Inventario de sistemas de IA: plantilla y método

Cómo crear un inventario de IA: localizar herramientas en uso, los campos por caso de uso, la clasificación según la Ley de IA y cómo actualizar el registro.

Un inventario de sistemas de IA es un registro de todos los sistemas de IA que tu organización usa o desarrolla, con una entrada por caso de uso: qué hace el sistema, quién es responsable, qué proveedor lo suministra, qué datos recibe, cómo se clasifica según la Ley de IA de la UE y qué controles se aplican. Se construye en cuatro pasos: averiguar qué se usa, registrar cada caso de uso con unos campos fijos, clasificarlo y mantenerlo al día. Para empezar basta con una hoja de cálculo compartida.

Esta guía te da los campos que registrar, tres entradas de ejemplo y una rutina para mantener el registro actualizado. Es información general, no asesoramiento jurídico. Para decisiones con efectos jurídicos, lee el texto oficial del Reglamento de IA (Reglamento (UE) 2024/1689, en su versión modificada) y consulta a asesores cualificados.

Por qué merece la pena un inventario de IA

La Ley de IA no exige literalmente que todas las empresas lleven un inventario. Pero casi todas sus obligaciones parten de saber qué sistemas de IA usas y con qué finalidad:

Las medidas de alfabetización en IA deben dirigirse a las personas que realmente trabajan con sistemas de IA.
Los deberes de transparencia se aplican en situaciones concretas, como chatbots, ultrafalsificaciones o reconocimiento de emociones.
Las obligaciones de alto riesgo dependen de la finalidad, por ejemplo la selección de personal o las decisiones de crédito.
Convertirte en proveedor puede ocurrir si cambias la finalidad de un sistema o le pones tu nombre.

Sin inventario, cada una de estas preguntas hay que responderla desde cero, normalmente con prisas. Además hay otras ventajas: protección de datos necesita saber por dónde circulan los datos personales, seguridad informática qué servicios externos reciben datos de la empresa, y finanzas cuánto cuestan todas esas suscripciones.

Qué debe incluir el inventario

Empieza con un alcance amplio y acótalo después. Entradas habituales:

asistentes de IA generales que usa el personal, con licencia de la empresa o sin ella,
funciones de IA dentro del software que ya usas: RR. HH., CRM, soporte, contabilidad u ofimática,
automatizaciones y flujos de trabajo que llaman a un modelo de IA,
chatbots y asistentes desarrollados por ti o por encargo,
componentes de IA de los productos que vendes,
extensiones de navegador y complementos con funciones de IA.

La Ley de IA define jurídicamente qué es un «sistema de IA», y no toda herramienta que se anuncia como «IA» encaja en esa definición. Para el inventario, es más seguro incluir una herramienta dudosa con una nota que dejarla fuera.

Paso 1: averigua qué se usa de verdad

Las listas oficiales rara vez cuentan toda la historia. Combina varias fuentes:

Compras y facturas: suscripciones, licencias y cuentas de API que paga la empresa o que se reembolsan como gastos.
Registros de TI: inventario de software, registros del inicio de sesión único (SSO), extensiones de navegador autorizadas.
Proveedores: pregunta a los fabricantes de tu software principal qué funciones de IA están activas o previstas.
Equipos: una encuesta breve por departamento: ¿qué herramientas de IA usáis, para qué tareas y con qué datos?
Proyectos de desarrollo y TI: todo lo que llame a la API de un modelo.

La encuesta funciona mejor sin buscar culpables. Si la gente teme una sanción por usar una herramienta no autorizada, no la mencionará y el inventario quedará incompleto. Deja claro que el objetivo es poder seguir usando las herramientas útiles de forma segura y apóyate después en tu política de uso de IA.

Paso 2: registra cada caso de uso

Crea una fila por caso de uso, no por herramienta. Estos campos cubren lo que necesita la mayoría de organizaciones:

Campo	Qué anotar
ID y nombre	Un nombre corto, como «Borradores de respuesta a correos, atención al cliente»
Finalidad	Para qué se usa el sistema, en una o dos frases
Herramienta y proveedor	Nombre del producto, fabricante y modelo, si se conoce
Tipo	Asistente general, función de IA en un software, desarrollo propio, flujo de trabajo
Departamento y responsable	Quién responde de este uso
Usuarios	Roles y número aproximado de personas
Personas afectadas	Clientes, candidatos, empleados, público
Datos	Categorías de datos de entrada, si hay datos personales o confidenciales
Impacto en decisiones	¿El resultado orienta o toma decisiones sobre personas?
Supervisión humana	Quién revisa el resultado y cómo
Papel según la Ley de IA	Responsable del despliegue, proveedor o ambos
Clasificación de riesgo	Prohibido, alto riesgo, deber de transparencia, riesgo mínimo o «pendiente de evaluar»
Controles	Políticas, formación, pasos de revisión, contratos, contrato de encargo del tratamiento
Estado	Propuesto, piloto, aprobado, restringido, retirado
Fechas	Inicio del uso, última revisión, próxima revisión

Sé breve en los campos de texto libre. Un inventario que exige una hora por entrada no se mantiene.

Paso 3: clasifica cada caso de uso

Para cada fila, responde a tres preguntas:

¿Qué papel tienes? Usar la herramienta de un proveedor suele convertirte en responsable del despliegue. Desarrollar tu propio sistema, o ponerle tu nombre a uno, puede convertirte en proveedor. El artículo sobre las obligaciones del responsable del despliegue explica la diferencia.
¿Qué nivel de riesgo se aplica? Decide la finalidad, no la tecnología. Los niveles de riesgo de la Ley de IA de la UE se explican uno a uno con ejemplos.
¿Qué obligaciones se derivan? Anótalas en el campo de controles y asigna un responsable.

El verificador de riesgo de la Ley de IA de la UE, gratuito, da una primera orientación por caso de uso y enumera las obligaciones que revisar según tu papel. Anota el resultado y la fecha, y marca para revisión jurídica todo lo que parezca de alto riesgo.

Entradas de ejemplo

Tres filas hipotéticas, abreviadas:

Campo	Borradores de respuesta a correos	Preselección de currículums	Chatbot de la web
Finalidad	Redactar respuestas a correos de clientes	Ordenar las candidaturas recibidas	Responder preguntas sobre productos en la web
Tipo	Asistente general, licencia de empresa	Función de IA del software de RR. HH.	Desarrollo propio sobre una API de LLM
Datos personales	Sí, nombres y pedidos de clientes	Sí, datos de candidatos	Posible, si el usuario los escribe
Impacto en decisiones	Ninguno, el agente envía la respuesta	Influye en a quién se entrevista	Ninguno, solo información
Papel	Responsable del despliegue	Responsable del despliegue	Probablemente proveedor del chatbot
Clasificación	Probablemente riesgo mínimo	Probablemente alto riesgo (empleo)	Deber de transparencia
Controles	Política, formación, revisión de cada borrador	En pausa hasta la revisión jurídica	Aviso de que es IA, traspaso a una persona
Estado	Aprobado	Restringido	Piloto

El ejemplo de los currículums muestra por qué importa la clasificación. La función pudo activarse con una actualización del software sin que nadie decidiera usarla. Un inventario con preguntas a los proveedores lo detecta.

Paso 4: asigna responsables y controles

Cada fila necesita un único responsable, normalmente la dirección del departamento que usa el sistema, no TI. Esa persona se asegura de que:

quienes lo usan han recibido medidas de alfabetización en IA adecuadas (consulta alfabetización en IA y Ley de IA de la UE),
los pasos de revisión descritos en la fila se cumplen de verdad,
se comunican los cambios de finalidad o de funciones del proveedor,
la entrada se revisa en la fecha prevista.

Una coordinación central, a menudo cumplimiento normativo, el delegado de protección de datos o un responsable de IA, mantiene la plantilla homogénea y sigue las revisiones pendientes.

Paso 5: mantenlo al día

Un inventario se queda viejo enseguida. Integra su actualización en los procesos existentes en lugar de confiar en la memoria:

Compras: ningún software nuevo con funciones de IA sin entrada en el inventario.
Aprobación de TI: nuevas claves de API, extensiones e integraciones generan una entrada.
Novedades del proveedor: cuando un proveedor anuncia nuevas funciones de IA, el responsable comprueba si cambia la clasificación.
Nuevas finalidades: usar una herramienta aprobada para una tarea nueva supone una fila nueva, no una modificación.
Revisión anual: cada entrada se confirma, se actualiza o se retira.

Conecta el inventario con tus otros registros

Muchas empresas ya llevan un registro de las actividades de tratamiento según el artículo 30 del RGPD. Haz referencias cruzadas en lugar de duplicar datos: la entrada del inventario de IA remite al tratamiento correspondiente, y el registro del RGPD indica que interviene un sistema de IA.

El inventario también ayuda a planificar según el calendario de la Ley de IA. Según la página de la Comisión Europea sobre la Ley de IA, las prohibiciones y las obligaciones de alfabetización en IA se aplican desde el 2 de febrero de 2025, y las normas de transparencia desde agosto de 2026. Tras las modificaciones del ómnibus de IA, en vigor desde el 27 de julio de 2026, las normas para sistemas de alto riesgo en los ámbitos enumerados, como el empleo, se aplican a partir del 2 de diciembre de 2027, y para la IA integrada en productos como ascensores o juguetes, a partir del 2 de agosto de 2028. Las fechas pueden volver a cambiar, así que consulta las fuentes oficiales actualizadas.

¿Hoja de cálculo o herramienta específica?

Empieza con una hoja de cálculo o una lista en tu herramienta colaborativa habitual. Basta para decenas de entradas, y los campos importan más que el software. Una herramienta de gobernanza específica compensa cuando tienes muchas entradas, varios revisores o necesitas flujos de aprobación y registros de auditoría. Elijas lo que elijas, limita quién puede cambiar las clasificaciones y guarda un historial de cambios.

Errores habituales

Registrar herramientas en vez de usos. Una herramienta puede aparecer en varias filas con clasificaciones distintas.
Contar solo lo que ha aprobado TI. El riesgo suele estar en las herramientas no oficiales.
Pasar por alto las funciones de IA del software existente. Una actualización puede añadir IA a herramientas que usas desde hace años.
No asignar un responsable por entrada. Sin responsabilidad clara, las entradas se quedan obsoletas.
Hacerlo una sola vez. Un inventario desconectado de las compras y aprobaciones queda desfasado en pocos meses.
Demasiados campos. Empieza por lo esencial y añade campos solo cuando alguien los necesite.

Checklist final

Reunir las herramientas de IA a partir de facturas, registros de TI, proveedores, equipos y proyectos.
Crear una fila por caso de uso con los campos anteriores.
Determinar el papel y el nivel de riesgo de cada fila, empezando por el verificador de riesgo de la Ley de IA de la UE.
Enviar a revisión jurídica todo lo que parezca de alto riesgo o prohibido.
Asignar un responsable y controles a cada fila.
Vincular las actualizaciones a compras, aprobación de TI y cambios de los proveedores.
Revisar cada entrada al menos una vez al año.

Preguntas frecuentes

¿Qué es un inventario de sistemas de IA?

Un registro central de todos los sistemas de IA que una organización usa o desarrolla, organizado por caso de uso. Cada entrada recoge la finalidad, el responsable, el proveedor, los datos implicados, la clasificación de riesgo, el papel según la Ley de IA de la UE y los controles aplicados.

¿Obliga la Ley de IA de la UE a tener un inventario?

El reglamento no impone una obligación general de inventario a todas las empresas. Pero sus obligaciones dependen de qué sistemas usas y para qué, así que en la práctica no puedes demostrar el cumplimiento sin conocer tus usos de IA. El inventario es la forma más sencilla de lograrlo.

¿El inventario debe recoger herramientas o casos de uso?

Casos de uso. La misma herramienta puede ser de riesgo mínimo en un departamento y de alto riesgo en otro, por ejemplo un modelo general usado para textos de marketing y para ordenar candidaturas. Crea una entrada por finalidad.

¿Cada cuánto hay que actualizar el inventario de IA?

Cada vez que se compra una herramienta nueva, una herramienta existente incorpora funciones de IA o se usa para una finalidad nueva, más una revisión completa al menos una vez al año. Vincula la actualización a las compras y a la aprobación de TI para que no dependa de la memoria.