Inventario IA: primer paso del AI Act

Por qué el inventario es el documento más importante

Sin inventario, el resto del cumplimiento queda construido sobre arena. La clasificación de riesgo necesita saber qué sistemas existen para clasificarlos. La formación del Art. 4 necesita saber qué herramientas usa cada perfil. La política interna necesita listar las herramientas autorizadas. La auditoría externa necesita el inventario como punto de partida.

Por eso la AESIA, en sus criterios de inspección, considera el inventario como evidencia clave: si la empresa no puede mostrar un inventario actualizado, todo lo demás se interpreta como cumplimiento aparente, no real.

La buena noticia: hacer el inventario es relativamente barato (1 a 2 días internos para una PYME típica). La mala noticia: hacerlo mal o quedarse corto invalida todo el cumplimiento posterior.

La IA invisible que el 70% de PYMEs olvida inventariar

El error más común al hacer el inventario es limitarlo a las herramientas IA evidentes (ChatGPT, Copilot) y olvidar la IA invisible: componentes de IA integrados en SaaS que el usuario no percibe como 'IA' pero que técnicamente lo son.

• CRM con scoring de leads (Hubspot, Salesforce, Pipedrive con módulos IA): IA invisible.
• ATS con ranking automático de CV (Workable, Greenhouse, LinkedIn Recruiter): IA invisible.
• Email marketing con optimización de envío y subject (Mailchimp, ActiveCampaign, Brevo): IA invisible.
• Contabilidad con OCR de facturas (Holded, Quipu, Sage, A3): IA invisible.
• Atención al cliente con sentiment analysis y enrutamiento (Zendesk, Intercom, Helpscout): IA invisible.
• Microsoft 365 con Copilot integrado, aunque no esté activado explícitamente: IA invisible si la suscripción lo incluye.
• Plataformas de productividad con IA (Notion AI, Slack AI, Asana Intelligence): IA invisible.
• Sistemas de seguridad con detección de anomalías y SIEM con ML: IA invisible.

Plantilla mínima de campos del inventario

El inventario puede mantenerse en hoja de cálculo o herramienta especializada. Los campos mínimos por cada entrada son los siguientes.

• ID interno y nombre comercial del sistema.
• Proveedor y URL del producto.
• Versión (individual / empresarial / Enterprise).
• Departamento o función que lo usa.
• Propósito principal de uso (en una frase).
• Tipos de datos que procesa (personales, confidenciales, públicos).
• Volumen aproximado (número de usuarios, frecuencia, cantidad de datos).
• Si interactúa con personas externas (clientes, candidatos): sí/no.
• Si es determinante en alguna decisión: sí/no.
• Fecha de alta en el inventario y fecha de última revisión.

Mantener el inventario actualizado: ¿cómo hacerlo viable?

Un inventario inicial es relativamente fácil. Mantenerlo actualizado es donde la mayoría de PYMEs fracasan. Cada vez que el equipo prueba una herramienta nueva (lo que en 2026 ocurre una o dos veces al mes en promedio), el inventario queda desactualizado.

Tres prácticas que ayudan: vincular el inventario al proceso de aprobación de compras (cualquier suscripción nueva pasa por el responsable IA), revisión trimestral programada en el calendario, herramienta automatizada que detecte nuevas suscripciones en la tarjeta corporativa o en el directorio activo.

Las plataformas de cumplimiento AI Act incluyen este paso de actualización automática a partir de integraciones con M365, Google Workspace y plataformas de gestión de pagos. Reducen el coste de mantenimiento de varias horas mensuales a 5-10 minutos de revisión.

Empezar el inventario hoy: el wizard gratuito de AI Comply

Si tu PYME aún no tiene inventario o tiene uno desactualizado, el dashboard gratuito de AI Comply incluye un wizard que recorre los SaaS más comunes en España, detecta la IA invisible típica del sector de la empresa y deja el inventario inicial listo en aproximadamente 30 minutos.

El wizard cubre los componentes IA habituales en CRM, ATS, ERP, contabilidad, email marketing, atención al cliente y productividad. Para entradas no estándar, permite añadir manualmente con plantilla. El inventario queda guardado y disponible para los pasos siguientes del cumplimiento (clasificación, formación, política).