La política de IA del equipo, en una página

Tu equipo ya tiene una política de IA

Aunque nadie la haya escrito. Hoy alguien pega un log en un chat para que le explique un error, otro le pide casos de prueba a la IA, otro deja que un agente repare la suite. Cada uno decidió solo qué está bien.

No eres el único. En la encuesta de Stack Overflow 2026, con más de 30.000 respuestas de 169 países, solo el 24% dice que su empresa publica una política oficial o herramientas de IA aprobadas. En la misma encuesta, apenas el 6,6% confía en la IA para decisiones importantes. La gente la usa todos los días y no confía en ella para lo que importa: esa distancia es exactamente lo que una política ordena.

Por qué le toca a QA

Porque QA ya hace este trabajo con todo lo demás: decide qué se revisa, con qué evidencia y quién firma. Una política de IA es eso aplicado a una herramienta nueva. Si QA no la escribe, la termina escribiendo el primer incidente.

Las cuatro zonas

1. Lo que la IA hace sola. Trabajo donde un error es barato y se nota rápido: proponer casos de prueba, redactar el borrador de un reporte de bug, generar datos sintéticos.

2. Lo que la IA propone y una persona revisa y firma. Todo lo que termina en el repositorio o en una decisión: tests automatizados, cambios que hizo un agente o un "healer", la severidad de un bug. La regla es simple: entra con el nombre de quien lo revisó.

3. Lo que la IA no toca nunca. Decidir un Go o No-Go, aprobar su propio código, ejecutar contra producción. No porque la IA no pueda opinar, sino porque esa responsabilidad tiene que tener nombre y apellido.

4. Los datos que no salen nunca. Datos personales de clientes (RUT, nombre, correo, dirección), datos financieros o de salud, credenciales y documentos confidenciales.

Los datos: el riesgo que tiene fecha

La cuarta zona no es solo buena práctica. La Ley 21.719 de protección de datos personales tiene como fecha legal el 1 de diciembre de 2026; en octubre de 2026 la comisión de Constitución del Senado aprobó en general postergarla un año, pero el proyecto sigue en trámite. Con cualquiera de las dos fechas, usar datos reales de clientes en pruebas o pegarlos en una herramienta externa pasa a ser un riesgo legal para la empresa.

La salida práctica: datos sintéticos o anonimizados para probar. Un RUT de prueba válido se genera en segundos y no pertenece a nadie.

Dos errores que hay que evitar

Prohibir todo. La prohibición no elimina el uso, lo esconde. La gente sigue usando la IA con su cuenta personal, sin reglas y sin que nadie sepa qué se pegó. Es el peor escenario para los datos.

Permitir todo. "Úsenla con criterio" no es una política: es delegar en cada persona una decisión que debería ser del equipo.

Cómo se mantiene viva

• Una página. Si no cabe, nadie la lee.
• Un responsable y una revisión cada tres meses: las herramientas cambian más rápido que eso.
• Errores sin castigo. Si alguien pegó algo que no debía, lo tiene que poder decir el mismo día. Lo que se oculta no se puede corregir.

La plantilla de esta lección trae las cuatro zonas listas para completar. El reto es la reunión donde se completa.