Antes de formar a la plantilla, redactar una política o informar a los trabajadores de un algoritmo, necesitas saber qué inteligencia artificial usa tu empresa. En la mayoría de las pymes nadie tiene esa lista: un ChatGPT Team contratado por marketing, un Copilot que vino con la renovación de Microsoft 365, un software de cuadrantes con planificación automática y varias cuentas gratuitas sin declarar. El inventario de sistemas de IA es el documento que pone orden y del que cuelgan casi todas las demás obligaciones. Esta guía explica cómo hacerlo en una tarde.
Por qué es el documento base
Ninguna norma dice literalmente «haz un inventario», pero varias obligaciones lo dan por hecho. El artículo 4 del Reglamento (UE) 2024/1689, aplicable desde el 2 de febrero de 2025, pide a cualquier empresa que usa IA tomar medidas para apoyar la alfabetización de su personal según los sistemas que utiliza; no puedes formar sobre lo que no sabes que tienes. El artículo 50, desde el 2 de agosto de 2026, obliga a etiquetar deepfakes y ciertos textos generados por IA y a avisar cuando alguien habla con un chatbot; necesitas saber qué herramientas generan contenido y cuáles atienden a clientes. El artículo 26, desde el 2 de diciembre de 2027 tras el Digital Omnibus, exige a quien usa sistemas de alto riesgo en RRHH supervisión humana, registros e información previa a los trabajadores; el primer paso es saber si tienes alguno.
Fuera del Reglamento de IA hay dos más que se aplican ya. El Real Decreto 723/2026, en vigor desde el 5 de octubre de 2026, obliga a informar por escrito a cada trabajador de los sistemas algorítmicos que decidan o propongan sobre horarios, tareas, retribución, promoción, lugar de trabajo o extinción. Y el RGPD exige un registro de actividades de tratamiento (art. 30), un contrato de encargado con el proveedor cuando la IA trata datos personales (art. 28) y, a veces, una evaluación de impacto (art. 35). Si haces bien el inventario una vez, el resto de documentos son filtros sobre esa misma tabla.
Qué campos debe tener (plantilla)
Una hoja de cálculo es suficiente. Estos son los campos que recomendamos, con lo que responde cada uno y para qué obligación sirve.
| Campo | Qué anotar | Para qué sirve |
|---|---|---|
| Herramienta | Nombre comercial del sistema o función (no «Microsoft», sino «Microsoft 365 Copilot»). | Identificación básica. |
| Proveedor | Empresa que lo presta y país; si está integrado en otro software, indícalo. | Contrato de encargado, transferencias (RGPD). |
| Versión o plan | Gratuito, personal, Team, Enterprise, API; fecha de contratación. | Saber si hay acuerdo de tratamiento de datos y uso para entrenamiento. |
| Usuarios y departamento | Quién lo usa y cuántas cuentas hay. | Alfabetización (art. 4), bajas de acceso. |
| Finalidad | Para qué se usa de verdad, en una frase. | Base jurídica, transparencia (art. 50). |
| Datos tratados | Ninguno personal / clientes / empleados / candidatos / categorías especiales. | RGPD: arts. 28, 30, 35. |
| Decide o propone sobre personas | No / propone / decide, y sobre qué (turnos, selección, evaluación, crédito). | RD 723/2026, art. 64.4.d ET, art. 22 RGPD, art. 26 RIA. |
| Clasificación de riesgo | Prohibido / alto riesgo (Anexo III) / obligación de transparencia / riesgo mínimo. | Reglamento de IA, arts. 5, 6, 50. |
| Obligaciones activadas | Lista corta: contrato art. 28, EIPD, anexo RD 723, etiquetado art. 50, formación. | Plan de acción. |
| Responsable interno | Persona que responde de la herramienta y de mantener la fila. | Gobernanza. |
| Fecha de revisión | Última revisión y próxima prevista (semestral como mínimo). | Evidencia ante AEPD, Inspección o AESIA. |
No intentes rellenar la clasificación de riesgo con precisión jurídica el primer día. Marca «revisar» en las dudas y sigue. Es mejor un inventario completo con tres dudas que uno perfecto con la mitad de las herramientas.
Cómo descubrir la IA que nadie ha declarado
El problema real no es lo que has contratado, sino lo que la gente usa por su cuenta: el «shadow AI». Dos fuentes bastan para aflorarlo. La primera, una encuesta anónima de cinco preguntas a toda la plantilla, dejando claro que responder con sinceridad no tendrá consecuencias:
- ¿Qué herramientas de IA has usado en el trabajo en los últimos tres meses (ChatGPT, Gemini, Copilot, Claude, traductores, generadores de imagen, asistentes dentro de otros programas)?
- ¿Con qué cuenta: personal gratuita, personal de pago o cuenta de empresa?
- ¿Para qué tareas las usas con más frecuencia?
- ¿Has subido alguna vez datos de clientes, empleados, candidatos o documentos internos?
- ¿Qué herramienta te gustaría que la empresa contratara oficialmente?
La segunda es el dinero. Revisa extractos de tarjetas de empresa y gastos reembolsados de los últimos doce meses buscando suscripciones a OpenAI, Anthropic, Google, Midjourney, Notion AI, Canva, Otter y similares; pregunta a quien administre Microsoft 365 o Google Workspace qué funciones de IA están activadas; y pide a los proveedores de RRHH, contabilidad, CRM o atención al cliente que confirmen por escrito si han incorporado IA o automatización de decisiones en las últimas versiones. Muchas herramientas de cuadrantes o selección las activan por defecto.
Dos filas de ejemplo
| Campo | Ejemplo 1: ChatGPT Team | Ejemplo 2: software de cuadrantes |
|---|---|---|
| Herramienta | ChatGPT Team | Módulo de planificación automática de turnos |
| Proveedor | OpenAI (EE. UU.), con opción de residencia de datos en la UE | Proveedor español de software de RRHH |
| Versión o plan | Team, 12 licencias, contratado marzo 2026, acuerdo de tratamiento de datos aceptado | Plan Pro, módulo activado en la actualización de junio 2026 |
| Usuarios y departamento | Marketing (5), administración (4), dirección (3) | Responsable de tienda y RRHH (2); afecta a 38 trabajadores |
| Finalidad | Redacción de textos, resúmenes, propuestas comerciales | Proponer el cuadrante semanal según disponibilidad, contrato y previsión de ventas |
| Datos tratados | Clientes (correos, nombres) y documentos internos; nunca categorías especiales | Empleados: contrato, jornada, disponibilidad, ausencias |
| Decide o propone sobre personas | No | Propone; la responsable valida cada semana |
| Clasificación de riesgo | Riesgo mínimo; transparencia art. 50 si se publican textos sobre asuntos de interés público sin revisión | Revisar: posible alto riesgo Anexo III (gestión de trabajadores) desde 2-dic-2027 |
| Obligaciones activadas | Contrato art. 28 (hecho), registro art. 30, formación art. 4, política de uso | Anexo RD 723/2026 antes del 5-oct-2026, art. 64.4.d ET si hay comité, EIPD, formación, preparar art. 26 |
| Responsable interno | Directora de marketing | Responsable de RRHH |
| Fecha de revisión | 15-sep-2026 / marzo 2027 | 15-sep-2026 / diciembre 2026 |
Ojo con los chatbots en marca blanca. Si has puesto en tu web un asistente de un proveedor con tu nombre y tu logo, o lo has modificado de forma sustancial, el artículo 25 del Reglamento de IA puede convertir a tu empresa en proveedor del sistema, con las obligaciones del artículo 50.1 de informar de que se habla con una IA. Anótalo en la fila con una marca específica.
Cómo mantenerlo vivo
Un inventario que nadie toca en un año vale poco, porque los proveedores añaden funciones de IA cada pocos meses. Tres hábitos lo mantienen al día: que cualquier alta de software pase por la persona responsable (una fila nueva antes de contratar), que cada fila se revise en la fecha prevista y que la encuesta se repita una vez al año. El inventario es además la base del registro interno que la Comisión Europea considera suficiente como evidencia de las medidas de alfabetización del artículo 4: qué sistemas tienes, quién los usa y qué formación ha recibido. Cómo montar esa formación lo explicamos en la guía sobre el artículo 4.
Checklist para hacerlo esta semana
- Nombra a una persona responsable del inventario y crea la hoja con los once campos.
- Envía la encuesta de cinco preguntas y da una semana para responder.
- Revisa gastos de tarjeta y reembolsos de los últimos doce meses buscando suscripciones de IA.
- Pregunta a los proveedores de RRHH, CRM y atención al cliente qué funciones de IA tienen activadas.
- Rellena una fila por herramienta y marca en rojo las que deciden o proponen sobre personas.
- Para cada fila en rojo, comprueba contrato de encargado, EIPD y anexo del RD 723/2026 antes del 5 de octubre de 2026.
- Fija una fecha de revisión por fila y ponla en el calendario.
Si prefieres empezar con una versión guiada, el diagnóstico gratuito de Gobernaia te pregunta por las herramientas que usas y te devuelve la lista de obligaciones que activa cada una.
Preguntas relacionadas
- Cláusula de IA para contratos con proveedores
- Modelo de anexo informativo sobre sistemas algorítmicos (RD 723/2026)
Fuentes
- Reglamento (UE) 2026/1744 (Digital Omnibus de IA), que modifica el Reglamento (UE) 2024/1689
- Comisión Europea: preguntas y respuestas sobre alfabetización en IA (art. 4)
- Comisión Europea: obligaciones de transparencia del art. 50
- Real Decreto 723/2026, de 9 de septiembre (BOE 15-09-2026)
- AEPD: Adecuación al RGPD de tratamientos que incorporan inteligencia artificial
- AESIA: guías de recursos (v2.0, 17 de julio de 2026)
Última revisión: 15 de septiembre de 2026. Esta guía es informativa y no sustituye el asesoramiento jurídico.