Inventario de los sistemas de inteligencia artificial: cómo construirlo paso a paso

01

La respuesta breve

Una empresa construye el inventario enumerando cada sistema de IA según la definición del artículo 3, punto 1 del Reglamento (UE) 2024/1689, anotando para cada uno el rol empresarial asumido — proveedor, responsable del despliegue, importador, distribuidor o representante autorizado — y los datos tratados para generar los resultados.

Esta es una de las cuestiones indicadas como pregunta de verificación aprobada para orientar la gobernanza interna de la IA.

02

Por qué el rol lo cambia todo

El Reglamento distingue claramente entre proveedor, responsable del despliegue, importador, distribuidor, representante autorizado y, en general, operador. Cada rol implica obligaciones distintas, por lo que el inventario no puede limitarse a enumerar software: debe registrar quién hace qué respecto a cada sistema, en coherencia con las definiciones del artículo 3.

03

Los pasos para construir el inventario

Pasos

1. Enumerar cada sistema automatizado que deduce resultados a partir de entradas, según la definición de sistema de IA.
2. Asignar a cada sistema el rol empresarial correcto: proveedor, responsable del despliegue, importador, distribuidor o representante autorizado.
3. Si la empresa es proveedora de un sistema de IA de alto riesgo, registrar en el sistema de gestión de la calidad la finalidad prevista y los datos tratados en las fases de adquisición, recopilación, análisis, etiquetado y almacenamiento.
4. Verificar si el sistema genera contenidos sintéticos sujetos a obligaciones de marcado o notificación como los deep fakes.
5. Si la empresa es proveedora de un sistema de IA de alto riesgo, indicar en el marco de responsabilidad quién, entre la dirección o el personal, es responsable de cada aspecto del sistema de gestión de la calidad.

04

Un ejemplo hipotético

Ejemplo hipotético: una empresa utiliza un sistema de terceros para generar textos de marketing y desarrolla internamente un sistema de categorización de clientes. Para el primero, la empresa es responsable del despliegue y comprueba si los resultados sintéticos están marcados como generados artificialmente, como se exige a los proveedores de tales sistemas. Para el segundo, al ser un desarrollo interno, la empresa registra sus propios procesos de gestión de datos, desde la adquisición hasta el almacenamiento.

05

Elementos mínimos a registrar para cada sistema

• Nombre del sistema y definición técnica aplicada (sistema de IA).
• Rol empresarial asumido respecto al sistema (proveedor, responsable del despliegue, importador, distribuidor, representante autorizado).
• Finalidad prevista y, para los proveedores de sistemas de IA de alto riesgo, los datos tratados en las fases del ciclo de datos previstas por el sistema de gestión de la calidad.
• Posibles obligaciones de transparencia sobre contenidos sintéticos o deep fakes aplicables al sistema.
• Para los proveedores de sistemas de IA de alto riesgo, el referente responsable de cada aspecto indicado en el marco de responsabilidad del sistema de gestión de la calidad.

06

Qué se puede configurar en un software de gestión

Una empresa puede pedir a su socio de software que admita un registro estructurado de los sistemas de IA, con campos para rol, finalidad, datos tratados y referente responsable, de modo que el inventario sea consultable y actualizable con el tiempo.

Es una elección operativa recomendada, no una obligación del producto: cada organización define qué información rastrear y quién puede modificarla, manteniendo la coherencia con los roles indicados por el Reglamento.

07

Preguntas frecuentes

El inventario debe actualizarse cada vez que se introduce un nuevo sistema o cambia el rol empresarial respecto a un sistema existente, porque roles distintos implican registros distintos.

Un sistema interno desarrollado por la propia empresa debe seguir incluyéndose en el inventario con rol y finalidad según las definiciones del artículo 3; si la empresa asume el rol de proveedor de un sistema de IA de alto riesgo, deben añadirse además los datos de gestión de la calidad previstos para ese rol.

Las obligaciones de marcado de contenidos sintéticos afectan específicamente a los proveedores de sistemas que generan resultados de audio, imagen, video o texto, y deben anotarse en el inventario cuando sean pertinentes.

08

Próximo paso

Empieza enumerando los sistemas de IA ya en uso en la empresa, asignando un rol y un referente a cada uno: es el primer paso concreto hacia una gobernanza de la IA trazable.