Cómo hacer el inventario de sistemas de IA de tu empresa: dónde buscarlos, qué anotar de cada uno, qué pide la ISO 42001 y qué no exige el AI Act.
Por Alex Fernández, Auditor Líder ISO/IEC 27001 e ISO/IEC 42001 · Actualizado el
Un inventario de sistemas de IA es el registro de cada uso de la inteligencia artificial en tu empresa: para qué se usa, quién responde de él, qué datos recibe y en qué decisiones interviene. El AI Act no lo exige con ese nombre y la ISO 42001 no trae una plantilla, pero sin él no sabrás qué obligaciones te tocan ni podrás aplicar casi nada de la norma. Aquí va dónde buscar la IA que ya usas, qué anotar de cada sistema, cómo priorizar y un ejemplo trabajado.
El marco completo está en qué es la ISO 42001 y cómo se certifica; esta guía va a la pieza con la que empieza todo lo demás. Como auditor, es lo primero que pido.
Lo que no está en el inventario no se gobierna: ni se evalúa, ni se forma a quien lo usa, ni se le pregunta nada al proveedor.
Tres confusiones frecuentes:
Qué cuenta como sistema de IA. El artículo 3.1 del AI Act lo define como un sistema basado en máquinas que infiere, a partir de sus entradas, cómo generar predicciones, contenidos, recomendaciones o decisiones. Su considerando 12 deja fuera los sistemas que solo ejecutan reglas definidas por personas. Mi regla práctica: si genera texto, imagen o voz, predice, recomienda o decide a partir de datos, va al inventario. Si solo aplica reglas escritas por una persona, no es IA para el AI Act, pero a veces tiene que ir igual, como verás en el ejemplo.
| Norma | Qué pide | Qué tiene que ver con el inventario |
|---|---|---|
| ISO/IEC 42001 | La finalidad de cada sistema y tu papel en él (4.1), el alcance (4.3), los riesgos y el impacto (6.1.2 y 6.1.4) y los recursos de cada sistema (A.4.2 a A.4.6) | Todo se hace sistema por sistema: el inventario es la lista de partida |
| AI Act | Cumplir según tu papel, proveedor o responsable del despliegue (art. 3), y según el sistema: prácticas prohibidas (art. 5), transparencia (art. 50) o alto riesgo (anexo III) | No pide un inventario, pero sin él no sabes qué artículo te toca |
| AI Act, art. 4 | Con la redacción del Ómnibus, adoptar medidas para apoyar la alfabetización en IA de quien la usa | El inventario te dice quién usa qué |
| RD 723/2026 | Informar por escrito a cada persona contratada de los sistemas algorítmicos de decisión y, si deciden sobre sus condiciones de trabajo, de sus reglas (art. 3.2.k), desde el 5 de octubre de 2026 | Una columna más, que alcanza también a sistemas de reglas que no son IA |
| RGPD | Registro de actividades de tratamiento (art. 30) y evaluación de impacto si el riesgo es alto (art. 35) | Los sistemas con datos personales se cruzan con ese registro |
He buscado la palabra: ni el Reglamento (UE) 2024/1689 ni el Ómnibus que lo modificó, el Reglamento (UE) 2026/1744, hablan de «inventario». Quien diga que el AI Act obliga a tenerlo exagera; lo que obliga es cumplir lo que te toca, y eso no se sabe sin una lista. Las fechas, ya con el Ómnibus, están en la guía del AI Act.
Seis fuentes, y ninguna basta sola:
Después, cruza las fuentes: lo que sale en los gastos y no en la encuesta suele ser una prueba olvidada que sigue cobrando; lo que sale en la encuesta y no en los gastos, una cuenta gratuita o personal con datos que nadie ha autorizado.
Mi método son ocho columnas. Con menos, la evaluación de riesgos no tiene de dónde tirar; con más, nadie mantiene el registro.
La columna 7 es la que más se rellena mal. Se decide por el uso, no por la tecnología: un asistente de uso general no es de alto riesgo por existir, pero usarlo para filtrar candidaturas lo lleva al anexo III, punto 4, y puede convertirte en su proveedor (art. 25.1). Y la decisión se escribe: un «no aplica» sin fecha ni autor no demuestra nada.
Un triaje en tres niveles ahorra semanas:
Un sistema cambia de nivel cuando cambia su uso, no cuando cambia la herramienta.
Empresa ficticia: una ingeniería de 45 personas con taller propio, chatbot en la web y portal de empleo. Las seis fuentes sacan siete filas, aquí sin las columnas de proveedor, papel y evidencia:
| Sistema | Finalidad | Dueño | Datos | Encaje | Nivel |
|---|---|---|---|---|---|
| Copilot de Microsoft 365 | Redactar y resumir documentos | Directora de operaciones | Internos y de clientes | Ninguno propio; alfabetización del art. 4 | 2 |
| Chatbot de la web | Contestar dudas de clientes | Responsable de marketing | Consultas y datos de contacto | Art. 50.1: aviso de que es una IA | 1 |
| Filtro del portal de empleo | Ordenar candidaturas | Responsable de personas | Currículos | Alto riesgo, anexo III, punto 4 | 1 |
| Transcripción de reuniones | Actas de reuniones con clientes | Cada jefe de proyecto | Voz y datos de terceros | RGPD; nada propio del AI Act | 1 |
| Generador de imágenes | Piezas para redes sociales | Responsable de marketing | Ninguno personal | Art. 50.4 si publica ultrafalsificaciones | 2 |
| Corrector del procesador de textos | Ortografía y estilo | Directora de operaciones | Textos internos | Ninguno | 3 |
| Cuadrante de turnos del taller | Turnos semanales | Jefe de taller | Disponibilidad y ausencias | No es IA; RD 723/2026, art. 3.2.k | 1 |
Con la ISO 27001, añade estas columnas al inventario de activos en vez de abrir otro registro. Y si te alcanza NIS2, la gestión de activos es una de sus medidas (art. 21.2.i): la Checklist NIS2 te sirve para repasarla.
Si no quieres empezar en una hoja de cálculo, Salvik tiene un inventario de sistemas de IA y una función, Descubrir IA, que reconoce herramientas en las exportaciones de Microsoft 365, Google Workspace, Intune o de tus gastos. Las dos entran en su prueba de 7 días.
Si prefieres hacerlo con método y con alguien al lado, el diagnóstico ISO 42001 empieza por este inventario y te deja un plan priorizado. Lo que cuesta está en la guía de precios de la ISO 42001, y el resto de lo que hago, en servicios.
No con ese nombre: la palabra no aparece ni en el Reglamento (UE) 2024/1689 ni en el Ómnibus que lo modificó. Pero sus obligaciones dependen de tu papel y del tipo de sistema, y para saber cuáles te tocan necesitas la lista.
No trae una plantilla, pero pide conocer la finalidad de cada sistema y tu papel en él (cláusula 4.1), delimitar el alcance (4.3) y evaluar riesgos e impacto sistema por sistema (6.1.2 y 6.1.4). El auditor empezará pidiendo la lista de sistemas del alcance; sin ella no hay por dónde seguir.
Lo que define el artículo 3.1 del AI Act: un sistema que infiere, a partir de sus entradas, cómo generar predicciones, contenidos, recomendaciones o decisiones. Los programas que solo ejecutan reglas escritas por personas quedan fuera del AI Act, aunque si deciden sobre tu plantilla los alcanza el RD 723/2026. Ante la duda, apúntalo y decide por escrito.
Sí. Que no la pague la empresa no significa que no reciba sus datos. Primero se descubre, con una encuesta sin castigo, y después una política de uso decide qué se permite y con qué datos.
Con cada disparador, sea una compra, una función de IA nueva o un cambio de modelo o de finalidad, y en una revisión trimestral. Lo que no debe pasar es que llegue desactualizado a la auditoría interna o a la revisión por la dirección.
Sí. Cuentan las columnas, el dueño de cada fila y la fecha de revisión. Una herramienta ayuda con muchos sistemas, varias normas o varias personas actualizándolo.