Inventario de sistemas de IA: cómo empezar

Una empresa no puede gobernar usos de IA que desconoce. Por eso el inventario suele ser el mejor punto de partida, aunque el EU AI Act no imponga un registro universal y autónomo a toda organización que utilice cualquier herramienta de IA.

El inventario es una práctica de gestión. Su valor está en conectar cada sistema con una finalidad, un propietario, un riesgo y una decisión.

¿Qué debe considerarse un sistema de IA?

La definición del Reglamento se centra en sistemas basados en máquinas que operan con distintos niveles de autonomía y que infieren cómo generar resultados, como predicciones, contenido, recomendaciones o decisiones.

No conviene decidir por el nombre del producto. Una función concreta de un software puede utilizar IA aunque el contrato no la destaque. También puede ocurrir que una herramienta promocionada como “inteligente” no encaje en la definición jurídica para un uso determinado.

El inventario debe registrar la duda y reservar la clasificación final para quien tenga la competencia necesaria.

¿Dónde buscar los usos que no aparecen en compras?

Los sistemas visibles suelen estar en el catálogo de IT o en contratos de proveedores. Los invisibles aparecen en otros lugares:

• funciones de IA activadas dentro de aplicaciones existentes;
• cuentas contratadas con tarjetas de área;
• automatizaciones creadas por usuarios;
• pruebas conectadas a datos reales;
• modelos integrados por proveedores en procesos subcontratados;
• hojas de cálculo, extensiones y asistentes personales.

La búsqueda debe plantearse como una mejora de control, no como una caza de culpables. Si los equipos temen una sanción interna, ocultarán precisamente los usos que la dirección necesita conocer.

¿Qué campos necesita la primera versión?

Una ficha mínima puede incluir:

1. nombre del sistema y proveedor;
2. finalidad y proceso donde se usa;
3. área usuaria y propietario de negocio;
4. resultados que produce y decisiones que apoya;
5. datos de entrada, procedencia y sensibilidad;
6. personas o grupos potencialmente afectados;
7. nivel de autonomía y supervisión actual;
8. papel jurídico preliminar;
9. hipótesis de riesgo y obligación aplicable;
10. fecha de alta, revisión y retirada.

Separar hechos de hipótesis evita que una primera clasificación se convierta en verdad permanente.

¿Cómo completar una primera versión en 30 días?

Semana 1: definir alcance y responsable

La dirección decide qué unidades entran, quién coordina el trabajo y qué información mínima se solicita. El objetivo es una línea base útil, no la perfección.

Semana 2: combinar fuentes

Se revisan compras, seguridad, arquitectura, proveedores y entrevistas breves con áreas. Ninguna fuente por sí sola ofrece una imagen completa.

Semana 3: validar con propietarios de negocio

Cada área confirma la finalidad real, los datos, las personas afectadas y la dependencia del proceso. Aquí suelen aparecer diferencias entre el uso contratado y el uso efectivo.

Semana 4: priorizar decisiones

Se revisan primero prácticas prohibidas, posibles sistemas de alto riesgo, transparencia, protección de datos, seguridad y continuidad. Los casos dudosos quedan marcados para análisis, no forzados a una etiqueta.

¿Quién debe mantener el inventario?

La custodia puede estar en riesgo, compliance, seguridad o una oficina de transformación. La propiedad del contenido debe permanecer distribuida: cada responsable de negocio confirma su sistema y una función de gobierno mantiene criterios y coherencia.

Un inventario anual pierde valor rápidamente. Conviene conectarlo a compras, altas de software, cambios de finalidad, incidentes y revisiones de proveedores.

¿Qué no debe prometer el inventario?

No demuestra por sí solo cumplimiento, no sustituye una evaluación jurídica y no convierte todos los usos en alto riesgo. Tampoco debe llenarse con información que nadie utiliza.

Su función es más sencilla y más importante: permitir que la dirección vea la realidad, ordene las preguntas y tome decisiones antes de que un uso invisible se convierta en un incidente visible.