Controlar el uso de la IA sin vigilar a la plantilla

Cuando una empresa quiere saber qué IA usa su equipo y con qué datos, aparece una duda legítima: ¿hasta dónde puedo mirar? Una cosa es saber que se pegan datos de clientes en herramientas sin contrato. Otra, muy distinta, es que alguien lea las conversaciones de cada persona. Este artículo explica dónde suele estar la frontera y cómo ordenar el uso de la IA sin convertirlo en vigilancia.

Lo que dice la norma, en corto

No hay una norma específica sobre vigilar el uso de la IA, pero sí tres piezas que se aplican a cualquier control en el trabajo:

• Estatuto de los Trabajadores, art. 20.3. La empresa puede adoptar las medidas de vigilancia y control que estime oportunas para verificar que las personas cumplen sus obligaciones laborales, guardando en su adopción y aplicación la debida consideración a su dignidad.
• LOPDGDD, arts. 87 a 91. Reconocen derechos digitales en el trabajo: intimidad frente al uso de dispositivos digitales (art. 87), desconexión digital, videovigilancia, geolocalización y los derechos en la negociación colectiva. El art. 87 pide que la empresa fije criterios de uso de los dispositivos, con la participación de la representación de las personas trabajadoras, y que informe de ellos.
• RGPD. Principios de transparencia, limitación de la finalidad y minimización: informar de qué se trata, para qué y no más de lo necesario.

Lo que sigue son orientaciones prácticas, no una interpretación cerrada. Según tu convenio, tu tamaño y si hay representación legal de la plantilla, puede haber obligaciones adicionales de información o consulta (el art. 64 del Estatuto regula los derechos de información de esa representación). Conviene contrastar tu caso con un profesional.

Medir el conjunto no es lo mismo que vigilar a personas

La diferencia más útil en la práctica es esta:

Medir el conjunto	Vigilar a personas
«Este mes se han producido 47 avisos y 31 datos se han sustituido por marcas»	«María pegó tres DNI el martes»
«Se usan cinco herramientas de IA y dos no están en el inventario»	«Luis usa una IA que no debería»
«La proporción de avisos ignorados baja cada mes»	«Quién ignora más avisos»

Lo primero responde a la pregunta de la empresa, que es si el riesgo baja y si las reglas funcionan. Lo segundo no hace falta para eso y es lo que más fácilmente choca con la proporcionalidad y la dignidad de las personas. Si lo que quieres es reducir el riesgo, cuenta; si lo que quieres es señalar, necesitas una justificación mucho más fuerte, un canal de información previo y casi seguro asesoramiento.

Diseñar el control para que no pueda vigilar

La mejor defensa es que el sistema no tenga el dato. Es lo que se llama protección de datos desde el diseño: si la información sobre personas concretas no se recoge, no se puede usar mal.

Así está pensada Acta Guarda: la revisión del texto ocurre en el navegador de cada persona, a la empresa solo llegan recuentos por tipo de dato, web, decisión y fecha, y los avisos no se asocian a nadie. El panel enseña cifras de empresa y no tiene una vista de «quién ha pegado qué». Eso no quita la obligación de informar a la plantilla, pero reduce lo que se puede hacer mal.

Los mismos criterios sirven para cualquier otro control que montes: pregúntate qué necesitas saber, recoge solo eso y evita guardar el contenido.

Cómo informar a tu equipo

Informar no es un trámite: es lo que hace que la medida se entienda como ayuda y no como sospecha. Lo mínimo:

1. Antes de implantar nada. Que las personas lo sepan antes de que empiece, no después.
2. Por escrito, en la política de uso. Qué herramientas se pueden usar, qué datos no se pegan, qué control existe y qué información registra, dicho en llano. Aquí hay una plantilla: política de uso de IA.
3. Qué se registra y qué no. «Contamos avisos, no leemos mensajes y no registramos quién los recibe» es una frase que se entiende y que además tiene que ser verdad.
4. A la representación legal, si la hay. Entrégales el mismo documento con el apartado del control.
5. Una persona a quien preguntar. Y una vía para pedir una herramienta nueva sin sentir que se confiesa algo.

Qué conviene evitar

• Prohibir sin alternativa. El equipo seguirá usando la IA, ahora a escondidas, y perderás la visibilidad que tenías.
• Usar las cifras para sancionar. Si la gente teme que el aviso acabe en una amonestación, buscará la forma de esquivarlo.
• Recoger más de lo necesario «por si acaso». Cada dato extra es una obligación nueva y un riesgo nuevo.
• No actualizar. Si cambias lo que se mide o cómo, vuelve a informar.

Para dar el primer paso sin entrar en nada de esto, empieza por saber qué se usa: el inventario de herramientas de IA se hace en una tarde y no necesita ver el contenido de ninguna conversación. Y para ver qué datos podrían estar saliendo, el diagnóstico gratuito es un buen punto de partida.

Este artículo es orientativo y no es asesoramiento jurídico.