Reglario English

Cómo hacer el inventario de IA de tu empresa

23 de octubre de 2026 · Fuentes comprobadas el 23 de octubre de 2026.

Casi todas las empresas usan ya inteligencia artificial de terceros: un asistente de chat, una herramienta que criba currículos, un sistema de atención al cliente, un generador de imágenes. El Reglamento europeo de IA (Reglamento (UE) 2024/1689, modificado por el Reglamento (UE) 2026/1744) trata a esa empresa como «responsable del despliegue»: quien utiliza un sistema de IA bajo su propia autoridad, salvo en una actividad personal no profesional (art. 3, punto 4). No es el proveedor, que es quien desarrolla el sistema y lo pone en el mercado con su nombre (art. 3, punto 3), y por eso sus obligaciones son menos y más concretas.

Para saber cuáles te tocan hace falta una cosa antes que nada: una lista. Este artículo explica cómo hacerla en seis pasos. Resume el texto oficial del Reglamento tal como rige hoy, con el artículo de cada dato; no interpreta y no constituye asesoramiento jurídico.

Paso 1: lista lo que usas

Apunta cada herramienta con inteligencia artificial que use la empresa, también las que vienen dentro de otro producto (el asistente del CRM, el corrector del procesador de textos, el filtro de la centralita). Para cada una:

El Reglamento define «sistema de IA» de forma amplia: un sistema basado en una máquina, con distintos niveles de autonomía, que infiere de la información que recibe cómo generar predicciones, contenidos, recomendaciones o decisiones (art. 3, punto 1). Ante la duda, apúntalo: es más fácil retirar una fila que descubrir en una auditoría interna que faltaba.

Paso 2: comprueba que ningún uso está prohibido

El art. 5 prohíbe desde el 2 de febrero de 2025 ciertas prácticas, y algunas afectan a usos que una empresa podría contratar sin pensarlo: inferir las emociones de las personas en el lugar de trabajo o en centros educativos, salvo por motivos médicos o de seguridad (letra f); la puntuación social (letra c); la categorización biométrica para deducir raza, opiniones políticas, afiliación sindical, convicciones religiosas o filosóficas, vida sexual u orientación sexual (letra g); crear o ampliar bases de datos de reconocimiento facial extrayendo imágenes de internet o de cámaras sin selección (letra e); las técnicas subliminales o manipuladoras (letra a) y la explotación de vulnerabilidades por edad, discapacidad o situación social o económica (letra b).

Desde el 2 de diciembre de 2026 se suman dos letras nuevas, añadidas por el Reglamento 2026/1744: generar o manipular imágenes, vídeos o audios sexualmente explícitos de una persona identificable sin su consentimiento (letra b bis) y material o espectáculos en el sentido del art. 2, letras c) y e), de la Directiva 2011/93/UE, sobre los abusos sexuales y la explotación sexual de los menores y la pornografía infantil, salvo que se aplique una defensa de «forma ilícita» del Derecho nacional (letra b ter). Para el responsable del despliegue, el uso de un sistema solo está prohibido cuando lo utiliza con ese fin (art. 5, apartado 1 bis, letra b).

En el inventario, anota para cada sistema que has hecho esta revisión y la fecha. Si encuentras una práctica prohibida, el nivel del sistema es «prohibido» y manda sobre todo lo demás.

Paso 3: mira si entra en el anexo III (alto riesgo)

Un sistema es de alto riesgo cuando está en uno de los ocho ámbitos del anexo III (art. 6, apartado 2): biometría; infraestructuras críticas; educación y formación profesional; empleo, gestión de los trabajadores y acceso al autoempleo; acceso a servicios privados esenciales y a servicios y prestaciones públicos esenciales; garantía del cumplimiento del Derecho; migración, asilo y control fronterizo; administración de justicia y procesos democráticos. Para una pyme, el caso típico es el punto 4: sistemas que seleccionan candidatos, filtran solicitudes o evalúan a las personas en el trabajo.

Hay una excepción (art. 6, apartado 3): el sistema no se considera de alto riesgo si no plantea un riesgo importante para la salud, la seguridad o los derechos fundamentales, porque hace una tarea de procedimiento limitada, mejora el resultado de una actividad humana previa, detecta patrones sin sustituir la valoración humana o hace una tarea preparatoria. Pero nunca se aplica si el sistema elabora perfiles de personas físicas. Quien decide si la excepción se cumple es el proveedor, que debe documentar su evaluación y registrarse (art. 6, apartado 4); tú puedes pedirle esa clasificación y anotarla en el inventario junto a la tuya, siempre rotulada como orientativa.

Las obligaciones del alto riesgo del anexo III se aplican desde el 2 de diciembre de 2027 (art. 113, párrafo tercero, letra c), inciso i). Para un responsable del despliegue son las del art. 26: usar el sistema según las instrucciones del proveedor (apartado 1); encargar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias (apartado 2); cuidar que los datos de entrada sean pertinentes y representativos en lo que controles (apartado 4); vigilar el funcionamiento, avisar al proveedor y suspender el uso si hay motivos (apartado 5); conservar los registros que genere el sistema al menos seis meses (apartado 6); informar a los representantes de los trabajadores y a los trabajadores antes de usarlo en el lugar de trabajo (apartado 7); informar a las personas sobre las que se tomen decisiones o se ayude a tomarlas (apartado 11); y cooperar con las autoridades (apartado 12).

Hay un segundo camino al alto riesgo, menos frecuente en una pyme que solo usa software: los sistemas que son componente de seguridad de un producto regulado por la legislación de armonización del anexo I, como máquinas o productos sanitarios, o que son ellos mismos uno de esos productos, cuando ese producto debe pasar una evaluación de la conformidad de terceros (art. 6, apartado 1, con las precisiones de los apartados 1 bis a 1 quater); se aplican desde el 2 de agosto de 2028.

Paso 4: revisa las obligaciones de transparencia

Aunque el sistema no sea de alto riesgo, el art. 50 impone al responsable del despliegue tres obligaciones que se aplican desde el 2 de agosto de 2026:

En el inventario, dos casillas por sistema (¿reconoce emociones o categoriza biométricamente? ¿publica ultrafalsificaciones o textos de interés público?) bastan para saber a qué sistemas se aplica.

Paso 5: formación y evidencias

El art. 4, con la redacción del Reglamento 2026/1744, pide a proveedores y responsables del despliegue «medidas para apoyar la promoción de la alfabetización en materia de IA» de su personal y de quien use los sistemas en su nombre, teniendo en cuenta sus conocimientos, el contexto de uso y las personas afectadas; no exige un nivel concreto de ninguna persona en particular, y la Comisión publicará ejemplos prácticos de cómo cumplirlo. Se aplica desde el 2 de febrero de 2025. Registra qué formación ha recibido cada equipo y para qué sistemas.

Guarda también las evidencias: las instrucciones de uso del proveedor, su clasificación del sistema, los avisos de transparencia que hayas publicado, la información dada a los trabajadores y a sus representantes, los contratos. Enlázalas a cada sistema: cuando alguien pregunte, la respuesta está a un clic.

Paso 6: ponle fecha y repásalo

Un inventario sin fecha de revisión se queda viejo sin que nadie lo note. Apunta cuándo revisaste cada sistema y repásalo cada seis meses o cuando cambie algo: un sistema nuevo, un uso nuevo, un cambio del proveedor o una fecha del calendario del Reglamento que llega. Las próximas son el 2 de diciembre de 2026 (nuevas prohibiciones del art. 5), el 2 de diciembre de 2027 (alto riesgo del anexo III) y el 2 de agosto de 2028 (alto riesgo del anexo I).

Con qué hacerlo

Sirve una hoja de cálculo. Si prefieres no montarla, la plantilla de Notion «Inventario de sistemas de IA» de Reglario trae estas bases ya conectadas (sistemas, proveedores, obligaciones, prácticas prohibidas, calendario, formación y evidencias), con cada dato normativo resumido del texto oficial, su artículo, el enlace y la fecha en que se comprobó, y un nivel orientativo que se calcula con lo que respondes sobre cada sistema: Inventario de IA.

Herramienta de organización documental basada en textos oficiales; no constituye asesoramiento jurídico. Cómo se aplica el Reglamento a tu caso lo decide tu asesor o tu delegado de protección de datos.

Fuentes (abiertas el 23 de octubre de 2026)

Avisos por correo

Un correo cuando cambie una norma que usan las plantillas, salga una versión nueva o se publique un artículo. Te llegará un correo para confirmar el alta, y cada envío lleva un enlace para darte de baja. Cómo se tratan los datos: Privacidad.