Inventario de sistemas de IA: la hoja que resuelve la mitad de tu cumplimiento
Respuesta corta: un inventario de sistemas de IA es una tabla con una fila por herramienta que usas y diez columnas: identificador, sistema y proveedor, finalidad, responsable interno, tu rol según el Reglamento, clasificación de riesgo, datos personales tratados, existencia de decisión automatizada, fechas de alta y revisión, y enlace al contrato.
Es el primer documento que se pide y el que casi ninguna pyme tiene.
Por qué es el documento que más rinde
Porque todas las demás obligaciones dependen de él. No puedes clasificar el riesgo de lo que no sabes que usas, ni formar a quien no sabes que lo usa, ni exigir información a un proveedor que no has identificado.
Las diez columnas
- ID interno. IA-001, IA-002. Sirve para referenciarlo en el resto de documentos.
- Sistema y proveedor real. Ojo con el proveedor real: muchas herramientas son una capa sobre un modelo de un tercero.
- Finalidad y proceso de negocio. Para qué se usa, en concreto.
- Departamento y responsable interno. Una persona con nombre.
- Tu rol. Proveedor, responsable del despliegue, importador o distribuidor.
- Clasificación de riesgo y una línea de justificación.
- Datos personales tratados. No, sí, o categorías especiales.
- ¿Decisión automatizada con efecto sobre personas? Esta columna es la alarma.
- Fecha de alta y de última revisión.
- Enlace al contrato o condiciones del proveedor.
Cómo llenarlo sin que te lleve una semana
No empieces por la lista de herramientas. Empieza por los procesos.
- Lista tus procesos: atención al cliente, marketing, contratación, facturación, soporte, producción.
- Por cada proceso, pregunta al responsable qué herramientas usa. En persona, no por correo.
- Revisa las suscripciones de la tarjeta de empresa. Ahí aparece siempre algo que nadie había mencionado.
- Revisa las extensiones de navegador instaladas y los complementos del CRM.
Del punto 3 y del 4 sale lo que en cumplimiento se llama IA en la sombra: herramientas que alguien contrató por su cuenta y que nadie ha evaluado. Suele ser entre el 30% y el 50% del inventario final.
La columna que hay que mirar primero
La octava: decisión automatizada con efecto sobre personas. Si alguna fila lleva un sí, ahí está tu riesgo principal y probablemente tu candidata a alto riesgo del Anexo III.
Cadencia de revisión
Trimestral, más una revisión extraordinaria cada vez que se dé de alta una herramienta nueva. La fecha de revisión en el propio documento es parte de la evidencia de diligencia.
Preguntas frecuentes
¿Es obligatorio tener un inventario de sistemas de IA?
El Reglamento no exige un documento llamado así para todos los roles. Pero sí exige obligaciones que resultan imposibles de acreditar sin él, y es la primera evidencia de diligencia que se solicita en cualquier revisión.
¿Cuento las herramientas que usa un empleado por su cuenta?
Sí, si se usan en la actividad profesional. Precisamente esas son las que más riesgo generan, porque nadie ha revisado qué datos reciben.
¿Vale una hoja de cálculo?
Perfectamente. Para una pyme, una hoja de cálculo mantenida al día vale más que una herramienta de gobernanza cara que nadie actualiza.
Esto es parte de un curso. AI Act Práctico incluye el árbol de roles, la ficha de clasificación, el plan de alfabetización con registro y las plantillas de documentación. 297 € con 12 meses de actualizaciones.
Aviso. Este contenido es divulgativo y no constituye asesoramiento jurídico. El Reglamento (UE) 2024/1689 está en fase de aplicación escalonada y su calendario ha sido modificado por el Digital Omnibus, pendiente de publicación en el DOUE a fecha de redacción. Para decisiones con efecto jurídico, consulta con un profesional del derecho.
Descubre más desde Código IA
Suscríbete y recibe las últimas entradas en tu correo electrónico.
