Inventario de herramientas de IA en la empresa: cómo hacerlo útil para AI Act, RGPD y compliance
Muchas empresas ya usan inteligencia artificial sin tener un mapa claro de dónde está, quién la utiliza y con qué datos. ChatGPT, Copilot, asistentes de atención al cliente, generadores de imagen, herramientas de análisis comercial, automatizaciones internas, módulos de recursos humanos o funciones de IA integradas en software cotidiano pueden convivir sin que nadie los haya ordenado.
Ese desorden no es solo un problema técnico. Desde la perspectiva del AI Act, el RGPD y el compliance, impide responder a preguntas básicas: qué sistemas se usan, para qué finalidad, con qué datos personales, quién decide, qué proveedor interviene, qué salida se genera y qué control humano existe.
Por eso el inventario de herramientas de IA no debería ser una hoja Excel para cumplir. Bien hecho, es la base práctica para clasificar riesgos, revisar proveedores, preparar avisos de transparencia, documentar controles y decidir qué usos conviene permitir, limitar o prohibir.
1. Para qué sirve un inventario de IA
Un inventario útil permite pasar de la intuición a la evidencia. La empresa deja de hablar de “usamos IA” en abstracto y empieza a identificar usos concretos.
Sirve, al menos, para cinco objetivos:
- Saber qué herramientas de IA están activas en la organización.
- Detectar tratamientos de datos personales asociados a esos usos.
- Diferenciar usos internos, usos frente a clientes y usos que afectan a decisiones sobre personas.
- Revisar si hay obligaciones de transparencia, evaluación, supervisión o documentación.
- Priorizar acciones sin convertir el cumplimiento en burocracia inútil.
El inventario también ayuda a evitar dos errores frecuentes: pensar que solo cuenta la IA desarrollada internamente y asumir que si la herramienta es de un proveedor conocido, todo el riesgo queda fuera de la empresa.
2. Qué herramientas deben entrar en el inventario
No conviene limitar el inventario a modelos grandes o sistemas espectaculares. En la práctica, muchas obligaciones nacen de usos cotidianos.
Deberían revisarse, como mínimo:
- Herramientas de IA generativa: texto, imagen, audio, vídeo, código o presentaciones.
- Chatbots, asistentes virtuales y sistemas conversacionales.
- Automatizaciones que clasifican, priorizan, recomiendan o resumen información.
- Funciones de IA incluidas en CRM, ERP, herramientas de marketing, soporte, ventas o productividad.
- Sistemas usados en selección de personal, evaluación de desempeño, formación o control laboral.
- Soluciones de scoring, detección de fraude, segmentación, predicción o análisis de comportamiento.
- Herramientas que tratan datos de clientes, empleados, candidatos, usuarios o proveedores.
La regla práctica es sencilla: si una herramienta genera, predice, recomienda, clasifica, decide, prioriza o interactúa usando IA, debe aparecer en el mapa inicial. Luego se podrá concluir que el riesgo es bajo, pero no antes de verla.
3. Campos mínimos del inventario
El inventario debe ser suficientemente simple para mantenerse vivo y suficientemente completo para servir en una auditoría.
Una estructura razonable incluiría estos campos:
- Nombre de la herramienta o sistema.
- Departamento o responsable interno.
- Proveedor y país o ubicación relevante del servicio.
- Finalidad del uso.
- Usuarios internos que acceden.
- Personas afectadas: clientes, empleados, candidatos, proveedores u otros terceros.
- Tipo de entrada: documentos, prompts, datos personales, imágenes, audio, expedientes, comunicaciones.
- Tipo de salida: texto, recomendación, decisión, clasificación, contenido publicado, alerta o informe.
- Si existe interacción directa con personas.
- Si se publica o comunica contenido generado o manipulado por IA.
- Si hay datos personales y categorías aproximadas.
- Base jurídica o encaje RGPD preliminar cuando proceda.
- Revisión humana: quién revisa, cuándo y con qué criterio.
- Nivel de riesgo preliminar.
- Evidencias disponibles: contrato, DPA, política del proveedor, configuración, logs, capturas, instrucciones internas.
- Estado: permitido, pendiente de revisión, limitado, prohibido o sustituido.
No hace falta que la primera versión sea perfecta. Lo importante es que permita detectar huecos y asignar responsables.
4. Relación con el AI Act
El AI Act se aplica de forma progresiva y no trata todos los sistemas igual. Algunas obligaciones dependen de si la empresa actúa como proveedor, desplegador, importador o distribuidor; otras dependen del tipo de sistema, del uso concreto y del impacto sobre personas.
El inventario ayuda a responder preguntas esenciales:
- ¿La empresa desarrolla el sistema o solo lo utiliza?
- ¿La herramienta interactúa directamente con personas?
- ¿Genera o manipula contenido que se publica o se entrega a terceros?
- ¿Puede encajar en un supuesto de alto riesgo?
- ¿Existe una obligación de informar de que se está interactuando con IA?
- ¿El uso afecta a empleo, educación, servicios esenciales, crédito, justicia, seguridad u otros ámbitos sensibles?
La Comisión Europea ha publicado directrices sobre las obligaciones de transparencia del artículo 50 del AI Act, aplicables desde el 2 de agosto de 2026 para determinados sistemas. Esas obligaciones no se gestionan bien si la empresa no sabe antes dónde tiene chatbots, asistentes, contenido sintético o sistemas que interactúan con personas.
Por eso el inventario es una pieza previa. No sustituye el análisis jurídico, pero evita analizar a ciegas.
5. Relación con el RGPD
Cuando una herramienta de IA usa datos personales, el inventario debe conectarse con el registro de actividades de tratamiento, los contratos con encargados, las evaluaciones de impacto cuando procedan y la información que se facilita a las personas.
Puntos críticos:
- Qué datos personales se introducen en la herramienta.
- Si hay datos especialmente protegidos o información confidencial.
- Si el proveedor usa los datos para entrenar o mejorar modelos.
- Dónde se alojan o tratan los datos.
- Qué subencargados intervienen.
- Qué plazos de conservación existen.
- Cómo se atienden derechos de acceso, supresión, oposición o limitación.
- Si la salida de la IA se usa para tomar decisiones sobre personas.
Una política interna que diga “no introducir datos sensibles” puede ser insuficiente si nadie comprueba qué ocurre realmente. El inventario permite contrastar la norma con el uso diario.
6. Cómo levantar el inventario sin bloquear la empresa
El enfoque más eficaz suele ser por fases.
Primera fase: detección rápida. Preguntar a responsables de cada área qué herramientas usan, revisar compras, extensiones, integraciones, facturas, SaaS activos y automatizaciones internas.
Segunda fase: clasificación preliminar. Separar usos de bajo riesgo, usos con datos personales, usos externos, usos con impacto sobre personas y usos que requieren análisis urgente.
Tercera fase: revisión de proveedores. Comprobar contratos, DPA, condiciones de uso, política de entrenamiento, ubicación, subencargados y mecanismos de seguridad.
Cuarta fase: controles. Definir qué usos se permiten, cuáles requieren autorización, qué datos no pueden introducirse, qué salidas deben revisarse y qué avisos deben mostrarse.
Quinta fase: mantenimiento. El inventario debe actualizarse cuando se incorpore una herramienta nueva, cambie la finalidad, se active una función de IA o se conecte con nuevas fuentes de datos.
La clave es no convertir el inventario en un documento muerto. Si solo se crea para archivarlo, no servirá ni para cumplir ni para gestionar riesgos.
7. Señales de alerta
Hay usos que deberían revisarse con prioridad:
- IA aplicada a selección de personal, productividad laboral o evaluación de empleados.
- Sistemas que influyen en acceso a servicios, precios, crédito o condiciones contractuales.
- Chatbots públicos que atienden consultas de clientes o usuarios.
- Herramientas que generan contenido legal, sanitario, financiero o técnico sin revisión.
- Publicación de imágenes, audio o vídeo sintético sin criterio de transparencia.
- Introducción de datos de clientes en servicios externos sin contrato ni base jurídica clara.
- Automatizaciones conectadas a correo, CRM o expedientes que actúan sin supervisión real.
Estas señales no significan necesariamente que el uso sea ilegal. Significan que no conviene tratarlo como una simple herramienta de productividad.
8. Qué evidencias conservar
En cumplimiento, no basta con decidir bien. También hay que poder demostrarlo.
Conviene conservar:
- Versión del inventario y fecha de revisión.
- Responsable de cada uso.
- Documentación del proveedor.
- Evaluación preliminar de riesgo.
- Decisión adoptada: permitido, limitado, pendiente, prohibido.
- Medidas aplicadas: aviso, revisión humana, limitación de datos, configuración, formación.
- Evidencia de formación o instrucciones internas.
- Cambios relevantes en la herramienta o en la finalidad.
La evidencia debe ser proporcional. No todos los usos requieren un expediente complejo, pero los usos relevantes no deberían depender de conversaciones informales.
9. Resultado práctico
Un buen inventario de IA debería permitir responder en poco tiempo a preguntas como estas:
- ¿Qué herramientas de IA usamos hoy?
- ¿Dónde hay datos personales?
- ¿Qué sistemas interactúan con clientes o empleados?
- ¿Qué contenido generado por IA publicamos o enviamos a terceros?
- ¿Qué proveedores tenemos pendientes de revisar?
- ¿Qué usos requieren aviso de transparencia?
- ¿Qué usos necesitan supervisión humana documentada?
- ¿Qué usos deberíamos parar hasta revisarlos mejor?
Si la empresa no puede responder, el primer paso no es redactar una política larga. El primer paso es inventariar.
Conclusión
El inventario de herramientas de IA es una pieza sencilla, pero estratégica. Conecta tecnología, protección de datos, contratación, compliance, recursos humanos, marketing y dirección.
Para empresas que ya usan IA, permite ordenar lo que existe. Para empresas que quieren adoptarla, ayuda a crecer con control. Y para cualquier organización que deba prepararse para el AI Act y el RGPD, convierte el cumplimiento en una gestión real de riesgos, no en una carpeta decorativa.
Si tu empresa usa IA y no tiene claro dónde, con qué datos y bajo qué controles, conviene empezar por ahí: mapa de usos, responsables, proveedores, datos, riesgos y evidencias.