Una política de uso de IA debe decir qué herramientas están aprobadas (solo cuentas empresariales), qué datos pueden entrar, qué usos requieren revisión humana, cómo se aprueba un uso nuevo y qué pasa si alguien la incumple. En un banco, una cooperativa, una aseguradora o un hospital, la aprueba la junta directiva o el consejo de administración, la ejecuta la gerencia y se revisa cada trimestre.
El error más común es escribir una política de 30 páginas que nadie lee, o una de una línea ("no usar IA con información confidencial") que nadie puede aplicar.
¿Qué secciones debe tener una política de uso de IA?
Diez secciones cubren lo esencial. Cada una cabe en uno o dos párrafos:
| Sección | Qué dice | Ejemplo de regla |
|---|---|---|
| 1. Propósito y alcance | A quién aplica: personal, juntas, consultores y proveedores con acceso | "Aplica a todo uso de IA con información de la institución" |
| 2. Herramientas aprobadas | La lista de cuentas empresariales autorizadas | "Solo Claude Enterprise y Gemini en Google Workspace de la institución; ninguna cuenta personal, gratuita o de pago" |
| 3. Datos permitidos y prohibidos | Qué nivel de información puede entrar a cada herramienta | "Contraseñas y datos completos de tarjetas, nunca; datos de clientes, solo en espacios restringidos y con autorización" |
| 4. Usos que requieren revisión humana | Qué resultados no pueden llegar a un cliente o paciente sin revisión | "Toda decisión de crédito, reclamo o recomendación clínica la revisa y firma una persona" |
| 5. Aprobación de usos nuevos | Quién decide cuando un área quiere usar IA para algo nuevo | "Lo aprueba el comité de IA con la evaluación de riesgo del caso de uso" |
| 6. Conectores y extensiones | Qué integraciones están permitidas | "Solo los conectores aprobados por TI; ninguna extensión de navegador con IA sin aprobación" |
| 7. Contenido para clientes | Qué revisión necesita lo que sale con la marca | "Todo contenido hecho con IA pasa por marca y cumplimiento antes de publicarse" |
| 8. Incidentes | Cómo y a quién reportar un error o una fuga | "Reportar a seguridad de la información el mismo día, sin temor a sanción por reportar" |
| 9. Capacitación | Qué formación necesita cada rol | "Nadie recibe acceso sin completar la capacitación de su área" |
| 10. Responsables, revisión y consecuencias | Quién es dueño de la política, cada cuánto se revisa y qué pasa si se incumple | "La revisa el comité cada trimestre; el incumplimiento se trata según el reglamento de sanciones" |
Para la sección 3, la base es la clasificación de datos; la explicamos en qué datos se pueden poner en un asistente de IA.
¿Quién debe aprobarla?
La junta directiva o el consejo de administración, a propuesta de la gerencia. No es un trámite: la IA toca datos de clientes, decisiones y la marca, y eso le corresponde al gobierno de la institución.
En Honduras, la Resolución GRD No.793/16-12-2022 de la Comisión Nacional de Bancos y Seguros (CNBS) pone el gobierno de la seguridad de la información en manos del órgano de administración y la alta gerencia (art. 17), y pide que el marco de seguridad incluya políticas y un proceso de revisión y actualización (art. 18). Una política de IA encaja ahí. Las cooperativas de ahorro y crédito tienen su propia norma de tecnología de CONSUCOOP, con la misma lógica.
En la práctica, funciona así:
| Rol | Qué hace con la política |
|---|---|
| Junta directiva o consejo | La aprueba y recibe reportes periódicos |
| Gerencia general | La propone y responde por su cumplimiento |
| Comité de IA (riesgo, cumplimiento, seguridad, TI, negocio) | Aprueba usos nuevos y la revisa cada trimestre |
| Seguridad de la información y TI | Configura las herramientas para que respalden la política |
| Cada área | La aplica y reporta incidentes |
¿Va aparte o dentro de la política de seguridad de la información?
Funciona mejor como una política corta propia que se apoya en las que ya existen: seguridad de la información, clasificación de datos, uso de recursos tecnológicos. Así se actualiza al ritmo de las herramientas sin reabrir todo el marco de seguridad, y no repite lo que ya está escrito.
¿Qué hace que una política se cumpla?
Que la configuración la respalde. Una regla que la herramienta impone es más fuerte que una que hay que recordar:
- "Solo cuentas empresariales" se cumple bloqueando las cuentas personales con el correo de la institución. Lo explicamos en cómo configurar Claude Enterprise.
- "Solo conectores aprobados" se cumple activando conectores por rol.
- "Revisión humana" se cumple con flujos donde la IA crea borradores y una persona publica o decide.
- "Reportar incidentes" se cumple cuando reportar no tiene castigo y el canal es conocido.
Y que la gente la conozca. La misma norma de la CNBS exige un programa de capacitación en seguridad que incluye al órgano de administración (art. 23), y pide que el incumplimiento de las políticas de seguridad esté contemplado en el reglamento de sanciones (art. 22).
¿Cada cuánto se revisa?
Recomendamos revisarla cada trimestre, porque las herramientas de IA cambian más rápido que cualquier otra tecnología de la institución: en pocos meses aparecen funciones nuevas, cambian los planes y los términos de los proveedores. Además, revísala fuera de calendario cada vez que cambie algo importante: una herramienta nueva, un cambio en la política de uso del proveedor, una norma nueva o un incidente. Un ejemplo concreto: la política de uso de Anthropic que entra en vigor el 12 de noviembre de 2026 exige que una persona calificada revise toda recomendación de IA en crédito, seguros, salud y otras áreas de alto riesgo, y que se le avise a la persona afectada. Si tu institución usa Claude para algo así, tu política tiene que reflejarlo.
Una advertencia honesta: una buena política no reemplaza una buena configuración ni una buena capacitación. Las tres van juntas, y la política es la más fácil de escribir.
¿Qué marcos de referencia ayudan?
No hace falta inventar la estructura. Dos referencias útiles:
- El boletín de la CNBS sobre IA (enero de 2026), que recoge buenas prácticas como el enfoque basado en riesgos, la transparencia y la gobernanza de modelos.
- El perfil de IA generativa del NIST (NIST AI 600-1), publicado en 2024 como complemento del marco de gestión de riesgos de IA de EE. UU. Es una referencia internacional útil aunque no sea obligatoria en Honduras.
¿Cómo lo hacemos en Andes?
En Andes programamos con IA bajo una política de desarrollo seguro: herramientas aprobadas, ningún dato personal de clientes en los prompts, revisión humana y análisis estático antes de cada despliegue. Para instituciones reguladas, el paquete de gobierno de IA incluye la política de IA, el inventario de casos de uso, la evaluación de riesgos mapeada al marco de la CNBS y al estándar de tu grupo financiero, las plantillas de debida diligencia de proveedores y la capacitación del personal. Si todavía no sabes qué se usa hoy, empieza por cómo controlar la IA en la sombra.
¿Tu institución ya tiene su política de IA aprobada?
Si existe un borrador que nadie ha llevado a la junta, ese es el siguiente paso. Conoce nuestro servicio de IA para instituciones reguladas y la armamos con tu equipo.
Fuentes
- CNBS, Circular No.025/2022, Resolución GRD No.793/16-12-2022 (arts. 17, 18, 22 y 23): https://circulares.cnbs.gob.hn/Archivo/Viewer/2520/1
- CNBS, Inteligencia Artificial en los Servicios Financieros (boletín, enero de 2026): https://www.cnbs.gob.hn/wp-content/uploads/2026/01/Boletin-Informativo-Inteligencia-Artificial-en-los-Servicios-Financieros.pdf
- NIST, Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile (NIST AI 600-1, julio de 2024): https://www.nist.gov/publications/artificial-intelligence-risk-management-framework-generative-artificial-intelligence
- Anthropic, Usage Policy (en vigor a partir del 12 de noviembre de 2026): https://www.anthropic.com/aup