Siete de cada diez pymes ya usan IA, y cuatro de cada diez no han escrito ni una norma

La conversación sobre inteligencia artificial en las pymes ya no va de si va a llegar: ha llegado, está abierta en una pestaña del navegador y alguien del equipo la está usando ahora mismo para redactar un presupuesto. Lo que casi nadie ha hecho es escribir dos párrafos diciendo qué se puede pegar en ese chat y qué no. Ahí está el hueco, y es un hueco que se cierra en media hora.

Las cifras de este artículo salen del ESET SMB Cyber Readiness Index 2026, una encuesta a 4.400 responsables de decisión de pymes de varios sectores, en organizaciones de 25 a 1.000 dispositivos. Conviene saberlo antes de leer los porcentajes: no son negocios de dos personas, son empresas con algo de estructura. Si a ese perfil le falta la política escrita, al taller de seis empleados le falta seguro.

De dónde salen el «siete» y el «cuatro» de cada diez

Del desglose de EMEA (Europa, Oriente Medio y África), el más cercano a la realidad española de los que publica el informe. Ahí, el 71 % de las pymes está integrando IA en su operativa y el 57 % dice tener una política de IA. Restando: algo más de cuatro de cada diez usan la tecnología sin una sola norma escrita sobre ella.

El tercer dato es el que más dice. No estamos ante una adopción ingenua: siete de cada diez saben que están abriendo una puerta nueva. Simplemente nadie ha escrito lo que se puede hacer con esa puerta. Y la brecha entre usar y ordenar no es un detalle europeo: en la edición global el patrón se repite con otros números.

Puedes comprobar las cifras y la metodología en la edición global del informe en PDF o en la nota de prensa del estudio.

Qué se rompe cuando no hay ninguna norma escrita

Nada espectacular, y eso es lo peligroso. No hay un hacker con capucha: hay una persona con prisa que pega un listado de clientes en un chatbot gratuito para que se lo ordene en una tabla. En ese momento un fichero de datos personales de tu empresa ha salido a un proveedor que quizá nadie ha mirado, con una configuración de historial que nadie ha revisado.

Y coincide justo con lo que esas mismas pymes dicen temer. En EMEA, el impacto que más preocupa es la pérdida de datos (51 %), por delante de la interrupción de la operativa (41 %) y del impacto financiero (38 %). Entre las amenazas concretas, la que más inquieta es el malware impulsado por IA (31 %), seguida del robo de identidad o de credenciales (27 %), el ransomware y el malware (27 %) y el phishing y el spear phishing (27 %). También en la edición global el malware con IA encabeza la lista con ese mismo 31 %.

El dato incómodo: más política, más incidentes registrados

Aquí viene el matiz que casi nunca se cuenta, y que conviene entender antes de que alguien lo use como excusa para no escribir nada. El informe señala que tener una política de IA correlaciona con tasas más altas de incidentes registrados. Leído del tirón parece un argumento demoledor contra las políticas. No lo es.

Correlación significa que dos cosas aparecen juntas. Causalidad significa que una provoca la otra. Son cosas distintas y aquí la diferencia lo es todo. Dos explicaciones bastante más razonables que «la política causa incidentes»:

• El orden de los acontecimientos. Quien ha sufrido un incidente es precisamente quien se sienta a escribir normas. La política no llegó antes del problema: llegó después, como respuesta.
• Quien mira, encuentra. Una empresa con política, formación y un canal para avisar detecta y anota incidentes que otra ni llega a ver. La que no tiene nada escrito no tiene menos incidentes: tiene menos incidentes contados.

Ese segundo punto tiene respaldo en los propios datos globales: de las pymes que sufrieron un incidente, un 5 % no se lo comunicó a nadie. El 36 % avisó a su ciberaseguradora, el 30 % a reguladores, el 29 % a socios y el 28 % a clientes. Si hay quien no lo cuenta ni una vez, el número real de incidentes es siempre mayor que el número registrado, y la brecha es más ancha justo donde nadie lleva la cuenta.

La política de uso de IA de una página, punto por punto

Esta es la pieza central. No necesitas un documento de veinte folios ni un comité: necesitas una página que cualquiera del equipo pueda leer de pie. Estos son los siete puntos que debe responder, redactados para que puedas copiarlos y rellenarlos con los datos de tu negocio.

1. 1

   Qué herramientas están aprobadas y quién las paga

   Lista cerrada con nombre y versión, y de quién es la cuenta. Si la empresa paga la licencia, el trabajo se hace ahí; si alguien quiere usar otra, se pide antes. Lo peor no es usar IA, es usar seis herramientas distintas con cuentas personales que nadie sabe que existen.

2. 2

   Qué información no se pega NUNCA

   Datos identificativos de clientes o empleados, contraseñas y claves de API, datos de salud, presupuestos o contratos de terceros, y código con credenciales dentro. Escríbelo en negativo y con ejemplos de tu negocio: se entiende mejor que cualquier definición abstracta.

3. 3

   Cómo se anonimiza cuando hace falta un caso real

   A veces necesitas el caso concreto para que la respuesta sirva. Entonces se quita nombre, DNI, teléfono, dirección, número de cuenta y matrícula antes de pegar nada. «Cliente del sector hostelería con dos locales» funciona igual de bien y no expone a nadie.

4. 4

   Qué se revisa siempre antes de publicar o enviar

   Nada que salga de una IA se envía a un cliente ni se publica sin que una persona compruebe datos, cifras, nombres, precios y plazos. Los modelos inventan con mucha seguridad: un precio equivocado en un correo es tu problema, no del proveedor.

5. 5

   Quién firma la decisión final

   Un nombre, no un departamento. Quien aprueba una oferta, un texto legal, una respuesta a una reclamación o un cambio en la web sigue siendo la misma persona que antes de la IA. La herramienta redacta; la responsabilidad no se delega.

6. 6

   Qué pasa si alguien mete algo que no debía

   Avisar el mismo día, sin castigo. Este punto es el que hace funcionar todos los demás: si equivocarse se paga, nadie lo cuenta y te quedas sin saber qué salió de la empresa. Escribe literalmente que avisar es lo correcto y que no tiene consecuencias disciplinarias.

7. 7

   Revisión cada seis meses, con fecha puesta

   Fija el día de la próxima revisión en el propio documento. En seis meses habrá herramientas nuevas, precios distintos y funciones que hoy no existen: una política sin fecha de caducidad envejece en silencio y deja de describir lo que el equipo hace de verdad.

Con eso ya tienes la página. Guárdala donde el equipo la vea, que la lea todo el mundo y que alguien pueda preguntar sin sentirse tonto. Si te sirve de apoyo, en la guía de prompts en español para negocios hay ejemplos de peticiones que ya están escritas sin datos personales dentro, y en la comparativa entre Claude, ChatGPT y Gemini se explica qué ofrece cada proveedor en sus planes de empresa, que es la parte que decide el punto uno de tu política.

Cómo encaja esto con lo que ya te obliga el RGPD

No hace falta normativa nueva para que este documento tenga sentido. El RGPD ya te obliga a saber qué datos personales tratas y con qué base legal. Meter datos de un cliente en una herramienta de IA es un tratamiento más: alguien tiene que poder decir quién es el proveedor, qué hace con esa información y dónde acaba almacenada. Si no hay política, esa pregunta no tiene respuesta, y la respuesta te la pueden pedir.

La referencia oficial en España es la Agencia Española de Protección de Datos. Y por la parte del Reglamento Europeo de IA, que ya está en aplicación por fases, tienes el repaso en qué debe revisar una pyme del AI Act desde agosto de 2026 en vez de repetirlo aquí: ahí están el calendario y los puntos de transparencia que afectan, por ejemplo, a un chatbot en tu propia web.

La política sola no basta: formación y obstáculos reales

Un documento que nadie ha leído es papel. Eso ya lo tienen claro las pymes encuestadas: en EMEA, el 87 % considera la formación crítica o muy importante. La distancia aparece al bajar al detalle. Solo el 43 % usa programas de calidad que incluyen simulaciones de phishing, el 51 % forma varias veces al año y apenas el 12 % lo hace mensualmente.

Los frenos que declaran son los previsibles y ninguno es excusa para la página de la que habla este artículo: límites de presupuesto (26 %), complejidad o integración (20 %) y falta de talento o competencias (18 %). Escribir siete puntos en un documento compartido no consume presupuesto ni requiere integrar nada.

Y cuando algo pasa, el reloj corre. Entre las pymes de EMEA que sufrieron un incidente, el 43 % tardó menos de dos semanas en recuperarse y el 33 %, entre dos y seis semanas. Seis semanas de operativa a medias es un trimestre roto para un negocio pequeño. El 69 % tiene un ciberseguro y, de ellos, un 34 % con requisitos específicos de controles de seguridad: si contratas uno, mira esa letra pequeña antes de necesitarlo.

Cinco errores al escribir la primera política

Hay un sexto, más silencioso: tener la política en orden y la casa sin barrer. Una web con plugins sin actualizar, formularios que mandan datos a sitios que ya nadie recuerda o copias de seguridad que nadie ha probado dejan sin sentido cualquier documento. Eso es higiene de mantenimiento web y va antes que la IA. Si quieres una lista para revisarlo tú mismo, la checklist de web profesional cubre esa parte.

Por dónde empezar esta semana

Bloquea media hora, abre un documento y responde a los siete puntos. Después haz una segunda ronda de quince minutos preguntando al equipo qué herramientas usa de verdad, porque casi siempre hay una o dos que no estaban en tu lista. Con eso te sumas al 57 % de pymes de EMEA que sí tiene su uso de IA por escrito y, sobre todo, dejas de depender de que nadie tenga un mal día con prisa.

Si la IA va a tocar tareas de tu web —responder formularios, generar textos, atender un chat—, merece la pena diseñar antes el flujo y decidir dónde entra una persona. Eso se cuenta con casos concretos en cómo automatizar tareas de una pyme con agentes de IA. Y si prefieres seguir leyendo por tu cuenta, el resto de artículos está en el blog de ilerNetwork.

Preguntas frecuentes