Inventario de sistemas de IA para el AI Act: cómo hacerlo, qué columnas incluir y plantilla

Antonio De Haro - DPD y Gestor RGPD — Thu, 15 Oct 2026 09:00:00 +0000

Antes de clasificar riesgos o formar a nadie, una empresa tiene que saber qué inteligencia artificial usa. Parece obvio, pero casi nunca lo es: el CRM trae funciones de IA, el equipo de marketing paga su propia suscripción a un generador de textos y el transcriptor de reuniones lo instaló alguien un viernes. Ese mapa es el inventario de sistemas de IA, y es el primer documento de cualquier adaptación al AI Act.

El Reglamento (UE) 2024/1689 no exige un “inventario” con ese nombre a todas las empresas. Lo que exige son obligaciones que no se pueden cumplir sin él: formar al personal (artículo 4), no caer en prácticas prohibidas (artículo 5), informar a las personas cuando interactúan con una máquina (artículo 50) y, si hay sistemas de alto riesgo, aplicar las medidas del artículo 26. Con el inventario sobre la mesa, cada una de esas obligaciones se vuelve una pregunta concreta.

Por qué el registro de actividades del RGPD no sirve

Muchas empresas piensan que su registro de actividades de tratamiento ya cubre esto. No es así. El registro del artículo 30 del RGPD recoge tratamientos de datos personales. Un inventario de IA tiene que incluir también las herramientas que no tocan datos personales, como un generador de imágenes, y añadir por cada una su nivel de riesgo y el papel que juega tu empresa. Lo ideal es que ambos documentos se refieran entre sí.

Las columnas mínimas del inventario

Columna	Qué se anota
Sistema y proveedor	Nombre de la herramienta, versión o plan y quién la suministra
Finalidad y área	Para qué se usa y qué departamento la utiliza
Datos que trata	Si procesa datos personales, datos de clientes o información confidencial
Rol de la empresa	Proveedor (la desarrollas) o responsable del despliegue (la usas)
Nivel de riesgo	Prohibido, alto, limitado o mínimo, con la fecha de la clasificación
Responsable interno	Quién responde de ese uso y de su supervisión
Revisión	Fecha de la última comprobación y de la próxima

Tres filas de ejemplo

Sistema	Uso	Rol	Riesgo probable	Qué toca hacer
Generador de textos con cuenta de empresa	Borradores de marketing	Responsable del despliegue	Limitado o mínimo	Política de uso, formación y revisión humana antes de publicar
Asistente integrado en el paquete ofimático	Resúmenes y correos internos	Responsable del despliegue	Mínimo	Revisar qué datos se introducen y quién tiene acceso
Software que filtra currículums	Selección de personal	Responsable del despliegue	Alto (Anexo III, empleo)	Supervisión humana, información a candidatos y conservación de registros

Cómo construirlo en una tarde

Pide a cada área una lista de las herramientas que usa, y insiste en las que entran por la puerta de atrás: transcriptores de reuniones, extensiones del navegador, IA dentro del CRM, generadores de imagen. Después contrasta esa lista con las facturas y las suscripciones de la empresa, porque ahí aparece lo que nadie declaró. Completa las columnas, asigna un responsable a cada fila y fija una revisión trimestral. Cada vez que se contrate una herramienta nueva, el alta pasa por el inventario antes de usarla.

Para una empresa con pocos sistemas, una hoja de cálculo basta. La cosa cambia cuando los sistemas se multiplican, cuando hay varios clientes o sedes, o cuando necesitas demostrar a una inspección quién decidió qué y cuándo.

Qué hacer con el inventario terminado

Con la lista cerrada, el siguiente paso es revisar que ningún uso cae en las prácticas de IA prohibidas del artículo 5, identificar si algún sistema es de alto riesgo y organizar la formación obligatoria del artículo 4. Si tu empresa solo usa herramientas de terceros, tu papel es el de desplegador.

En SIGNA360, el inventario de sistemas de IA se genera por cliente y se descarga en Word, enlazado con la clasificación de riesgo y las 193 medidas de la AESIA. Es parte de nuestra adaptación al Reglamento de Inteligencia Artificial. Si quieres ver en qué punto estás antes de decidir nada, puedes hacer gratis el test del AI Act en cinco preguntas y, si tu web usa un chatbot o contenido generado con IA, el análisis legal gratuito de tu web.