Inventario de sistemas de IA: la base de toda governance

¿Por qué necesitas un inventario de sistemas de IA?

Un inventario de sistemas de IA es el primer paso obligatorio — y no opcional — para cualquier organización que quiera cumplir el EU AI Act. Sin él, no es posible saber qué sistemas hay que clasificar, cuáles son de alto riesgo, quién es responsable de cada uno, ni qué obligaciones regulatorias aplican.

El artículo 60 del EU AI Act establece una base de datos europea donde proveedores y desplegadores deben registrar sus sistemas de IA de alto riesgo antes de ponerlos en servicio. Para inscribirse en esa base de datos, primero necesitas tener tu propio inventario interno completo.

Más allá del cumplimiento regulatorio, el inventario tiene valor organizacional inmediato: proporciona visibilidad sobre la IA en la sombra (shadow AI) — los sistemas de IA que empleados o departamentos usan sin conocimiento ni autorización del Comité —, permite asignar responsables claros a cada sistema, y facilita la toma de decisiones sobre qué sistemas mantener, actualizar o retirar.

ISO 42001 también requiere un inventario como punto de partida del sistema de gestión (controles A.8 y A.6): sin conocer qué sistemas existen y qué hacen, no es posible evaluar su impacto ni establecer los controles adecuados.

Qué registrar por cada sistema de IA

El nivel mínimo de información que debe capturar cada entrada del inventario incluye:

• Identificador único: código o ID interno que permite referenciar el sistema en toda la documentación de compliance.
• Nombre y descripción: nombre funcional del sistema y descripción de qué hace, qué problema resuelve y en qué contexto opera.
• Propósito y casos de uso: para qué se usa exactamente, qué decisiones automatiza o apoya, en qué procesos de negocio interviene.
• Responsable interno (owner): persona o función dentro de la organización que es accountable de la gestión del sistema. Esencial para las obligaciones del desplegador en el EU AI Act.
• Proveedor o desarrollador: si es un sistema de terceros (SaaS, API) o desarrollado internamente. Para terceros, incluir el nombre del proveedor y el contrato.
• Datos personales procesados: si el sistema procesa datos personales, qué categorías, con qué base legal (conexión directa con el RGPD).
• Nivel de riesgo EU AI Act: prohibido, alto, limitado o mínimo. Incluir la justificación y si se ha verificado el Anexo III.
• Estado de despliegue: en producción, en pruebas/piloto, en desarrollo, retirado.
• Fecha de alta y última revisión: para gestionar los ciclos de revisión periódica obligatorios.
• Área de negocio: departamento o área propietaria del sistema.

Para sistemas clasificados como alto riesgo, el inventario debe complementarse con la documentación técnica completa del Anexo IV del EU AI Act: descripción general, capacidades y limitaciones, datos de entrenamiento, metodología de desarrollo, métricas de rendimiento y medidas de supervisión humana.

Cómo construir el inventario: proceso paso a paso

1. Fase de descubrimiento

El mayor desafío no es documentar los sistemas conocidos, sino descubrir los que nadie ha catalogado. La fase de descubrimiento debe incluir:

• Revisión de contratos con proveedores de software: ¿hay cláusulas de uso de IA o machine learning?
• Encuesta a departamentos: ¿qué herramientas usan que incluyan funcionalidades de IA?
• Revisión de subscripciones SaaS activas: muchas herramientas de productividad (Copilot, Notion AI, Salesforce Einstein) incluyen IA sin que los equipos lo identifiquen como tal.
• Entrevistas con responsables técnicos: ¿hay modelos o scripts de ML desarrollados internamente?

2. Entrevistas con stakeholders

Para cada sistema identificado, la entrevista con el responsable del área busca capturar el propósito real de uso, los datos que maneja, quién toma las decisiones finales y si hay supervisión humana efectiva sobre las salidas del sistema.

3. Auditoría técnica

Para sistemas desarrollados internamente o integrados en infraestructura propia, la auditoría técnica verifica qué modelos se usan, qué datos de entrenamiento se han utilizado, qué versiones están en producción y si hay logs de actividad.

4. Monitorización continua

El inventario no es un proyecto de una vez: es un proceso continuo. Los sistemas de IA se añaden, se actualizan y se retiran constantemente. El proceso de alta de nuevos sistemas debe estar integrado en el ciclo de adquisición de software y en el proceso de desarrollo interno.

Errores comunes al construir el inventario

• Alcance incompleto: limitar el inventario a sistemas desarrollados internamente e ignorar las herramientas SaaS con IA integrada. La mayoría de la IA en uso empresarial hoy es IA de terceros contratada como servicio.
• Sin responsable asignado: registrar sistemas sin un owner claro hace el inventario inoperativo para compliance. Cada sistema necesita una persona accountable.
• Snapshot estático: hacer el inventario como un proyecto que se cierra y no se mantiene. Sin un proceso de actualización, el inventario se desactualiza en semanas.
• Infradocumentación de datos: no registrar qué datos personales procesa cada sistema hace imposible conectar el inventario con las obligaciones del RGPD y el registro de actividades de tratamiento.
• Clasificación optimista: asumir que un sistema es de riesgo mínimo sin verificar el Anexo III. La verificación formal de los 8 dominios del Anexo III debe documentarse para cada sistema.

Cómo Kaitalog automatiza el inventario

Kaitalog proporciona tres mecanismos para construir y mantener el inventario de forma continua:

• Agente conversacional de registro: cualquier empleado puede declarar un sistema de IA respondiendo preguntas en lenguaje natural. El agente extrae los metadatos estructurados y genera un borrador listo para validación del Comité. Sin formularios largos, sin fricción.
• Importación CSV/API: para organizaciones con inventarios parciales existentes en hojas de cálculo o sistemas CMDB, Kaitalog permite importar en masa y completar la información faltante.
• Ciclos de revisión automatizados: Kaitalog notifica a los responsables cuando un sistema debe ser revisado, actualizando automáticamente el estado del inventario y generando el historial de cambios auditable.