Registro de evidencias en el uso de IA: qué debería guardar una empresa y por qué
Usar inteligencia artificial en una empresa no consiste solo en elegir una herramienta y formar a los equipos. También implica poder demostrar, si llega una auditoría, una reclamación, un incidente o una revisión interna, qué se hizo, quién lo autorizó, con qué datos, con qué proveedor y bajo qué controles.
Ese rastro es lo que muchas organizaciones todavía no tienen. Hay políticas internas, inventarios o contratos, pero falta una capa práctica de evidencias: documentos, registros y comprobaciones que permitan reconstruir el uso real de la IA sin depender de memoria, capturas sueltas o explicaciones improvisadas.
Un registro de evidencias no debería ser una carga burocrática. Bien diseñado, ayuda a trabajar con IA con más seguridad, reduce dudas entre legal, IT, negocio y compliance, y facilita acreditar diligencia cuando el uso de una herramienta afecta a clientes, empleados, proveedores, datos personales o decisiones relevantes.
1. Qué significa guardar evidencias en el uso de IA
Guardar evidencias no es almacenar todos los prompts de toda la empresa ni convertir cada uso de ChatGPT, Copilot o una herramienta sectorial en un expediente jurídico.
La idea es más sencilla: conservar la información mínima que permita entender y justificar los usos relevantes de IA. Eso incluye, según el caso, la herramienta utilizada, la finalidad, el tipo de datos tratados, la persona o área responsable, las autorizaciones, la revisión humana, la configuración aplicada, las condiciones del proveedor y las decisiones adoptadas.
El nivel de detalle debe depender del riesgo. No exige el mismo registro una lluvia de ideas interna para preparar una presentación que un sistema usado para evaluar candidatos, priorizar clientes, responder reclamaciones, automatizar procesos internos o analizar documentación con datos personales.
Por eso conviene conectar el registro de evidencias con el [inventario de herramientas de IA de la empresa](/inventario-herramientas-ia-empresa-ai-act-rgpd/) y con una [política interna de uso de ChatGPT, Copilot y otras herramientas de IA](/politica-interna-chatgpt-copilot-empresa/). Si cada documento vive aislado, la empresa acaba con papeles correctos pero difíciles de usar.
2. Por qué las evidencias importan desde el punto de vista legal y operativo
Las evidencias sirven para algo muy concreto: demostrar control razonable. No sustituyen al análisis jurídico, al cumplimiento del RGPD ni a las obligaciones que pueda imponer el AI Act, pero ayudan a probar que la empresa no actuó a ciegas.
En la práctica, pueden ser útiles para:
- Acreditar que una herramienta fue revisada antes de usarse.
- Demostrar que se evaluaron datos personales, confidencialidad, seguridad y proveedor.
- Explicar qué áreas podían usar la herramienta y con qué límites.
- Probar que hubo supervisión humana en usos sensibles.
- Reconstruir un incidente o una respuesta incorrecta generada con IA.
- Justificar decisiones ante dirección, auditoría, cliente, proveedor o autoridad.
- Evitar que cada departamento documente de forma distinta.
También tienen una función interna: reducen discusiones. Cuando legal, IT, compliance, RRHH, marketing o ventas comparten una estructura común de evidencias, es más fácil decidir qué se permite, qué requiere validación y qué no debería hacerse sin controles adicionales.
3. Qué evidencias debería conservar una empresa
No existe una única plantilla válida para todas las empresas. Aun así, en usos relevantes de IA suele ser prudente conservar, al menos, estos bloques de información.
### Identificación del uso de IA
El primer bloque debe permitir saber qué se está haciendo. Por ejemplo:
- Nombre de la herramienta o sistema de IA.
- Proveedor y modalidad contratada.
- Área responsable dentro de la empresa.
- Finalidad concreta del uso.
- Fecha de alta, revisión o aprobación.
- Estado: autorizado, piloto, pendiente de validación, restringido o retirado.
Esta información evita un problema habitual: descubrir tarde que varias áreas utilizan herramientas distintas para finalidades parecidas, sin criterios comunes.
### Datos tratados y nivel de sensibilidad
El segundo bloque debe describir qué información entra en la herramienta o se usa para entrenar, ajustar, analizar o generar resultados. Conviene distinguir entre:
- Información pública o no confidencial.
- Datos personales ordinarios.
- Categorías especiales de datos.
- Información de clientes, empleados, candidatos o proveedores.
- Secretos empresariales, documentación contractual o información estratégica.
- Datos anonimizados, seudonimizados o agregados.
Si hay datos personales, el registro debería conectarse con el análisis RGPD correspondiente: finalidad, base jurídica, minimización, conservación, destinatarios, transferencias internacionales, medidas de seguridad y contrato con proveedor cuando proceda. Para usos complejos, puede ser razonable revisar el encaje con apoyo especializado en [protección de datos y RGPD](/consultor-rgpd-zaragoza/).
### Proveedor, contrato y configuración
Muchas incidencias no nacen del modelo de IA, sino de cómo se contrata y configura la herramienta. Por eso conviene conservar evidencias sobre:
- Condiciones aplicables al servicio.
- Contrato, anexo de tratamiento de datos o documentación equivalente.
- Ubicación o régimen de transferencias de datos si procede.
- Opciones de privacidad, entrenamiento, retención y seguridad.
- Usuarios con acceso y perfiles de permisos.
- Fecha de la última revisión del proveedor.
No se trata de guardar capturas sin criterio, sino de poder demostrar qué configuración estaba vigente cuando se aprobó el uso.
### Evaluación de riesgos y controles adoptados
Para usos de bajo riesgo bastará una validación sencilla. Para usos que puedan afectar a personas, decisiones relevantes, cumplimiento normativo o información sensible, conviene documentar más.
Algunas evidencias útiles son:
- Evaluación interna del riesgo del uso.
- Motivos para permitir, limitar o rechazar la herramienta.
- Controles aplicados: anonimización, revisión humana, limitación de usuarios, registro de actividad, doble validación o restricciones de datos.
- Procedimiento para errores, resultados inesperados o incidentes.
- Revisión por legal, IT, seguridad, compliance o dirección cuando proceda.
Este punto conecta directamente con una [auditoría legal de IA en la empresa](/auditoria-legal-ia-empresa-2/), especialmente cuando ya existen varios usos dispersos y no está claro qué se está utilizando en la práctica.
### Supervisión humana y decisiones finales
Cuando la IA influye en decisiones relevantes, no basta con decir que “siempre revisa una persona”. Conviene poder explicar quién revisa, cuándo, con qué criterio y qué capacidad real tiene para corregir o detener el resultado.
Las evidencias pueden incluir:
- Rol de la persona responsable de revisar.
- Criterios mínimos de validación.
- Casos en los que la decisión no puede automatizarse sin revisión adicional.
- Registro de correcciones relevantes.
- Escalado cuando el resultado de la IA sea dudoso, discriminatorio, incompleto o jurídicamente sensible.
La supervisión humana debe ser real, no una firma al final del proceso. Si la persona no entiende el sistema, no tiene tiempo para revisar o no puede contradecir la recomendación, el control puede ser más aparente que efectivo.
4. Qué no conviene hacer
Hay errores bastante frecuentes al intentar documentar el uso de IA.
El primero es registrar demasiado. Si la empresa exige evidencias para cualquier uso menor, el sistema se abandona o se rellena de forma automática y pierde valor.
El segundo es registrar demasiado poco. Una hoja con el nombre de la herramienta y el departamento responsable no permite reconstruir riesgos, datos tratados, configuración, proveedor ni revisión humana.
El tercero es guardar evidencias sin responsables. Si nadie revisa, actualiza o depura el registro, queda obsoleto en pocas semanas.
El cuarto es confundir evidencia con cumplimiento. Tener un registro ayuda, pero no arregla por sí solo un tratamiento de datos mal planteado, una herramienta insegura o una automatización que no debería estar en producción.
El quinto es olvidar la trazabilidad de cambios. En IA, las condiciones del proveedor, las funcionalidades y los usos internos cambian con rapidez. La empresa debería saber cuándo se aprobó una herramienta, cuándo se modificó su configuración y cuándo se revisó por última vez.
5. Una estructura práctica para empezar
Para una pyme o una empresa mediana, el punto de partida puede ser una ficha por herramienta o por caso de uso relevante. Esa ficha puede incluir:
1. Herramienta o sistema.
2. Área responsable.
3. Finalidad empresarial.
4. Usuarios autorizados.
5. Tipos de datos permitidos y prohibidos.
6. Proveedor y documentación contractual revisada.
7. Configuración de privacidad y seguridad.
8. Nivel de riesgo.
9. Controles aplicados.
10. Revisión humana exigida.
11. Evidencias que deben conservarse.
12. Fecha de aprobación y próxima revisión.
13. Responsable de seguimiento.
La ficha debe ser breve, pero suficientemente clara. Si necesita diez anexos para entenderse, probablemente no funcionará en el día a día.
6. Cómo integrarlo con AI Act, RGPD y compliance tecnológico
El registro de evidencias debe formar parte de un sistema más amplio de gobernanza. En empresas que usan IA de forma habitual, conviene conectarlo con:
- Inventario de herramientas y casos de uso.
- Política interna de IA generativa.
- Revisión de proveedores.
- Registro de actividades de tratamiento cuando haya datos personales.
- Evaluaciones de impacto o análisis adicionales cuando procedan.
- Formación interna.
- Procedimiento de incidentes.
- Revisión periódica por dirección, legal, IT o compliance.
Desde la perspectiva del [AI Act compliance](/ai-act-compliance-zaragoza/), esta documentación ayuda a ordenar roles, riesgos, transparencia, supervisión y trazabilidad. Desde el [compliance tecnológico](/compliance-tecnologia-zaragoza/), evita que el control dependa solo de buena voluntad o de decisiones informales.
7. Recomendación final
La empresa que usa IA sin evidencias no solo asume más riesgo jurídico. También pierde capacidad de gestión: no sabe con precisión qué herramientas se usan, qué datos circulan, qué decisiones dependen de automatizaciones y qué controles existen de verdad.
La solución no es crear burocracia por reflejo. La solución es construir un registro proporcionado, útil y revisable, empezando por los usos con más impacto: datos personales, clientes, empleados, candidatos, comunicaciones externas, decisiones sensibles, automatizaciones y proveedores críticos.
Si tu empresa ya utiliza IA y no tiene claro qué debería documentar, puede ser buen momento para hacer una revisión inicial del inventario, los riesgos y las evidencias mínimas. Puedes plantearlo desde la página de [contacto](/contacto/) y preparar una primera fotografía de situación antes de que el uso de IA siga creciendo sin control.