Antes de clasificar riesgos o formar a nadie, una empresa tiene que saber qué inteligencia artificial usa. Parece obvio, pero casi nunca lo es: el CRM trae funciones de IA, el equipo de marketing paga su propia suscripción a un generador de textos y el transcriptor de reuniones lo instaló alguien un viernes. Ese mapa es el inventario de sistemas de IA, y es el primer documento de cualquier adaptación al AI Act.
El Reglamento (UE) 2024/1689 no exige un “inventario” con ese nombre a todas las empresas. Lo que exige son obligaciones que no se pueden cumplir sin él: formar al personal (artículo 4), no caer en prácticas prohibidas (artículo 5), informar a las personas cuando interactúan con una máquina (artículo 50) y, si hay sistemas de alto riesgo, aplicar las medidas del artículo 26. Con el inventario sobre la mesa, cada una de esas obligaciones se vuelve una pregunta concreta.
Por qué el registro de actividades del RGPD no sirve
Muchas empresas piensan que su registro de actividades de tratamiento ya cubre esto. No es así. El registro del artículo 30 del RGPD recoge tratamientos de datos personales. Un inventario de IA tiene que incluir también las herramientas que no tocan datos personales, como un generador de imágenes, y añadir por cada una su nivel de riesgo y el papel que juega tu empresa. Lo ideal es que ambos documentos se refieran entre sí.
Las columnas mínimas del inventario
| Columna | Qué se anota |
|---|---|
| Sistema y proveedor | Nombre de la herramienta, versión o plan y quién la suministra |
| Finalidad y área | Para qué se usa y qué departamento la utiliza |
| Datos que trata | Si procesa datos personales, datos de clientes o información confidencial |
| Rol de la empresa | Proveedor (la desarrollas) o responsable del despliegue (la usas) |
| Nivel de riesgo | Prohibido, alto, limitado o mínimo, con la fecha de la clasificación |
| Responsable interno | Quién responde de ese uso y de su supervisión |
| Revisión | Fecha de la última comprobación y de la próxima |
Tres filas de ejemplo
| Sistema | Uso | Rol | Riesgo probable | Qué toca hacer |
|---|---|---|---|---|
| Generador de textos con cuenta de empresa | Borradores de marketing | Responsable del despliegue | Limitado o mínimo | Política de uso, formación y revisión humana antes de publicar |
| Asistente integrado en el paquete ofimático | Resúmenes y correos internos | Responsable del despliegue | Mínimo | Revisar qué datos se introducen y quién tiene acceso |
| Software que filtra currículums | Selección de personal | Responsable del despliegue | Alto (Anexo III, empleo) | Supervisión humana, información a candidatos y conservación de registros |
Cómo construirlo en una tarde
Pide a cada área una lista de las herramientas que usa, y insiste en las que entran por la puerta de atrás: transcriptores de reuniones, extensiones del navegador, IA dentro del CRM, generadores de imagen. Después contrasta esa lista con las facturas y las suscripciones de la empresa, porque ahí aparece lo que nadie declaró. Completa las columnas, asigna un responsable a cada fila y fija una revisión trimestral. Cada vez que se contrate una herramienta nueva, el alta pasa por el inventario antes de usarla.
Para una empresa con pocos sistemas, una hoja de cálculo basta. La cosa cambia cuando los sistemas se multiplican, cuando hay varios clientes o sedes, o cuando necesitas demostrar a una inspección quién decidió qué y cuándo.
Qué hacer con el inventario terminado
Con la lista cerrada, el siguiente paso es revisar que ningún uso cae en las prácticas de IA prohibidas del artículo 5, identificar si algún sistema es de alto riesgo y organizar la formación obligatoria del artículo 4. Si tu empresa solo usa herramientas de terceros, tu papel es el de desplegador.
En SIGNA360, el inventario de sistemas de IA se genera por cliente y se descarga en Word, enlazado con la clasificación de riesgo y las 193 medidas de la AESIA. Es parte de nuestra adaptación al Reglamento de Inteligencia Artificial. Si quieres ver en qué punto estás antes de decidir nada, puedes hacer gratis el test del AI Act en cinco preguntas y, si tu web usa un chatbot o contenido generado con IA, el análisis legal gratuito de tu web.
