Toda obligación del Reglamento Europeo de Inteligencia Artificial (AI Act) depende de una pregunta previa: qué sistemas de IA tiene la empresa y en qué papel actúa respecto de ellos. No es posible saber si aplica la transparencia del artículo 50, la formación del artículo 4 o el régimen de alto riesgo sin disponer de un mapa completo de sistemas.
Ese mapa es el inventario de sistemas de IA: el primer entregable de cualquier plan de cumplimiento y uno de los documentos que un regulador, un cliente corporativo o un inversor en un proceso de due diligence puede pedir para conocer cómo gestiona la empresa el uso de inteligencia artificial.
Esta guía explica cómo construirlo.
Qué cuenta como «sistema de IA»
El AI Act define el sistema de IA como un sistema basado en máquinas diseñado para operar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras su despliegue y que, para objetivos explícitos o implícitos, infiere de la información que recibe cómo generar resultados —predicciones, contenidos, recomendaciones o decisiones— que pueden influir en entornos físicos o virtuales.
En la práctica, para una empresa tecnológica la lectura es amplia: incluye modelos propios, funciones de IA integradas mediante API de terceros —como OpenAI, Anthropic o Google—, herramientas SaaS con componentes de IA y determinados sistemas clásicos de scoring o recomendación.
No lo son, en cambio, las reglas fijas programadas sin capacidad de inferencia, aunque la frontera exige un análisis caso por caso.
Las tres listas del inventario
El error habitual es inventariar únicamente el producto propio. Un inventario completo debe contemplar tres capas:
- IA que la empresa desarrolla: modelos y sistemas propios, comercializados o destinados a uso interno.
- IA que la empresa integra: funciones construidas sobre modelos o API de terceros dentro del producto o de los procesos de la empresa. Integrar IA ajena no exime de obligaciones: dependiendo de cómo se comercialice, modifique o utilice el sistema, la empresa puede asumir distintos roles bajo el AI Act.
- IA que la empresa utiliza internamente: herramientas de terceros empleadas por los equipos, como asistentes de código, generadores de contenido, sistemas de selección de personal o chatbots de soporte. Aquí suele aflorar el denominado «shadow AI»: herramientas de IA utilizadas por empleados sin autorización, supervisión o documentación interna.
Dónde buscar: fuentes de descubrimiento
Para localizar todos los sistemas no basta con preguntar al departamento de IT. Conviene cruzar distintas fuentes:
- Facturación y suscripciones SaaS: la lista de gastos recurrentes puede revelar herramientas que nunca fueron declaradas como sistemas de IA.
- Inventario de sistemas de IT y registro de actividades de tratamiento del RGPD: una parte importante del trabajo puede estar ya realizada si se cruzan ambos registros.
- Repositorios de código y dependencias: permiten localizar SDK, librerías y llamadas a API de modelos de terceros.
- Encuesta breve por departamentos: RRHH, marketing, soporte, ventas y desarrollo suelen concentrar buena parte de las herramientas de IA utilizadas en la organización.
- Contratos con proveedores: cláusulas relativas a IA, adendas de tratamiento de datos y condiciones de uso de API pueden revelar sistemas que deben incorporarse al inventario.
La ficha de cada sistema
Para cada sistema identificado, el inventario debería recoger como mínimo:
- denominación y descripción funcional;
- proveedor del modelo o tecnología subyacente;
- papel de la empresa bajo el AI Act —proveedor, responsable del despliegue, importador o distribuidor—;
- usuarios y personas afectadas;
- datos que trata y si incluye datos personales;
- decisión, recomendación, contenido o resultado que produce;
- departamento responsable;
- finalidad del sistema;
- y base contractual con el proveedor.
Esta ficha es la que permite dar el paso siguiente: clasificar cada sistema conforme al AI Act.
Clasificar cada sistema y asignarle su fecha
Con el mapa completo, cada sistema recibe su calificación conforme al AI Act y, con ella, su calendario de cumplimiento. Este ejercicio resulta especialmente importante tras los cambios introducidos en el calendario regulatorio europeo.
Las principales categorías que deben revisarse son:
- Prácticas prohibidas (art. 5): las prohibiciones comenzaron a aplicarse el 2 de febrero de 2025. Ningún sistema utilizado por la empresa debería incurrir en alguna de estas prácticas.
- Sistemas de alto riesgo: determinados sistemas incluidos en los ámbitos contemplados por el AI Act —por ejemplo, algunos usos relacionados con empleo, educación, acceso a determinados servicios o evaluación de personas— están sometidos a un régimen reforzado de cumplimiento y a un calendario específico que debe analizarse para cada sistema.
- Obligaciones de transparencia (art. 50): afectan, entre otros supuestos, a determinados sistemas que interactúan directamente con personas y a ciertos contenidos generados o manipulados mediante IA, incluidos los deepfakes. Estas obligaciones forman parte del régimen aplicable desde agosto de 2026.
- Modelos de IA de uso general (GPAI): quienes desarrollan y ponen en el mercado este tipo de modelos están sujetos a obligaciones específicas del AI Act.
- Resto de sistemas: aunque un sistema no quede sometido a obligaciones específicas de alto riesgo o transparencia, conviene documentar la evaluación jurídica que ha llevado a esa conclusión.
El inventario debe conectarse, además, con una obligación transversal: el artículo 4 del AI Act exige a proveedores y responsables del despliegue adoptar medidas para garantizar, en la medida de lo posible, un nivel suficiente de alfabetización en materia de IA de su personal y de otras personas que se ocupen del funcionamiento y utilización de sistemas de IA en su nombre. Esta obligación es aplicable desde febrero de 2025.
Mantenerlo vivo
Un inventario de sistemas de IA puede quedar desactualizado rápidamente: cada nueva funcionalidad, proveedor, API o herramienta incorporada por los empleados puede modificarlo.
La práctica recomendable es asignar un responsable, fijar una revisión periódica —por ejemplo, trimestral en empresas de producto— e integrar el alta en el inventario dentro de los procesos de compras, contratación de proveedores y desarrollo de nuevas funcionalidades.
Un inventario fechado, actualizado y versionado constituye, además, una evidencia relevante de diligencia y gobernanza ante una eventual supervisión regulatoria.
Conclusión
El inventario de sistemas de IA no es un mero trámite: es la pieza que permite determinar qué obligaciones tiene la empresa, respecto de qué sistemas y desde cuándo.
Hacerlo correctamente evita tanto el incumplimiento como el exceso de cumplimiento: invertir tiempo y recursos en obligaciones que realmente no resultan aplicables.
En nuestro despacho realizamos el inventario y la clasificación de sistemas como primera fase de la auditoría de cumplimiento del AI Act para empresas tecnológicas.
Si tu empresa desarrolla, integra o utiliza inteligencia artificial, podemos ayudarte a construir tu mapa de sistemas de IA y tu plan de cumplimiento.