Antes de clasificar riesgos, redactar una política o impartir formación, la empresa necesita saber qué inteligencia artificial está utilizando. El inventario convierte una realidad dispersa —herramientas contratadas, funciones incorporadas al software y usos informales— en información gobernable.
El problema de la IA invisible
Muchas pymes utilizan IA sin haber aprobado formalmente un proyecto. Puede aparecer dentro del CRM, en selección de personal, atención al cliente, traducción o asistentes generativos utilizados por iniciativa de la plantilla.
Ese uso no identificado impide responder preguntas elementales: qué información se introduce, dónde se procesa, quién revisa los resultados o si el proveedor reutiliza los datos. Prohibir todo suele ser poco realista; permitirlo sin reglas tampoco es una estrategia.
El inventario es el punto de partida, no la conclusión
El Reglamento de IA no impone con ese nombre un único registro universal a todas las empresas que usen cualquier herramienta. Sí establece obligaciones distintas según el sistema, su finalidad, el riesgo y el papel de la organización.
Para saber si existe una práctica prohibida, una obligación de transparencia o un uso potencialmente de alto riesgo, primero hay que conocer los sistemas. El inventario es una medida de gobierno que permite realizar el análisis posterior.
Qué debería recoger cada ficha
No es necesario empezar con una plataforma compleja. Una hoja controlada puede bastar si existe una persona responsable, reglas de actualización y un procedimiento para aprobar nuevos usos.
- Herramienta, versión, proveedor y responsable interno.
- Finalidad concreta y proceso empresarial en el que interviene.
- Personas afectadas y tipo de resultado que produce.
- Datos introducidos, especialmente si son personales o confidenciales.
- Integraciones, accesos y sistemas conectados.
- Grado de autonomía y punto de supervisión humana.
- Consecuencias previsibles de un error.
- Condiciones contractuales y conservación conocida.
- Clasificación preliminar, decisión de uso y próxima revisión.
Clasificar después de identificar
El Reglamento se aplica por fases y exige seguimiento. Conviene registrar la fuente consultada y la fecha de cada revisión. La pyme puede empezar con tres decisiones: conocer sus usos, asignar responsables e impedir que una herramienta desconocida intervenga silenciosamente en una decisión importante.
- Comprobar si la herramienta encaja realmente en la definición jurídica de sistema de IA.
- Descartar prácticas prohibidas.
- Valorar la finalidad y un posible encaje en alto riesgo.
- Revisar obligaciones de transparencia.
- Analizar conjuntamente RGPD y AI Act si existen datos personales.
- Definir supervisión, formación, límites, incidencias y revisión contractual.
Fuentes
Contenido informativo y divulgativo. No constituye asesoramiento jurídico individualizado. La aplicación a una organización concreta exige analizar sus circunstancias, actividad y normativa sectorial.