Saber qué IA usas
Que quien quiera usar una herramienta de IA tenga dónde pedirla, en lugar de usarla sin que nadie lo sepa.
Un empleado pide usar una herramienta de IA; se revisa, se registra la decisión y, cuando se registra su aprobación, entra sola en el inventario.
Los miembros de tu organización piden desde la plataforma; el resto de la plantilla, desde un enlace con verificación de correo corporativo, sin necesidad de cuenta. Alethexis no detecta herramientas por su cuenta: ordena las que tu equipo declara.
Las solicitudes de uso de IA están incluidas en los planes M2 y M3.
Quien pide indica la herramienta, el proveedor, para qué se usará (la tarea concreta), quién la usará, si tratará datos personales y cuáles, y la urgencia. Puede partir de una plantilla de las herramientas habituales en tu sector o escribirla con «Otra herramienta (la escribo yo)». Si la herramienta suele requerir una evaluación de alto riesgo, la plantilla lo avisa. La solicitud se guarda como borrador y se envía a revisión cuando está lista.
El Owner o el AI Officer crean el enlace en Ajustes → Acceso → Enlace de solicitudes, con los dominios de correo corporativo permitidos; los dominios personales no se admiten. Quien abre el enlace escribe su correo, recibe un código de 6 dígitos que caduca en 15 minutos y rellena la solicitud. Cada confirmación de correo vale para una sola solicitud. Quien pide por el enlace no se añade a tu equipo, recibe un acuse por correo y, cuando se registra la decisión, otro correo con el estado; los comentarios internos no se le envían.
La revisa el AI Officer —y el DPO si tratará datos personales—: en «Tu revisión» anota qué ha comprobado y qué recomienda. El Owner o el AI Officer registran la decisión con «Registrar aprobación» o «Registrar rechazo», con un comentario opcional. Cada solicitud tiene una conversación para comentar. El envío, la revisión y la decisión quedan en el registro de aprobaciones con su fecha y la huella del contenido.
Al registrar la aprobación, la herramienta se da de alta en el inventario con lo que se declaró en la solicitud: nombre, proveedor, propósito y si trata datos personales. Después hay que clasificarla en la clasificación de riesgo. Lo que la solicitud no pregunta —por ejemplo, si el sistema decide sobre condiciones de trabajo— entra sin responder, para que lo conteste quien revise la ficha.
Cada solicitud está en uno de seis estados: Borrador, Enviada, En revisión, Aprobación registrada, Rechazada o Retirada, y la lista se filtra por ellos. Mientras algo espera la acción de alguien, esa persona recibe un correo al día como máximo, con todo lo pendiente; cada elemento se recuerda una vez por semana mientras siga pendiente.
Los controles del catálogo de Alethexis que esta funcionalidad ayuda a documentar, con su base legal cuando la tienen y su naturaleza.
Habilitar un canal interno donde los empleados puedan declarar sin sanción qué herramientas IA usan en su trabajo, incluyendo cuentas personales. La declaración voluntaria es la vía más eficaz de descubrimiento; sin amnistía creíble, el shadow IA permanece oculto.
Base legal
Sin base legal directa.
Datos del catálogo de controles. Las etiquetas indican la naturaleza normativa de cada control; no son una declaración de cumplimiento.