Gobernanza de IA: cómo empezar por un inventario de sistemas

Por qué la gobernanza de IA empieza por un inventario

El Reglamento (UE) 2024/1689 (AI Act) no exige a todas las organizaciones lo mismo: las obligaciones dependen del papel que desempeña cada una (proveedora, desplegadora, importadora, distribuidora) y de la clasificación de riesgo de cada sistema. Por eso, antes de redactar políticas o contratar herramientas, el primer paso operativo es saber qué sistemas de IA existen realmente en la organización, quién los usa, con qué datos y para qué finalidad.

Sin ese inventario, cualquier política de uso es papel sin anclaje: no se puede evaluar el riesgo de lo que no se conoce, ni demostrar ante un órgano de supervisión que la organización controla sus sistemas. El inventario es, además, la pieza que conecta la gobernanza de IA con el resto del cumplimiento: protección de datos, seguridad de la información, contratos con proveedores y relaciones laborales.

Esta guía explica cómo construir ese inventario de forma útil, qué obligaciones del AI Act son ya exigibles y cuáles llegan después, y cómo convertir el inventario en un sistema de gobernanza mantenible.

Qué es exigible hoy: el calendario del AI Act

El artículo 113 del Reglamento (UE) 2024/1689 fija una entrada en aplicación escalonada, modificada por el Reglamento (UE) 2026/1744 («Ómnibus digital sobre IA»). El calendario vigente es el siguiente:

• Desde el 2 de febrero de 2025: las prácticas prohibidas del artículo 5 (por ejemplo, técnicas de manipulación subliminal, explotación de vulnerabilidades o ciertos sistemas de puntuación social) y la obligación de alfabetización en IA del artículo 4, que exige a proveedores y desplegadores garantizar un nivel suficiente de conocimientos sobre IA del personal que maneja estos sistemas.
• Desde el 2 de agosto de 2025: las obligaciones de los modelos de IA de uso general (GPAI, artículos 51 a 56), las disposiciones de gobernanza y las sanciones asociadas a GPAI.
• Desde el 2 de agosto de 2026: aplicación general del Reglamento, incluidas las obligaciones de transparencia del artículo 50 (por ejemplo, informar a las personas de que interactúan con un sistema de IA o etiquetar contenido sintético).
• Desde el 2 de diciembre de 2026: las nuevas prohibiciones relativas a contenido íntimo no consentido y material de abuso sexual infantil generado por IA, y la obligación de marcado de contenido sintético para sistemas preexistentes que ya estuvieran en el mercado.
• Desde el 2 de diciembre de 2027: los requisitos de los sistemas de alto riesgo del Anexo III, aplazados desde la fecha inicialmente prevista por el Reglamento (UE) 2026/1744.
• Desde el 2 de agosto de 2028: los requisitos de alto riesgo para sistemas del Anexo I (IA integrada en productos sujetos a legislación de armonización).

Un matiz importante introducido por el Ómnibus: el artículo 6.5 refina la clasificación, de modo que no todo sistema incluido en un supuesto del Anexo III es automáticamente de alto riesgo. La clasificación exige analizar cada caso, no aplicar la lista de forma mecánica.

En cuanto a sanciones, el artículo 99 prevé como máximos legales hasta 35 millones de euros o el 7% de la facturación mundial anual para prácticas prohibidas; hasta 15 millones o el 3% para el incumplimiento de obligaciones de alto riesgo y otras; y hasta 7,5 millones o el 1% por información engañosa. Para los modelos GPAI, el artículo 101 prevé hasta 15 millones o el 3%. Son techos máximos, no cuantías automáticas.

En España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, fue creada por el Real Decreto 729/2023. El anteproyecto español de ley de gobernanza de la IA seguía en tramitación a la fecha de revisión de esta guía, por lo que conviene no dar por aprobado un marco nacional que aún no lo está.

Cómo construir el inventario de sistemas, paso a paso

1. Delimitar qué cuenta como «sistema de IA»

El punto de partida es la definición del propio Reglamento: un sistema basado en una máquina que infiere, a partir de entradas, cómo generar salidas como predicciones, contenidos, recomendaciones o decisiones, con distintos niveles de autonomía. En la práctica, el error más frecuente es limitar el censo a la IA «oficial» (la contratada por dirección) y olvidar:

• Funcionalidades de IA embebidas en software ya contratado (RRHH, ERP, CRM, herramientas de videovigilancia, filtros de correo).
• Herramientas de IA generativa usadas de forma descentralizada por equipos concretos, con o sin licencia corporativa.
• Proyectos piloto o pruebas de concepto que nunca se formalizaron.
• Sistemas desarrollados internamente o por encargo.

2. Levantar el censo con una plantilla mínima

Para cada sistema conviene registrar, al menos:

• Nombre y proveedor (o desarrollo interno).
• Finalidad y contexto de uso: qué decide o qué recomienda, sobre quién recae el resultado.
• Papel de la organización respecto al sistema: desplegadora (lo usa), proveedora (lo desarrolla o comercializa con su marca), o ambas si lo modifica sustancialmente.
• Datos tratados: categorías de datos, si incluye datos personales y de qué tipo.
• Personas afectadas: plantilla, candidatos, clientes, menores, pacientes.
• Estado: en producción, piloto, retirado.
• Responsable interno y contrato o licencia aplicable.

3. Clasificar cada sistema

Con el censo levantado, cada sistema se clasifica en una de estas categorías:

• Práctica prohibida (art. 5): debe retirarse o no implantarse. Ya exigible desde el 2-2-2025.
• Alto riesgo (Anexos I y III): con los requisitos reforzados que entran en 2027 y 2028 según el calendario anterior, recordando el matiz del art. 6.5: la inclusión en un supuesto del Anexo III no equivale automáticamente a alto riesgo.
• Riesgo de transparencia (art. 50): chatbots, sistemas de generación de contenido, deepfakes, sistemas de reconocimiento de emociones o categorización biométrica: obligaciones de información y etiquetado exigibles desde el 2-8-2026.
• Riesgo mínimo: la mayoría de los sistemas; sin obligaciones específicas, pero conviene documentarlos igualmente.

La clasificación debe quedar justificada por escrito: si mañana un supervisor pregunta por qué un sistema no se trató como de alto riesgo, la respuesta debe estar en el expediente, no en la memoria de nadie.

4. Detectar usos sensibles desde el primer momento

Algunos contextos merecen revisión prioritaria aunque el grueso de requisitos de alto riesgo aún no sea exigible:

• Empleo y gestión de personas trabajadoras: selección, asignación de tareas, evaluación del desempeño o promoción figuran en el Anexo III. Véase nuestra página sobre IA en recursos humanos.
• Contenido generado y comunicación: etiquetado de contenido sintético y aviso de interacción con sistemas de IA. Véase transparencia en contenido de IA.
• Tratamientos con datos personales: el AI Act convive con el RGPD; la evaluación de impacto y las bases jurídicas siguen siendo necesarias.

5. Mantener el inventario vivo

Un inventario que no se actualiza se convierte en una foto del pasado. Conviene fijar tres mecanismos sencillos:

• Puerta de entrada: ningún sistema nuevo se incorpora sin pasar por el registro (alta, clasificación y responsable asignado antes del uso).
• Revisión periódica: al menos anual, y siempre que el proveedor anuncie cambios sustanciales de funcionalidad, porque una actualización puede cambiar la clasificación del sistema.
• Baja documentada: cuando un sistema se retira, queda constancia de la fecha, el motivo y el destino de los datos.

Conviene también revisar el inventario cada vez que el calendario normativo alcance un nuevo hito (diciembre de 2026, diciembre de 2027, agosto de 2028), porque sistemas hoy sin obligaciones específicas pueden pasar a tenerlas.

Del inventario a la gobernanza

El inventario no es un Excel que se archiva: es la base de datos viva de un sistema de gobernanza. Sobre él se apoyan, al menos, cuatro piezas:

1. 01Una política de uso de IA que fije qué herramientas están autorizadas, para qué finalidades, con qué datos y con qué revisión humana. Véase nuestra guía de servicio sobre política de uso de inteligencia artificial.
2. 02Roles y responsabilidades: quién aprueba la incorporación de un nuevo sistema, quién mantiene el inventario, quién responde ante una reclamación.
3. 03Alfabetización en IA (art. 4, ya exigible desde el 2-2-2025): formación adaptada al nivel de riesgo y a la función de cada equipo. Véase formación en inteligencia artificial.
4. 04Control contractual: cláusulas con proveedores que repartan responsabilidades de conformidad, información técnica y asistencia. Véase contratos de inteligencia artificial.

Errores habituales

• Empezar por la política y no por el censo: prohibir o autorizar en abstracto sin saber qué se usa.
• Confundir «uso interno» con «sin obligaciones»: el desplegador también tiene deberes, empezando por la alfabetización y la transparencia.
• Aplicar el Anexo III de forma mecánica: tras el Ómnibus, la clasificación exige análisis caso por caso (art. 6.5).
• Olvidar la IA embebida: muchas obligaciones llegarán por funcionalidades añadidas a software ya contratado.
• Tratar el inventario como proyecto cerrado: los sistemas cambian, se actualizan y se retiran; el inventario necesita mantenimiento periódico.

Cómo lo hacemos en Normolex

Normolex diseña e implanta sistemas de gobernanza de IA que parten del inventario y terminan en un circuito mantenible: censo y clasificación documentada, política de uso, formación y revisión contractual, alineados con el calendario real del Reglamento. Conozca el detalle en nuestra página de gobernanza y cumplimiento del AI Act o plantee su situación.