura](https://www.dataroad-it.com/es/cuentas-break-glass-microsoft-365/)[IT gestionado y ciberseguridadWindows 365 en la empresa: cuándo el PC en la nube reduce costesEl PC en la nube compensa en consultores, temporeros, equipos sin oficina y parques mixtos Mac y Windows. Para vídeo, CAD o internet débil, …12 de octubre de 2026 · 6 min de lectura](https://www.dataroad-it.com/es/windows-365-empresas-pc-nube-costes/) Cifras que puede verificar **11** años en el mercado **232** clientes **< 10 min** tiempo medio de respuesta **15+** Certificaciones IT de fabricantes **10+** Países con clientes atendidos **5,0 ★** 52 reseñas en Google Transparencia ## Lo que muchos proveedores no muestran, nosotros lo publicamos. [Ver planes y precios →](https://www.dataroad-it.com/it-unlimited/) - **Precios a la vista** Essential desde 395 €/mes + IVA, Premium desde 750 € y Premium 365 desde 1.200 €. - **Sin permanencia** Contrato anual, sin permanencia y sin costes de alta. - **Todo por escrito** Qué incluye, el alcance y el precio, antes de firmar. - **Soporte sin horas contadas** Remoto y telefónico en todos los planes; presencial desde Premium. Partners y certificaciones DataRoad · IT gestionado para empresas ## One StepAhead of IT. Un solo socio responsable de toda la informática de la empresa, con plazos escritos en contrato y una cuota mensual que no cambia. - **11** años en el mercado, desde 2015 - **PT · EU · US** soporte remoto y presencial - **Top 5%** pymes · scoring.pt We do **IT** right. DataRoad IT Unlimited ## ¿Sus copias de seguridad han sido puestas a prueba? Copias automáticas y monitorizadas, guardadas fuera de la oficina. [Solicitar propuesta sin compromiso →](https://www.dataroad-it.com/es/#contact)+351 211 459 950 **Llamada a la red fija nacional portuguesa · Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico[¿No sabe qué necesita? Hable con el asistente →](https://www.dataroad-it.com/es/#assistente) --- Versão HTML desta página: https://www.dataroad-it.com/es/politica-ia-empresa-chatgpt-copilot/