Estrategia de IA
Estrategia de IA la hoja de ruta para ordenar su uso en tu empresa
Qué riesgos tiene el uso informal de la IA, quién debe decidir, qué reglas y datos hacen falta, cómo priorizar los casos de uso y las siete fases para implantarlo, con una herramienta para puntuar tus ideas.
Eneko Cid · Consultor y formador en automatización e IA
Respuesta directa
Si tu empresa no tiene estrategia de IA, la adopción ya está ocurriendo sin dirección. Para ordenarla hacen falta cinco piezas — gobierno (un comité de IA), reglas legales comprensibles, datos ordenados, casos de uso concretos y formación por perfiles — aplicadas en siete fases, de descubrir el uso actual a escalar con control.
Una estrategia de IA ordena algo que en tu empresa probablemente ya está pasando: une gobierno, reglas claras, datos ordenados, casos de uso priorizados y formación por perfiles, y se implanta en siete fases, empezando por descubrir cómo se usa hoy la IA. Esta guía es para quien tiene que decidir cómo hacerlo sin frenar al equipo ni dejarlo a su suerte.
Es probable que varias personas de tu empresa ya estén utilizando inteligencia artificial. Quizá alguien redacta correos con un asistente, resume documentos, analiza una hoja de cálculo, mejora una presentación o prepara una propuesta comercial.
El problema no es necesariamente que lo hagan. El problema es que la organización puede desconocer qué herramientas utilizan, qué información introducen, qué decisiones apoyan con ellas y quién revisa los resultados.
No tener una estrategia de inteligencia artificial no significa que la empresa no esté utilizando IA. Significa que esa adopción se está produciendo sin una dirección común.
Una estrategia no debe empezar comprando otra herramienta. Debe comenzar con un inventario de la situación actual, una estructura de gobierno y un conjunto de prioridades. Después llegará la tecnología.
El uso informal de IA crea riesgos que la empresa no puede gestionar
Cuando cada persona adopta herramientas por su cuenta, la organización pierde visibilidad. Puede desconocer:
- Qué aplicaciones se están utilizando.
- Si las cuentas son personales o corporativas.
- Qué documentos se están cargando.
- Si se introducen datos personales o información confidencial.
- Cómo utilizan los proveedores la información.
- Qué resultados se incorporan a procesos empresariales.
- Si alguien comprueba las respuestas.
- Qué ocurre cuando la herramienta se equivoca.
- Qué costes y licencias se están acumulando.
Prohibir toda herramienta tampoco suele resolver el problema. Si existe una necesidad real y la alternativa corporativa no es útil, algunas personas pueden seguir utilizando soluciones no autorizadas fuera de los canales establecidos.
La respuesta práctica consiste en entender los usos actuales, establecer límites y ofrecer alternativas aprobadas.
La estrategia de IA necesita una estructura de gobierno
Una empresa no puede gestionar la inteligencia artificial únicamente desde IT. La adopción afecta a los procesos, los datos, la seguridad, las personas, los contratos, el cumplimiento normativo y la toma de decisiones.
Por eso conviene crear un comité de IA o asignar estas funciones a una estructura de gobierno ya existente. El nombre importa menos que su capacidad para tomar decisiones y exigir responsabilidades.
Un ejemplo cercano: la Agencia Española de Protección de Datos publicó en noviembre de 2025 su propia política interna de uso de la IA generativa, que plantea su implantación bajo una gobernanza sólida y con supervisión humana.
Quién debería participar en el comité de IA
La composición dependerá del tamaño de la empresa, pero debería reunir al menos estas perspectivas: dirección o un patrocinador con capacidad de decisión, IT y arquitectura tecnológica, seguridad de la información, protección de datos y asesoramiento jurídico, operaciones y responsables de procesos, recursos humanos y formación, compras o gestión de proveedores, y representantes de las áreas usuarias.
En una pyme no hacen falta muchas personas ni una estructura burocrática. Una misma persona puede representar varias funciones. Lo importante es que las decisiones no dependan únicamente del entusiasmo de un departamento o de la opinión técnica de un proveedor.
Qué debe decidir el comité
- Aprobar las herramientas y los proveedores autorizados.
- Mantener un inventario de sistemas y casos de uso.
- Clasificar los casos según su riesgo.
- Determinar qué datos pueden utilizarse.
- Definir los controles y la supervisión humana.
- Revisar los contratos y condiciones de los proveedores.
- Priorizar pilotos e inversiones.
- Supervisar incidentes y medidas correctivas.
- Aprobar el paso de un piloto a producción.
- Revisar periódicamente la estrategia.
El comité no debe convertirse en una reunión donde todo se bloquea. Su función es permitir que la empresa avance con criterios conocidos y decisiones trazables.
Un marco legal sólido debe traducirse en reglas comprensibles
La regulación no puede quedarse en un documento que solo conoce el departamento jurídico.
El Reglamento de Inteligencia Artificial de la Unión Europea establece un enfoque basado en el riesgo. Cuanto mayor sea el posible impacto de un sistema sobre la seguridad, la salud o los derechos fundamentales, mayores serán las exigencias aplicables.
Además, la normativa europea ha continuado evolucionando. En julio de 2026 entraron en vigor modificaciones que ampliaron determinados plazos y simplificaron algunas obligaciones, manteniendo controles sobre seguridad y derechos fundamentales. Esto hace necesario revisar las fechas y obligaciones aplicables a cada caso concreto, en lugar de utilizar calendarios antiguos encontrados en una presentación o artículo.
27/07/2026
Entrada en vigor de las modificaciones (Reglamento 2026/1744)
02/12/2027
Requisitos de alto riesgo del anexo III
Antes, 2 de agosto de 2026. Incluye usos como selección y evaluación de personas
02/08/2028
Requisitos de alto riesgo del anexo I
Sistemas integrados en productos regulados
Fuente: eur-lex.europa.eu
Por eso, el marco interno debería incluir, como mínimo:
- Una política general de uso de inteligencia artificial.
- Una lista de herramientas autorizadas y no autorizadas.
- Criterios para el tratamiento de datos personales.
- Reglas sobre información confidencial y propiedad intelectual.
- Condiciones para generar y revisar contenidos.
- Controles sobre decisiones automatizadas.
- Procedimientos de contratación y evaluación de proveedores.
- Requisitos de trazabilidad y conservación de evidencias.
- Un procedimiento para comunicar incidentes.
- Un sistema de revisión periódica.
La política interna de IA generativa de la Agencia Española de Protección de Datos ofrece una referencia útil sobre la amplitud de estas medidas: gobernanza y gestión, selección de soluciones, tratamiento de datos personales, diseño de casos de uso, análisis de riesgos, supervisión continua y gestión de incidentes.
No se trata de copiar esa política. Una empresa privada tiene necesidades, obligaciones y procesos diferentes. Sí sirve para comprobar que una política real necesita cubrir mucho más que una lista de herramientas prohibidas.
Los datos deben estar ordenados antes de conectar la IA
Una herramienta de inteligencia artificial no corrige automáticamente documentos duplicados, permisos excesivos, bases de datos incompletas o información sin propietario. Si la empresa conecta un asistente a información desordenada, podrá recuperar y combinar ese desorden con mayor velocidad. Y cuando la herramienta no solo responde, sino que actúa (envía correos, mueve archivos o publica mensajes, como Copilot Cowork), unos permisos mal definidos tienen consecuencias todavía mayores.
Antes de ampliar el acceso a datos corporativos conviene revisar qué fuentes contienen la información oficial, quién es responsable de cada conjunto de datos, qué documentos están vigentes, qué información está duplicada, qué personas y sistemas tienen acceso, cuánto tiempo debe conservarse la información, qué datos son personales, sensibles o confidenciales, cómo se registran los accesos y modificaciones y qué información no debe utilizarse para un caso determinado. En cómo funciona Copilot Studio explico por qué la calidad de un agente depende tanto de sus fuentes y sus permisos.
La gobernanza del dato también influye en la calidad, los posibles sesgos y la capacidad para explicar los resultados. La Comisión Europea ha pedido normas técnicas para el Reglamento de IA en áreas como la gestión de riesgos, la gobernanza y calidad de los conjuntos de datos, el registro de la actividad, la transparencia, la supervisión humana, la robustez y la ciberseguridad.
No hace falta esperar a tener todos los datos perfectos. Sí hace falta conocer sus limitaciones y evitar que una prueba de concepto termine convertida en un proceso crítico sin controles.
Los casos de uso deben resolver un problema concreto
“Tener IA” no es un objetivo empresarial. Un caso de uso debería indicar qué problema resuelve, qué personas participan, cómo se realiza actualmente, qué información necesita, qué resultado debe producir, qué decisiones puede apoyar, qué acciones no puede ejecutar, quién revisa el resultado, qué errores podrían producirse y cómo se medirá su utilidad.
Por ejemplo, “utilizar IA en atención al cliente” es demasiado amplio. Un caso de uso mejor definido sería:
Preparar un borrador de respuesta a preguntas frecuentes utilizando exclusivamente la base de conocimiento aprobada. Un agente de soporte revisará el contenido antes de enviarlo. El sistema no responderá automáticamente sobre cancelaciones, reclamaciones o condiciones contractuales.
Este segundo planteamiento permite evaluar fuentes, permisos, riesgos, responsables y criterios de calidad.
Cómo priorizar los casos de uso
Cada oportunidad puede valorarse con criterios como el impacto esperado, la frecuencia de la tarea, el tiempo consumido actualmente, la calidad y disponibilidad de los datos, la complejidad técnica, el riesgo legal o reputacional, la necesidad de integración, la facilidad de supervisión, la capacidad interna para mantener la solución y el esfuerzo de adopción.
Los primeros pilotos no deberían seleccionarse por ser los más llamativos. Conviene empezar por procesos delimitados, medibles y reversibles. Para comparar ideas con un mismo criterio, puntúa cada una:
18
Puntuación sobre 25
16
Valor (impacto × frecuencia
El riesgo resta: 1 es bajo y 5 es alto. Es una ayuda para ordenar ideas con el mismo criterio, no una decisión automática; un riesgo alto exige revisión aunque la puntuación sea buena.
La formación debe adaptarse a la responsabilidad de cada persona
No toda la empresa necesita la misma formación. Una dirección necesita comprender prioridades, riesgos, inversión y gobernanza. Un equipo jurídico necesita conocer los sistemas utilizados, los datos tratados y los contratos. IT debe controlar identidades, permisos, integraciones y registros. Los usuarios necesitan saber qué pueden introducir, cómo redactar instrucciones y cómo validar resultados.
| Nivel | Contenidos principales |
|---|---|
| Dirección y comité de IA | Estrategia y gobierno, clasificación de riesgos, priorización de inversiones, responsabilidades, indicadores |
| IT, seguridad y cumplimiento | Arquitectura, identidades y permisos, evaluación de proveedores, protección de datos, trazabilidad, incidentes, integraciones |
| Responsables de procesos | Identificación de oportunidades, documentación de procesos, diseño de casos de uso, controles humanos, criterios de calidad, medición |
| Usuarios finales | Herramientas autorizadas, tratamiento de información, redacción de instrucciones, verificación de respuestas, comunicación de errores, límites de uso |
La formación no debe reducirse a aprender estructuras de prompts. El equipo tiene que comprender qué puede delegar, qué debe revisar y cuándo no debe utilizar una herramienta.
Qué te conviene según tu caso
| Tu situación | Por dónde empezar | Coste a vigilar | La pega |
|---|---|---|---|
| Cada persona usa la IA a su manera y no hay reglas | Fases 1 y 2: descubrir el uso actual y aprobar una política provisional | Tiempo de dirección y de los responsables | Si se vive como una inspección, los usos reales se esconden |
| Hay licencias corporativas pero se usan poco | Formación por perfiles con casos de uso concretos | Horas de formación del equipo | Sin casos propios, la formación se olvida |
| Queréis conectar la IA a documentos o sistemas internos | Fase 3: ordenar datos, permisos y proveedores antes del piloto | Horas de IT y de los propietarios de los datos | La IA amplifica el desorden de permisos que ya existe |
| Pyme pequeña sin estructura para un comité | Un grupo mínimo con capacidad de decidir, aunque una persona cubra varias funciones | Pocas horas al mes | Si decide solo un departamento, se pierden perspectivas |
| Casos que afectan a personas, como selección o evaluación | Revisar antes el Reglamento de IA y la protección de datos para ese caso | Asesoramiento jurídico | Puede ser de alto riesgo y exigir mucho más control |
Plan por fases para implantar una estrategia de IA
La hoja de ruta debe permitir avanzar sin intentar resolver toda la organización al mismo tiempo.
Fase 1. Descubrir el uso actual
Acciones: encuestar a los equipos sobre herramientas y usos actuales, identificar licencias corporativas y cuentas personales, registrar los casos de uso activos, detectar datos y procesos implicados y localizar usos de riesgo que requieran intervención inmediata.
Entregables: inventario inicial de herramientas, mapa de usos por departamento, lista de riesgos urgentes e identificación de responsables.
El objetivo no es buscar culpables. Si la encuesta se percibe como una inspección, los usos reales permanecerán ocultos.
Fase 2. Crear el gobierno y las reglas mínimas
Acciones: nombrar al patrocinador de la estrategia, crear el comité de IA, definir funciones y responsabilidades, aprobar una política provisional de uso, establecer el proceso para proponer casos de uso y definir cómo se comunican incidentes.
Entregables: comité y responsables designados, política inicial, lista de herramientas autorizadas, canal para consultas e incidentes y proceso de aprobación.
La política inicial puede evolucionar. Es preferible contar con unas reglas claras y revisables que esperar meses a disponer de un documento perfecto.
Fase 3. Ordenar datos, accesos y proveedores
Acciones: clasificar la información utilizada en cada piloto, revisar permisos y grupos de acceso, identificar las fuentes oficiales, evaluar contratos y condiciones de proveedores, definir requisitos de conservación y trazabilidad y establecer controles de seguridad y privacidad.
Entregables: mapa de datos, matriz de acceso, evaluación de proveedores, requisitos técnicos y legales y registro de riesgos.
Fase 4. Seleccionar y diseñar los primeros casos de uso
Acciones: recoger propuestas de los departamentos, compararlas por impacto, viabilidad y riesgo, seleccionar pocos pilotos, documentar el proceso actual, definir la supervisión humana y establecer métricas y criterios de parada.
Entregables: cartera priorizada, ficha de cada caso de uso, responsable de negocio y responsable técnico, indicadores de evaluación y plan de pruebas.
Fase 5. Formar y ejecutar pilotos controlados
La formación debe realizarse antes y durante el piloto, no después.
Acciones: formar a las personas participantes, trabajar con un conjunto de datos limitado, registrar errores e intervenciones humanas, comparar el proceso nuevo con el anterior, recoger comentarios de usuarios y documentar las decisiones técnicas.
Entregables: usuarios formados, resultados del piloto, registro de incidencias, lecciones aprendidas y material operativo y de soporte.
Fase 6. Evaluar antes de escalar
Un piloto técnicamente funcional no siempre merece convertirse en un servicio estable. Hay que preguntarse si ha resuelto el problema inicial, si la calidad es suficiente, si los usuarios lo utilizan correctamente, si los errores son detectables, si existe supervisión adecuada, si el coste es sostenible, si se puede mantener internamente y si han aparecido riesgos no previstos.
La decisión puede ser escalar, modificar, mantener limitado o cancelar. Cancelar un piloto que no aporta suficiente valor también es un resultado válido.
Fase 7. Escalar y mejorar continuamente
Acciones: actualizar políticas y procedimientos, ampliar usuarios de forma progresiva, automatizar pruebas y controles cuando sea posible, supervisar costes, errores e incidentes, revisar cambios de modelos, proveedores y normativa, mantener un plan continuo de formación y revaluar periódicamente cada caso de uso.
Entregables: servicio operativo, cuadro de seguimiento, plan de mantenimiento, revisión periódica de riesgos y programa de mejora y formación.
Cómo lo trabajo con tu equipo
La pregunta ya no es si las personas van a utilizar inteligencia artificial. La pregunta es si la empresa va a conocer, dirigir y controlar ese uso.
Un comité sin casos de uso se convierte en burocracia. Una política sin formación acaba ignorada. Un repositorio de datos sin responsables se degrada. Una herramienta sin proceso produce resultados difíciles de mantener.
La estrategia necesita unir todas las piezas: gobierno, normativa, datos, personas, procesos y tecnología.
Si tu empresa ya está utilizando IA de manera dispersa, el siguiente paso no debería ser contratar más licencias. Debería ser conocer la situación actual, definir responsabilidades y construir una hoja de ruta priorizada. Así lo abordo:
- Auditoría de procesos y usos actuales, para saber qué tareas aportan valor y dónde se está usando ya la IA.
- Hoja de ruta priorizada según impacto, viabilidad y riesgo, con la puntuación de arriba como punto de partida.
- Reglas y gobernanza de datos para que la información fluya segura entre departamentos.
- Formación del equipo sobre sus propios casos, para que gane autonomía; todas las sesiones se graban.
La consultoría de automatización e IA por horas puede ayudarte a revisar los usos actuales, ordenar los procesos y definir una hoja de ruta basada en impacto, viabilidad, riesgo y autonomía del equipo. Cuando el reto principal sea desarrollar capacidades internas, también se puede plantear la formación en innovación con IA para equipos, adaptada al nivel, las herramientas y los casos reales de la organización.
Preguntas frecuentes
¿Qué debe incluir una política de uso de IA?
Como mínimo, las herramientas autorizadas y no autorizadas, qué datos personales e información confidencial no se pueden introducir, cómo se revisan los contenidos generados, qué controles hay sobre decisiones automatizadas, cómo se evalúa a los proveedores y cómo se comunican los incidentes.
¿Una pyme necesita un comité de IA?
Necesita a alguien con capacidad de decidir y que reúna las perspectivas de dirección, IT, datos y cumplimiento, operaciones y personas. En una pyme puede ser un grupo muy pequeño en el que una misma persona cubra varias funciones; lo importante es que las decisiones sean conocidas y trazables.
¿Por dónde se empieza?
Por descubrir cómo se está usando ya la IA, sin buscar culpables, y por fijar unas reglas mínimas revisables. Después se ordenan datos y accesos y se eligen pocos pilotos delimitados, medibles y reversibles.
¿Qué formación necesita cada perfil?
Dirección necesita prioridades, riesgos e inversión; IT, seguridad y cumplimiento, permisos, proveedores y trazabilidad; los responsables de procesos, cómo diseñar y medir casos de uso; y los usuarios, qué herramientas pueden usar, qué datos no deben introducir y cómo revisar los resultados.
¿Cómo afecta el Reglamento europeo de IA a mi empresa?
El Reglamento (UE) 2024/1689 sigue un enfoque basado en el riesgo, con más exigencias cuanto mayor es el posible impacto sobre la seguridad, la salud o los derechos fundamentales. Con las modificaciones en vigor desde el 27 de julio de 2026, los requisitos de alto riesgo del anexo III, que incluye usos como la selección de personal, se aplican desde el 2 de diciembre de 2027; conviene revisar cada caso de uso con el texto vigente.
