Un inventario de sistemas de IA es la lista de todos los sistemas de inteligencia artificial que usa o desarrolla una organización, con su finalidad, su dueño, los datos que tratan, el papel de la empresa en cada uno y su nivel de riesgo según el Reglamento de IA. Es el punto de partida de cualquier programa de cumplimiento del AI Act o de la ISO/IEC 42001: sin él no se puede saber qué sistemas son de alto riesgo ni qué obligaciones tocan.
El Reglamento no usa la palabra «inventario», pero todas sus obligaciones parten de saber qué sistemas hay. Y la parte difícil no es rellenar la lista, sino encontrar lo que no está en ella.
Qué cuenta como sistema de IA
El artículo 3.1 del Reglamento (UE) 2024/1689 define el sistema de IA como un sistema basado en una máquina que funciona con cierta autonomía y que, a partir de la información que recibe, infiere cómo generar resultados como predicciones, contenidos, recomendaciones o decisiones. La palabra que separa la IA del software de siempre es «infiere». Una hoja de cálculo con fórmulas fijas no lo es; un modelo que aprende de datos para puntuar clientes, sí.
La Comisión publicó en febrero de 2025 unas directrices sobre la definición de sistema de IA con ejemplos de lo que queda dentro y fuera. Ante la duda, nuestro criterio es incluirlo en el inventario y anotar por qué se descarta. Es más fácil justificar una exclusión documentada que explicar por qué un sistema no aparecía.
Dónde está la IA que nadie ha declarado
Si solo se pregunta a las áreas qué IA usan, es fácil que salgan los proyectos propios y el asistente de chat que ha comprado la empresa. Lo demás no aparece porque nadie lo ve como «un sistema de IA»:
Para encontrarla, nosotros combinaríamos tres fuentes en lugar de fiarlo todo a un cuestionario:
- Contratos y compras. Repasar los contratos de software y los gastos en suscripciones buscando funciones de IA. Es la fuente más fiable porque todo lo que se paga deja rastro.
- Un cuestionario corto a cada área. Cinco o seis preguntas sobre herramientas que usan para decidir, clasificar o generar contenido, con ejemplos concretos. Las preguntas abiertas («¿usáis IA?») dan respuestas vacías.
- Los registros técnicos. El equipo de sistemas puede ver en el proxy o en el inicio de sesión único qué servicios de IA se usan desde la red de la empresa.
Qué datos tiene que tener cada sistema
Un inventario útil no es una lista de nombres. Para cada sistema, como mínimo:
| Dato | Para qué sirve |
|---|---|
| Nombre, finalidad y área | Saber qué hace y en qué proceso. La finalidad decide si es de alto riesgo. |
| Dueño con nombre | Una persona responsable, no un departamento. |
| Proveedor o desarrollo propio | De quién pedir documentación y quién responde de qué. |
| Papel de la empresa | Proveedor, responsable del despliegue, importador o distribuidor. Cada papel tiene obligaciones distintas. |
| Datos que usa | Si trata datos personales, enlazarlo con el registro de actividades del RGPD. |
| Personas afectadas | Clientes, empleados, candidatos, ciudadanos. Pesa en el riesgo y en la FRIA. |
| Nivel de riesgo y por qué | Prohibido, alto, limitado o mínimo, con el artículo o el punto del anexo III que lo justifica. |
| Estado | Piloto, producción o retirado. Un piloto que nadie apaga acaba en producción. |
El papel de la empresa merece una nota. Quien compra un sistema suele ser responsable del despliegue, con las obligaciones del artículo 26. Pero según el artículo 25, si le pone su marca, lo modifica de forma sustancial o lo usa para una finalidad de alto riesgo que el proveedor no preveía, pasa a tener las obligaciones de proveedor. Es fácil que eso ocurra sin que nadie se dé cuenta, y el inventario es donde se ve.
Cómo lo mantendríamos vivo
Un inventario hecho una vez queda viejo en meses, porque cada trimestre aparecen funciones de IA nuevas en las herramientas que ya se usan. Lo que nosotros haríamos:
- Meter la pregunta «¿lleva IA?» en el proceso de compra de software y en el alta de proyectos, para que los sistemas nuevos entren solos.
- Revisar el inventario completo al menos una vez al año y cada vez que cambie la finalidad de un sistema.
- Pedir al proveedor de cada sistema la documentación que le exige el Reglamento, en especial las instrucciones de uso, y guardarla junto a la ficha.
- Enlazar cada sistema con sus riesgos, sus controles y, si es de alto riesgo, su evaluación de impacto en derechos fundamentales.
En GlobalSuite® AI Governance el inventario ya trae los niveles de riesgo del AI Act, y cada sistema pasa por un cuestionario de clasificación. Desde la ficha se enlazan sus riesgos, sus requisitos y sus incidencias, así que el inventario no es una lista aparte sino la base del resto.
Las fechas para tener todo esto listo están en el calendario del AI Act tras el Ómnibus Digital.
