La seva plantilla ja usa IA generativa. La pregunta és amb quines regles
En la majoria de les empreses la intel·ligència artificial no va entrar per una decisió de direcció, sinó per la porta de darrere: algú va començar a usar-la per a redactar un correu, un altre per a resumir un informe, un tercer per a preparar una proposta. Quan la direcció es planteja l'assumpte, l'ús ja està estès i sense cap regla.
El problema no és l'eina. El problema és que, sense instruccions, cada persona decideix pel seu compte quina informació introdueix en ella.
Què s'està jugant l'empresa
- Protecció de dades. Introduir dades personals de clients, pacients, candidats o empleats en una eina de tercers és una comunicació de dades. Requereix base jurídica, contracte per encàrrec de tractament, anàlisi de les transferències internacionals i actualització del registre d'activitats. Fer-ho sense res d'això és una infracció del RGPD.
- Secret empresarial. La Llei 1/2019 protegeix la informació empresarial sempre que s'hagin adoptat mesures raonables per a mantenir-la secreta. Si la plantilla bolca pressupostos, llistats de clients o condicions contractuals en eines obertes, la pròpia empresa està afeblint el requisit que li permetria defensar aquest secret enfront d'un tercer.
- Confidencialitat contractual. Molts contractes amb clients contenen clàusules que prohibeixen cedir la seva informació a tercers sense autorització. Un ús descurat de la IA pot constituir un incompliment contractual amb conseqüències indemnitzatòries.
- Propietat intel·lectual i contingut erroni. El contingut generat pot reproduir obres de tercers o contenir errors presentats amb total aparent seguretat. La responsabilitat enfront del client continua sent de qui signa el treball, no de l'eina.
- Decisions sobre persones. Usar IA per a garbellar currículums, avaluar l'acompliment o decidir sobre treballadors entra en un terreny especialment sensible, amb obligacions d'informació a la representació legal dels treballadors i, en el futur, amb el règim d'alt risc del Reglament europeu.
El que mai hauria d'introduir-se
- Dades personals identificables, i amb major raó dades de salut, biomètrics o de menors.
- Documentació de clients subjecta a confidencialitat o a secret professional.
- Codi font propietari, fórmules, processos o qualsevol actiu que constitueixi secret empresarial.
- Documentació d'operacions no públiques, negociacions en curs o informació financera sensible.
Què hauria de contenir una política interna d'ús
No fa falta un document extens. Fa falta un clar:
- Quines eines estan autoritzades i quins no, distingint les versions corporatives contractades de les gratuïtes d'ús personal.
- Quines categories d'informació poden i no poden introduir-se, amb exemples concrets del sector.
- Obligació de revisió humana abans d'utilitzar qualsevol resultat, i de verificació de dades, cites i referències.
- Regles d'identificació del contingut generat amb IA quan la normativa l'exigeixi.
- Canal per a consultar dubtes i conseqüències de l'incompliment, comunicades de manera expressa.
- Registre de les eines utilitzades, que a més servirà per a l'inventari que exigeix el Reglament europeu.
A això se suma la formació del personal, que des de febrer de 2025 no és una bona pràctica sinó una obligació legal derivada del Reglament europeu d'Intel·ligència Artificial.
L'enfocament que recomanem
Prohibir l'ús d'IA no funciona: s'usa igual, però sense control i sense que ningú ho expliqui. És més eficaç autoritzar eines concretes, fixar límits comprensibles i formar a qui les utilitzarà.
L'empresa guanya productivitat i conserva el control sobre la seva informació.
