En un post anterior hablamos de alfabetización en materia de inteligencia artificial: qué prevé el artículo 4 del AI Act, qué ha cambiado con el Digital Omnibus y, sobre todo, por qué formar a las personas en IA debería considerarse una verdadera cuestión de negocio y no un simple trámite que cumplir.
Las cifras ayudan a entender por qué: según el comunicado del Observatorio de Inteligencia Artificial del Politécnico de Milán, en 2025 el 47 % de los trabajadores italianos utilizó herramientas de inteligencia artificial en la empresa. De ellos, sin embargo, solo el 19 % declara usar exclusivamente las herramientas que pone a su disposición su organización. Es decir, cuatro trabajadores de cada cinco utilizan también, o únicamente, herramientas externas (shadow AI): cuentas personales, versiones gratuitas, extensiones del navegador y otros servicios que a menudo entran en los procesos de la empresa sin ningún control formal, con todos los riesgos que eso conlleva.
A una difusión tan rápida no ha correspondido un crecimiento igual de veloz en la capacidad de las empresas de establecer reglas claras sobre cómo usar la IA: ese mismo año, siempre según el Observatorio de Inteligencia Artificial del Politécnico de Milán, apenas el 9 % de las grandes empresas italianas (las que tienen más presupuesto, competencias y funciones dedicadas) disponía de una gobernanza estructurada de la IA. En las pymes, en la mayoría de los casos, las reglas, las responsabilidades y las formas de uso de la inteligencia artificial todavía no se han formalizado.
Es precisamente en el espacio entre esos dos datos (una IA ya ampliamente utilizada y una IA todavía poco «gobernada») donde nace gran parte de los problemas.
El punto de partida del itinerario de formación en IA de Axura
En el post anterior contábamos por qué la alfabetización en IA no puede reducirse al famoso «curso obligatorio del AI Act»: el artículo 4 no prescribe un curso concreto, un número mínimo de horas ni una certificación; pide a las organizaciones que adopten medidas para apoyar el desarrollo de la alfabetización de sus personas, teniendo en cuenta sus competencias, el contexto en el que utilizan la IA y las personas sobre las que estos sistemas pueden tener efectos.
A partir de este planteamiento y, sobre todo, de lo que vemos suceder concretamente en las empresas, en Axura hemos construido un itinerario de formación en inteligencia artificial pensado para pymes.
La idea de fondo es sencilla: antes de pedir a las personas que respeten unas reglas sobre la IA, hay que ponerlas en condiciones de entender esas reglas.
Por eso nuestro itinerario parte de una evaluación de cómo se está usando ya la inteligencia artificial en la empresa: qué herramientas están en uso, en qué actividades, qué datos se introducen en ellas, qué reglas existen ya y cuáles faltan. Suele ser en esta fase cuando afloran herramientas activadas de forma autónoma por los departamentos, cuentas personales utilizadas para trabajar o funcionalidades de IA ya presentes en el software de la empresa sin que nunca se hayan considerado como tales.
El primer módulo: el Decálogo IA
El primer módulo del itinerario de Axura se llama «Il Decalogo IA – Fondamenti di IA e AI Act» (El Decálogo IA – Fundamentos de IA y AI Act): es un módulo de alfabetización de una hora y media, en e-learning asíncrono, pensado para toda la plantilla, es decir, no solo para quien se ocupa de IT, compliance o innovación, sino para cualquier persona que pueda encontrarse usando una herramienta de inteligencia artificial en su trabajo.
El módulo explica qué es un sistema de IA, cómo funcionan muchos sistemas de machine learning y cuáles son sus principales puntos fuertes y sus límites: aborda alucinaciones y sesgos, el papel de la revisión humana, la lógica del AI Act y su clasificación de los riesgos. Pasa después a los datos personales, la confidencialidad, las decisiones automatizadas, la transparencia y la propiedad intelectual, para llegar por último a las reglas específicas de la organización: herramientas autorizadas, usos prohibidos, política interna y canales de comunicación.
Al final de este recorrido se llega a un decálogo: diez reglas que presentamos en este post y que no pretenden sustituir la formación, sino al contrario; son lo que queda de la formación cuando hay que «transformar» lo aprendido en comportamientos cotidianos.
Por qué aprender diez reglas no basta
«Verifica siempre el output*» parece una regla obvia, ¿verdad? Lo es mucho menos cuando la IA nos devuelve una información acompañada de una fuente que parece absolutamente creíble (con título, autor, fecha y enlace incluidos) pero que, en realidad, nunca ha existido. Sin una verificación, el riesgo es sencillo: darla por buena y, quizá, difundirla a nuestra vez.
* Cuando hablamos de «output» nos referimos simplemente a lo que la IA nos devuelve: una respuesta, un texto, una imagen, un resumen, un análisis, una recomendación o cualquier otro resultado producido por el sistema. Por ejemplo, si le pedimos a ChatGPT que escriba un correo, el correo que genera es el output. ¡Es una palabra que encontrarás a menudo en este post!
«No introduzcas datos confidenciales en herramientas no autorizadas» puede parecer una prescripción corporativa más, hasta que se entiende que pegar un documento en una herramienta externa significa transferir esa información a una infraestructura que la empresa podría no controlar.
«Quien usa el output asume la responsabilidad» se vuelve un concepto mucho más concreto cuando ese output sale de la empresa o se comparte con alguien: si utilizamos una respuesta de la IA en un correo a un cliente, en un documento, en una presentación o en un contenido publicado en línea, somos nosotros quienes elegimos difundirla y, por tanto, somos responsables de lo que estamos comunicando. Decir «lo ha escrito la IA» no nos exime de la responsabilidad de haber comprobado que esa información era correcta antes de utilizarla.
Por eso leer un conjunto de reglas no puede considerarse formación: una regla funciona cuando quien debe aplicarla entiende el motivo, reconoce la situación en la que resulta relevante y sabe concretamente qué hacer. El decálogo sirve después: como referencia rápida, como lenguaje compartido y como recordatorio de las decisiones que hay que tomar cuando la IA entra en el trabajo diario.
En nuestro itinerario, por tanto, no entregamos una página con diez reglas que respetar pidiendo a las personas que se las aprendan de memoria: construimos primero el contexto que permite comprenderlas y las utilizamos después como síntesis operativa del módulo.
El decálogo de la IA en la empresa by Axura
Aquí están, entonces, las diez reglas en torno a las cuales hemos construido el primer módulo del itinerario de formación en IA de Axura.
1. La inteligencia artificial no sabe: calcula
Los sistemas de IA generativa no conocen los hechos en el sentido en que los conoce una persona: lo que hacen es producir outputs a partir de patrones y probabilidades aprendidos de los datos.
Por eso pueden generar una respuesta correcta y, un momento después, inventar un hecho, una fuente o una cita manteniendo exactamente el mismo tono seguro.
Es el fenómeno que llamamos «alucinación» y no es simplemente un defecto destinado a desaparecer: depende del modo mismo en que funcionan estos sistemas.
Para entender lo concreto que es el problema, existe una base de datos pública mantenida por el investigador Damien Charlotin que recopila las resoluciones judiciales de todo el mundo en las que un tribunal ha constatado el uso de contenidos «alucinados» en un escrito. A 19 de agosto de 2026 los casos registrados son 1.934, de los cuales 15 en Italia: hablamos de abogados y profesionales, es decir, teóricamente, no de personas inexpertas.
La consecuencia práctica es sencilla: una respuesta plausible no es necesariamente una respuesta correcta, y por eso todo lo que realmente importa hay que verificarlo.
2. Todo output relevante pasa por una persona (human in the loop)
La regla de oro del módulo consta de cuatro pasos: genera, verifica, corrige, asume.
La IA puede utilizarse para producir borradores, resúmenes, ideas y análisis preliminares, pero los hechos, las cifras, los nombres, las fuentes y las referencias deben verificarse: el contenido debe corregirse y adaptarse, y lo que no se puede verificar hay que eliminarlo.
La presencia de al menos una persona en el proceso (en inglés se dice «human in the loop») es fundamental.
Solo entonces el output puede salir de la empresa o utilizarse para tomar una decisión.
3. Quien firma es una persona, no una herramienta
«Lo ha escrito la IA» no transfiere la responsabilidad a la herramienta.
Quien utiliza un output en su trabajo debe ser capaz de explicarlo, verificarlo y asumir su responsabilidad operativa: la IA produce; la persona decide si utilizar lo que ha producido y cómo hacerlo.
4. En los sistemas de IA «entra» solo lo que puede «salir» de la empresa
Con los datos hay que ser especialmente prudentes: antes de introducir información en una herramienta de IA, hay que preguntarse si es realmente necesaria para obtener el resultado que buscamos.
El Data Breach Investigations Report 2026 de Verizon muestra que, entre la información corporativa que con más frecuencia se copia o se sube a herramientas de IA externas, está el código fuente, es decir, el código con el que se desarrollan el software, los sitios y las aplicaciones de la empresa. Le siguen imágenes, datos organizados en tablas o bases de datos y, en algunos casos, también investigaciones y documentos técnicos.
El problema es sencillo: información confidencial y valiosa para la empresa puede acabar en una herramienta externa sin que la empresa haya decidido compartirla. Basta con que alguien copie un fragmento de código en ChatGPT para que le ayude a corregirlo, o suba un documento técnico para que se lo resuma: es cómodo, sin duda, pero si la herramienta no está autorizada por la empresa, esa información está saliendo del «perímetro corporativo».
Hay además una segunda regla: los datos personales, la información confidencial y los documentos corporativos no deben introducirse en herramientas de IA no autorizadas por la empresa. Una cuenta personal o un servicio gratuito encontrado en internet puede resultar cómodo, pero la empresa podría no tener ningún control sobre cómo se gestiona la información que subimos.
Cuando la IA trata datos personales, además, no entra en juego solo el AI Act: sigue aplicándose también el RGPD. Usar inteligencia artificial, por tanto, no cambia las reglas de protección de datos que la empresa ya debe cumplir.
5. Se usan las herramientas autorizadas, con la cuenta de empresa
El mismo informe de Verizon 2026 muestra lo extendida que está la shadow AI (es decir, el uso en la empresa de herramientas de inteligencia artificial sin que hayan sido aprobadas, o siquiera conocidas, por la organización): el 45 % de los empleados utiliza habitualmente herramientas de IA en dispositivos corporativos, frente al 15 % del año anterior. Entre quienes las usan, el 67 % accede con una cuenta personal en lugar de la corporativa.
En la práctica, muchas personas usan la IA para trabajar al margen de las herramientas y las cuentas que controla la empresa, y así es como documentos, datos y otra información corporativa pueden acabar en servicios externos sin que la organización lo sepa. No por casualidad, según Verizon, la shadow AI se ha convertido en la tercera causa más común de pérdida accidental de datos.
El problema no es prohibir por principio herramientas distintas de las elegidas por la empresa; el problema es que la organización debe poder saber qué sistemas se utilizan y en qué condiciones.
Por eso, si falta una herramienta necesaria o la disponible no es adecuada, la solución no debería ser arreglárselas por su cuenta: debería ser comunicarlo a la persona responsable en la empresa.
6. La IA puede «heredar» los sesgos presentes en los datos
Los sistemas de IA pueden reproducir y amplificar las distorsiones presentes en los datos con los que se han entrenado.
Pongamos un ejemplo: si un sistema utilizado para evaluar currículums se ha entrenado con datos históricos en los que, para determinados puestos, se contrató sobre todo a hombres, podría aprender a asociar inconscientemente ese tipo de perfil con el candidato «mejor» y acabar penalizando a las candidatas.
No es una hipótesis remota: es lo que ocurrió en Amazon. La empresa había desarrollado un sistema para evaluar automáticamente los currículums, entrenándolo con diez años de candidaturas recibidas, en su gran mayoría de hombres. El sistema aprendió a penalizar los currículums en los que aparecía la palabra «women’s» y a rebajar la puntuación de quien procedía de dos universidades femeninas. Amazon cerró el proyecto, precisando que nunca fue el único criterio en un proceso de selección real, pero el caso sigue siendo instructivo: si una distorsión así se le escapa a una empresa con esas competencias, no es precisamente mirando un output cada vez como se detecta.
El problema resulta especialmente delicado cuando los outputs afectan a personas: clientes, candidatos, empleados. No siempre una distorsión es evidente mirando un resultado aislado: pero si, sobre cien currículums, el sistema tiende sistemáticamente a favorecer o penalizar a personas con determinadas características, el problema está claro.
Por eso no basta con comprobar que una respuesta concreta «parezca correcta»: hay que prestar atención también a los patrones recurrentes en los outputs de la IA.
7. Ninguna decisión sobre las personas debe tomarse sin control humano
Cuanto más incide un output en los derechos y las oportunidades de alguien, más importantes se vuelven el control humano y la posibilidad de impugnar la decisión.
El principio es especialmente relevante en ámbitos como la selección y la gestión de personal, el crédito, la salud y el acceso a servicios esenciales: no son contextos en los que delegar una decisión a la IA sin comprender y verificar el resultado.
8. Se declara el uso de la IA cuando es relevante para quien recibe el contenido
No todo lo que se ha producido con ayuda de la IA debe etiquetarse automáticamente como tal, pero más allá de las obligaciones específicas previstas por el AI Act hay una cuestión de transparencia: ¿saber que se ha utilizado IA cambiaría el modo en que quien recibe ese contenido lo interpreta?
Por ejemplo: usar la IA para preparar un primer borrador de un correo comercial normal, después revisado y reescrito por una persona, es muy distinto de publicar en la web corporativa el testimonio de un cliente acompañado de una imagen suya generada artificialmente. En el segundo caso, quien lo ve podría pensar razonablemente que esa persona existe de verdad y que realmente dijo esas palabras: saber que el contenido se ha generado con IA cambia por completo cómo se interpreta.
Cuando el uso de la IA puede marcar esa diferencia, declararlo es una buena regla de transparencia y de confianza.
9. Atención a los derechos de autor: lo que genera la IA no siempre es «nuestro»
La IA generativa plantea también algunas cuestiones ligadas a la propiedad intelectual.
Por un lado, puede generar contenidos muy parecidos a obras ya existentes y protegidas por derechos de autor; por otro, no está garantizado que un contenido creado con IA pueda protegerse como uno creado por una persona.
Por eso hay que prestar especial atención cuando se usa la IA para crear algo importante para la empresa, como un logotipo, un claim, una imagen u otro contenido que queramos utilizar y proteger a lo largo del tiempo. En caso de duda, mejor consultar con la persona responsable.
10. En caso de duda se pregunta, los errores se comunican
Esta es quizá la regla más importante para la empresa.
Las personas deben saber a quién dirigirse cuando tienen una duda y qué hacer cuando algo va mal: un output anómalo, un dato introducido por error, una herramienta utilizada sin autorización.
Por eso el módulo incluye una sección dedicada precisamente a las reglas de la organización, personalizable según la política del cliente: herramientas aprobadas, usos prohibidos, transparencia interna y canales de comunicación.
Del decálogo a la realidad: pongámoslo a prueba
¿Funcionan estas reglas en la realidad laboral cotidiana?
En el módulo utilizamos un escenario muy sencillo: un compañero te manda un borrador de respuesta a una reclamación generado con IA. Dentro están los datos del cliente, un porcentaje de reembolso y la referencia a una norma que respalda la posición de la empresa. Hay que enviarlo ya porque es urgente.
Es una situación en la que varias reglas del decálogo dejan de ser teoría de inmediato:
- hay que verificar datos e importes;
- hay que comprobar que la norma citada existe de verdad y dice lo que la IA sostiene;
- hay que averiguar qué herramienta se ha utilizado y si estaba autorizada para tratar esos datos.
Si algo no cuadra, hay que comunicarlo y, sobre todo, la urgencia no cambia el principio fundamental: quien envía esa respuesta asume la responsabilidad.
Es este el paso que nos interesa: no recordar de memoria diez frases, sino ser capaces de reconocer qué reglas entran en juego cuando hace falta.
El decálogo del curso debe convertirse en el de la empresa
Hay además un límite inevitable en cualquier decálogo publicado en internet: algunas de las informaciones más importantes no pueden ser genéricas.
- ¿Qué herramientas puede utilizar un empleado?
- ¿Qué datos puede introducir?
- ¿Cuáles no deben salir nunca del perímetro corporativo?
- ¿A quién debe dirigirse cuando tiene una duda?
Son respuestas que solo puede dar la organización: por eso en el módulo de Axura hay una sección expresamente personalizable con la política de IA del cliente; las reglas generales adquieren valor operativo cuando se conectan con las herramientas, los procesos, los datos y las personas responsables reales de esa empresa.
Es también el motivo por el que, por ejemplo, copiar el decálogo y enviarlo por correo a los empleados no equivale a formar.
Puede ser un excelente punto de referencia, puede convertirse en una ficha que tener a mano, pero funciona de verdad cuando es el resultado compartido de un itinerario en el que las personas han entendido de dónde vienen esas reglas, por qué existen y cómo aplicarlas en su propio trabajo.
Un punto de llegada que sirve para empezar a trabajar mejor
Al final del primer módulo del curso de Axura, el decálogo recoge en diez reglas los temas que las personas acaban de abordar: cómo funciona la IA, dónde puede equivocarse, por qué hay que verificar los outputs, qué cambia cuando entran en juego datos y personas, qué papel tienen el AI Act y el RGPD y, sobre todo, qué comportamientos adoptar en el trabajo diario.
Quien completa el módulo y supera la prueba final recibe el certificado y la ficha con el decálogo para tenerla a mano: el certificado documenta la finalización del itinerario y puede constituir para la empresa una evidencia de las medidas formativas adoptadas; no es, sin embargo, una certificación de conformidad con el AI Act, porque ningún curso, por sí solo, puede serlo.
A partir de ahí el itinerario puede continuar con profundizaciones distintas según los roles, los sistemas utilizados y los riesgos efectivos de la organización.
El objetivo de la empresa no es decir «hemos distribuido el decálogo», es lograr que, cuando una persona abre ChatGPT, Copilot, Gemini o cualquier otra herramienta de IA para hacer su trabajo, sepa qué está haciendo, qué comprobar y cuándo detenerse a preguntar.
En Axura hemos construido nuestro itinerario de alfabetización en inteligencia artificial precisamente con este objetivo: partir de cómo se usa realmente la IA en las pymes y transformar la formación en reglas y comportamientos que puedan aplicarse cada día.
El decálogo es el primer resultado visible de este itinerario, no el itinerario en sí.
¿Quieres saber más? Escríbenos: te contamos cómo funciona.
