Paso 1
Inventaría la IA que usas, también la que llegó sin contrato
Al acabar este paso tendrás la primera versión fechada de tu inventario: cada sistema de IA, qué hace, quién responde de él y qué datos toca.
Qué es este paso
Un inventario de IA es la lista de los sistemas de IA que usa tu organización, uno por cada función de IA diferenciada, también los que viven dentro de un software más grande. No es una lista de marcas: «el CRM» no es una fila; «el asistente del CRM que redacta respuestas a clientes» sí lo es.
La parte difícil no es apuntar lo que compraste. Es encontrar lo que entró sin decisión de compra: la función que un proveedor activó en una actualización, el asistente que alguien del equipo empezó a usar con su cuenta personal, el filtro que venía dentro de un servicio contratado para otra cosa. Esa IA sin contrato propio también se inventaría, porque se usa igual.
Este paso produce una primera versión, no la definitiva. Un inventario razonable en una semana sirve más que uno perfecto que nunca se cierra, siempre que el propio documento diga qué fuentes se revisaron y cuáles quedan pendientes.
Por qué
El Reglamento (UE) 2024/1689 no impone llevar un inventario de sistemas de IA como tal: es un control interno metodológico, no una obligación legal. Pero es la condición previa de casi todo lo que sí obliga, porque las obligaciones están redactadas sistema a sistema. Quien despliega un sistema de alto riesgo tiene que usarlo con arreglo a sus instrucciones de uso y encomendar su supervisión humana a personas concretas; el artículo 26 aplica desde el 2 de diciembre de 2027 para los sistemas de alto riesgo del anexo III y desde el 2 de agosto de 2028 para los del anexo I; a los productos del anexo I, sección B, no les alcanza. Ninguna de esas obligaciones se puede cumplir sobre un parque que no se conoce.
Lo mismo vale para lo que aplica antes. Las prácticas prohibidas del artículo 5 se aplican desde el 2 de febrero de 2025 (las dos que añadió el Reglamento (UE) 2026/1744, desde el 2 de diciembre de 2026), y las obligaciones de transparencia del artículo 50, desde el 2 de agosto de 2026 (para el marcado del apartado 2, el artículo 111, apartado 4, fija el 2 de diciembre de 2026 como fecha límite para los proveedores de sistemas introducidos en el mercado antes de esa fecha). Para saber si alguna te alcanza, primero hay que saber qué sistemas usas y para qué.
Hay un registro que sí es obligatorio y que conviene no confundir con este. El RGPD obliga a cada responsable del tratamiento a llevar un registro de las actividades de tratamiento (artículo 30, apartado 1), con las excepciones de su apartado 5. Su objeto son los tratamientos de datos personales, no los sistemas de IA. Los dos se cruzan cuando un sistema trata datos personales, y por eso el inventario anota qué datos toca cada sistema: es el puente entre los dos registros.
Cómo, en tres acciones
Barre cuatro fuentes, no una
Revisa las facturas y suscripciones de software de los últimos doce meses; la consola de administración de tus herramientas principales —ofimática, CRM, ERP, software de gestión— en busca de funciones de IA activadas; las notas de versión de esos proveedores, y una pregunta corta a cada responsable de área: qué herramientas con IA usa su equipo, aunque sean gratuitas o con cuenta personal. Anota de qué fuente sale cada fila.
Una fila por función, con lo justo
Para cada sistema: nombre, proveedor, para qué se usa en términos concretos —«resumir historias clínicas», no «productividad»—, departamento, quién responde de él, desde cuándo se usa, si trata datos personales y de qué tipo, y si decide o recomienda sobre personas. En organizaciones en España, anota también si decide sobre las condiciones de trabajo de la plantilla. Deja una columna vacía para el rol (paso 2) y otra para el nivel de riesgo (paso 3).
Fecha la versión y decide qué la reabre
Cierra la primera versión con fecha, autor y la lista de fuentes revisadas. Escribe qué la reabre: una herramienta nueva, una actualización que añade funciones de IA, un cambio de uso. Pide que, antes de activar una herramienta con IA, se avise al responsable designado en el paso 0. Un sistema que dejas de usar se marca como inactivo, no se borra: su historia también es evidencia.
El error típico
Inventariar solo lo que se compró con la etiqueta «IA».
Buena parte de la IA de una pyme no llegó con ese nombre: viene dentro del correo, del CRM, del programa de citas o de la herramienta de selección. Un inventario hecho solo desde compras sale corto, y sale corto justo en lo que más pesa: una función de cribado de candidaturas escondida en un servicio de selección importa más que diez asistentes de redacción. Se evita barriendo las cuatro fuentes y preguntando por funciones, no por productos.
La plantilla
La plantilla trae trece columnas por sistema —proveedor, finalidad, área, responsable, fecha de alta, tratamiento de datos, papel de tu empresa y una lectura preliminar de riesgo, entre otras— y la definición de «sistema de IA» del artículo 3, punto 1, del Reglamento (UE) 2024/1689, para decidir qué entra en la lista.
Inventario de sistemas de IATiempo estimado
Una primera versión en una semana, entre los días 1 y 10 de la Ruta: unas horas de barrido propio y el resto del tiempo, esperando la respuesta de cada área.
Qué te llevas
El inventario de sistemas de IA, versión 1, con fecha, autor y la lista de fuentes revisadas y pendientes.
Así se hace en Alethexis
En Alethexis, cada sistema se registra en un formulario en dos pasos: primero nombre, proveedor, propósito y departamento; después tu papel, los datos personales que trata y de qué categorías, y notas, y en cada fila marcas sus capacidades —genera texto, conversa con personas, decide o recomienda sobre personas, criba candidaturas—.
El panel «Ejemplos del sector» muestra sistemas habituales en tu sector y «Usar como base» rellena el formulario con uno de ellos; un sistema que dejas de usar se marca como inactivo para conservar el histórico, y la sección solo se completa cuando pulsas «Finalizar sección».
Para profundizar
- Shadow AI: por qué el inventario es el cimiento de todo
- El AI Act no te obliga a llevar un inventario. Es la condición previa de casi todo lo que sí te obliga
- El inventario de IA en una hoja de cálculo: por qué deja de servir, y no es por el número de filas
- Solicitudes de uso de IA: que quien quiera usar una herramienta tenga dónde pedirla