Inventario de sistemas de IA

Cómo usar este documento

• Para qué sirve. Es el registro único de toda la IA de la organización: herramientas que usa el personal, sistemas que integra o comercializa, agentes que actúan en sus sistemas y modelos que aloja, entrena o ajusta. Para cada entrada documenta finalidad, responsables, procedencia, alojamiento, datos, nivel de riesgo, versión, estado y controles. Clientes y auditores suelen pedirlo al inicio de una revisión.
• Registro único. Otros documentos no llevan inventarios propios: apuntan a este. El detalle técnico de cada modelo de terceros o de pesos abiertos se documenta en la «Ficha de procedencia de modelos de terceros y de pesos abiertos», y el ciclo de vida técnico de modelos y conjuntos de datos, según la «Política de inventario y ciclo de vida de modelos y datasets»; ambos se vinculan a la entrada de este inventario.
• Quién debe ser su dueño. El responsable de IA, con apoyo de seguridad de la información. Cada entrada tiene además un dueño del sistema que la mantiene. Indique el área en [ÁREA RESPONSABLE] y la persona en [RESPONSABLE].
• Decisiones previas. Decida dónde se lleva el inventario (hoja controlada, herramienta de gestión de activos o de gobierno), qué perfiles de despliegue tiene la organización (sección «Selección de módulos»), quién aprueba altas y bajas en cada carril de aprobación y cómo se conecta con compras y con TI.
• Campos a completar. Complete la vista resumen (sección 6) para todas las entradas; la ficha núcleo (secciones 5.1 y 5.2) para todas las de riesgo medio o alto; y los bloques de módulo (5.3 a 5.5) según el tipo de entrada.
• Variantes por país. Conserve las variantes de Unión Europea, España, Perú, Ecuador o Estados Unidos que correspondan a los lugares donde opera, y añada a la ficha los campos que indiquen. Elimine las demás.
• Revisión. Pida a Legal o a su asesor que confirme qué campos y plazos de conservación prevén las normas que le aplican; los campos [COMPLETAR] de las variantes señalan puntos que conviene confirmar.
• Aprobación y uso. Haga que el comité de IA (o la dirección, en una organización pequeña) apruebe la estructura del inventario, registre la aprobación en «Control de versiones» y comunique a las áreas que ninguna herramienta, sistema, agente o modelo pasa a piloto o producción sin estar registrado.

Selección de módulos

Perfil o nivel	Secciones que conserva
Todos	Secciones 1 a 4, 5.1, 5.2, 6 a 11
P1: usa IA dentro de software que compra	Núcleo; en 5.2 bastan desarrollador, país, modalidad de alojamiento y condiciones de la cuenta
P2: integra modelos por API o RAG	Núcleo, con todos los campos de 5.2
P3: aloja modelos en infraestructura propia o alquilada	Núcleo y 5.3
P4: entrena o ajusta modelos	Núcleo y 5.4
P5: usa agentes que actúan en sistemas	Núcleo y 5.5
Nivel Básico	Vista resumen para todas las entradas; ficha núcleo solo para las de riesgo medio o alto
Niveles Estándar y Reforzado	Vista resumen y ficha completa con los módulos que correspondan

Los perfiles son acumulativos: una organización puede ser P1, P2 y P5 a la vez. Elimine los módulos que no apliquen.

Inventario de sistemas de IA

Campo	Valor
Organización	[RAZÓN SOCIAL]
Área propietaria	[ÁREA RESPONSABLE]
Responsable del inventario	[RESPONSABLE]
Aprobado por	[APROBADO POR]
Fecha de entrada en vigor	[FECHA]
Frecuencia de revisión del inventario completo	[FRECUENCIA DE REVISIÓN]
Ubicación del inventario	[COMPLETAR]
Contacto	[EMAIL DE GOBERNANZA DE IA]

1. Propósito

1.1 Este inventario identifica toda la IA de [NOMBRE DE LA ORGANIZACIÓN] y documenta, para cada entrada, su finalidad, responsables, procedencia, alojamiento, funcionamiento, datos, impactos, nivel de riesgo, versión, estado y controles.

1.2 Sirve para: conocer y controlar el uso de IA; detectar usos no autorizados y duplicados; saber de dónde viene cada modelo y dónde se ejecuta; priorizar evaluaciones, supervisión y auditorías; responder a clientes, auditores y autoridades; y conectar cada entrada con sus evaluaciones, contratos, incidentes y decisiones.

2. Qué se registra

2.1 Se registra toda IA que se use con información o en procesos de la organización. Cada entrada tiene uno de estos tipos:

Tipo de entrada	Qué incluye	Ejemplos
Herramienta	Aplicación o función de IA que usa el personal, incluidas las funciones de IA activadas en software ya contratado	Asistente de chat corporativo, copiloto de ofimática, transcripción de reuniones
Sistema	Solución que combina uno o varios modelos con datos, reglas e interfaces para una finalidad concreta, propia o de un tercero, incluida la que la organización comercializa	Chatbot de atención al cliente, motor de puntuación, buscador con RAG
Agente	Sistema que planifica y ejecuta acciones en otros sistemas con cierto grado de autonomía	Agente que envía correos, gestiona tickets, compra o ejecuta código
Modelo	Modelo de IA que la organización consume por API, aloja, entrena o ajusta, cuando se gestiona como activo propio	Modelo de lenguaje por API, modelo de pesos abiertos autoalojado, modelo ajustado

2.2 También se registran los pilotos y pruebas que usen datos o procesos reales.

2.3 Cuando varios componentes, modelos o agentes producen juntos un resultado, se registra un sistema y se enumeran sus componentes; cada modelo o agente que tenga su propio dueño, versión o permisos tiene además su propia entrada, vinculada al sistema.

2.4 En la sección 7 se registran los casos de uso rechazados y los usos no autorizados detectados, con su resolución.