El inventario de IA es el registro de todos los sistemas y casos de uso de IA de una organización: qué hacen, quién responde, qué datos usan, a quién afectan y su riesgo. Es la base de cualquier programa de gobernanza de IA, de la ley de IA de la UE a la ISO/IEC 42001: sin saber qué existe, no se puede clasificar, evaluar ni supervisar. Aquí la ficha de entrada se vuelve una fila del registro.
Cómo usar
- Pon nombre al caso de uso e indica el rol responsable y el área.
- Describe la finalidad, el tipo de sistema, el proveedor y la fase del ciclo de vida.
- Marca los datos usados, las personas afectadas y el peso del sistema en la decisión.
- Indica el nivel preliminar de la ley de IA, la supervisión humana y la fecha de la próxima revisión.
- Lee la calificación de riesgo y los pendientes y exporta la fila en CSV para la hoja de cálculo del inventario, o la ficha en DOCX.
Qué pide cada campo
| Campo | Qué completar |
|---|---|
| Nombre del caso de uso | Un nombre corto que todos en la organización reconozcan. |
| Rol responsable | El cargo de quien responde por el caso de uso, no el nombre de la persona. |
| Área | Ej.: Recursos Humanos |
| Descripción y finalidad | Qué hace el sistema, para qué y quién usa el resultado. |
| Tipo de sistema | |
| Proveedor | Opcional. Quién suministra el sistema, si es de terceros. |
| Fase del ciclo de vida | |
| Datos usados | Marca todos los tipos de datos que el sistema recibe o genera. |
| Personas afectadas | Quién se ve afectado por los resultados del sistema. |
| Peso en la decisión | Cuánto decide el resultado del sistema sobre las personas. |
| Nivel preliminar de la ley de IA | Si no lo sabes, déjalo como todavía sin clasificar y usa el clasificador. |
| Medidas de supervisión humana | Quién revisa, cuándo y con qué poder para cambiar el resultado. |
| Próxima revisión | Fecha en que se revisará el registro. |
Ejemplo
Una empresa ficticia de logística, Logística Nordvale, registra un piloto de selección de currículums para vacantes de almacén, comprado a un proveedor de software de reclutamiento. El sistema usa datos personales de postulantes y recomienda, con revisión de una reclutadora, y el nivel preliminar marcado es alto riesgo. La herramienta da una calificación de riesgo interna alta y lista tres pendientes: realizar la evaluación de impacto relativa a la protección de datos, aplicar el cuestionario de diligencia debida al proveedor y asegurar la alfabetización en IA de quienes operan el sistema.
Cuándo usar
- Al armar el primer inventario de IA, área por área.
- Cuando alguien propone un nuevo uso de IA o un piloto con un proveedor.
- Para llevar al registro los usos de IA no autorizados detectados en la organización.
- En la revisión periódica del inventario, para actualizar fase, datos y supervisión.
Preguntas frecuentes
¿Qué debe incluir un inventario de IA?
Como mínimo: nombre y finalidad del caso de uso, rol responsable, tipo de sistema y proveedor, fase del ciclo de vida, datos usados, personas afectadas, peso en la decisión, clasificación de riesgo, medidas de supervisión humana y fecha de revisión. La herramienta genera esas columnas.
¿Cómo se calcula la calificación de riesgo interna?
Con reglas simples: alta cuando el nivel de la ley de IA es alto riesgo o prohibido, cuando hay decisiones automáticas con datos personales, cuando se afecta a menores con datos personales o cuando los datos sensibles pesan en la decisión. Media cuando hay datos personales, decisiones automáticas, una obligación de transparencia o falta de clasificación en producción. El resto es baja.
¿El inventario de IA es obligatorio?
La ley de IA de la UE no usa ese nombre, pero las obligaciones de proveedores y responsables del despliegue suponen saber qué sistemas existen y en qué nivel cae cada uno. La ISO/IEC 42001 y el NIST AI RMF también parten de ese mapeo.
¿Cómo junto varias fichas en una hoja de cálculo?
Exporta cada ficha en CSV: el archivo tiene una fila de encabezado y una fila de registro, siempre con las mismas columnas. Pega las filas de registro, una debajo de otra, en la hoja de cálculo del inventario.
¿El resultado es asesoría legal?
No. Es una herramienta educativa, y la calificación de riesgo es una indicación interna. La clasificación según la ley de IA y las evaluaciones de impacto deben validarse con quien responde por el cumplimiento en tu organización.
¿Qué certificación de DPCert cubre el inventario de IA?
La RAIF (Responsible AI Foundation), de nivel inicial, trata los roles y la rendición de cuentas en el uso de IA. La RAIP (Responsible AI Practitioner) profundiza en el ciclo de vida y el inventario de sistemas de IA.