Inventario de sistemas de IA: el requisito del EU AI Act que toda organización debe cumplir
Si tu organización usa herramientas de IA, y casi todas lo hacen en 2026, probablemente estás sentado sobre una bomba de tiempo de cumplimiento. El EU AI Act, los estándares australianos de seguridad de IA y los marcos globales emergentes exigen que las organizaciones sepan qué sistemas de IA están usando, quién los usa y qué datos manejan.
¿El problema? La mayoría de las organizaciones no tienen ni idea.
Una encuesta de 2025 encontró que el 78% de los equipos de TI empresariales no podían nombrar con precisión todas las herramientas de IA que sus empleados usaban activamente. La IA en la sombra, el uso de herramientas de IA no autorizadas fuera de la visibilidad de TI, ha hecho casi imposible mantener un inventario adecuado de sistemas de IA solo con procesos manuales.
Esta guía cubre qué es un inventario de sistemas de IA, por qué ahora es un requisito legal en muchas jurisdicciones y cómo construir uno antes de que los reguladores (o atacantes) lo exijan.
¿Qué es un inventario de sistemas de IA?
Un inventario de sistemas de IA es un catálogo estructurado de cada sistema de inteligencia artificial en uso en tu organización. Esto incluye:
- **Herramientas autorizadas** aprobadas y desplegadas por TI (Microsoft Copilot, ChatGPT Enterprise, Salesforce Einstein)
- **Herramientas de IA en la sombra** que los empleados usan independientemente (cuentas personales de ChatGPT, Claude, Gemini, Perplexity)
- **IA integrada** dentro de plataformas SaaS existentes (Grammarly, Notion AI, Zoom AI companion)
- **Modelos personalizados** desarrollados internamente o por proveedores externos
- **Agentes y automatizaciones de IA** que ejecutan tareas programadas o activadas por eventos
Para cada sistema, un inventario completo debe capturar: nombre y versión de la herramienta de IA, los datos que procesa, quién tiene acceso, qué decisiones influye, el proveedor y términos contractuales de manejo de datos, y la clasificación de riesgo.
Por qué el inventario de sistemas de IA es ahora un requisito legal
Ley de IA de la UE
El EU AI Act, que entró en vigor en agosto de 2024 y se aplica plenamente desde 2026, exige explícitamente que las organizaciones que despliegan o usan sistemas de IA mantengan documentación de esos sistemas. Para sistemas de IA de alto riesgo, que cubren áreas como decisiones laborales, puntuación crediticia, identificación biométrica e infraestructura crítica, la documentación técnica detallada y el registro son obligatorios.
Las organizaciones que no puedan demostrar qué sistemas de IA operan enfrentan multas de hasta 15 millones de euros o el 3% de la facturación anual global por incumplimiento.
Estándares de seguridad de IA en Australia
El estándar voluntario de seguridad de IA del gobierno australiano (2024) y el marco obligatorio entrante para casos de uso de IA de alto riesgo enfatizan la transparencia y la responsabilidad, que comienzan con saber qué tienes. La Australian Signals Directorate (ASD) también ha señalado la gobernanza de IA como prioridad para organizaciones sujetas al marco Essential Eight.
ISO 42001
ISO 42001, la norma internacional para sistemas de gestión de IA publicada en diciembre de 2023, requiere que las organizaciones establezcan, implementen, mantengan y mejoren continuamente un sistema de gestión de IA, que depende fundamentalmente de un inventario completo de sistemas de IA en alcance.
GDPR y la Ley de Privacidad australiana
Cualquier herramienta de IA que procese datos personales está sujeta a regulaciones de privacidad. Sin un inventario, no puede realizar las Evaluaciones de Impacto en la Protección de Datos (DPIA) requeridas, no puede responder con precisión a las solicitudes de acceso de los interesados y no puede demostrar cumplimiento. Según las reformas de la Ley de Privacidad de Australia, la información personal procesada por herramientas de IA de terceros sigue siendo responsabilidad de la organización que la recopila.
El Problema de la IA en la Sombra
Aquí está la incómoda realidad: los enfoques tradicionales para construir un inventario de sistemas de IA no funcionan.
Un proceso manual, pedir a los jefes de departamento que enumeren sus herramientas de IA, revisar registros de compras, auditar listas de software aprobado, pasará por alto la mayoría del uso de IA en su organización. Los empleados usan rutinariamente cuentas personales para herramientas de IA, extensiones de navegador con IA integrada o acceden a funciones de IA dentro de herramientas que TI no sabía que tenían capacidades de IA.
La investigación muestra consistentemente que los empleados usan de 3 a 5 herramientas de IA que TI no puede detectar. En organizaciones grandes, el número de puntos de contacto de IA no descubiertos puede llegar a cientos.
Esto crea un problema directo de cumplimiento. Si su inventario de sistemas de IA se basa solo en auto-informes y datos de compras, estará incompleto, y un inventario incompleto no protege durante una auditoría regulatoria o investigación de una brecha de datos.
Cómo Construir un Inventario Preciso de Sistemas de IA
Paso 1: Descubrir Qué Se Está Usando
Antes de catalogar sistemas de IA, debe encontrarlos. Esto requiere un descubrimiento activo en tres vectores:
Análisis de tráfico de red y DNS - Las herramientas de IA hacen llamadas API salientes a puntos finales reconocibles (api.openai.com, claude.ai, gemini.google.com, etc.). Analizar el tráfico saliente revela qué herramientas están en uso activo, incluso cuentas personales.
Auditorías de extensiones y plugins del navegador - Muchas herramientas de IA operan completamente a través de extensiones del navegador (Grammarly, Otter.ai, Monica AI). Una auditoría estándar de software no las detectará.
Revisiones de funciones de IA en plataformas SaaS - Plataformas como Salesforce, HubSpot, Notion, Zoom y Microsoft 365 han lanzado funciones de IA que pueden estar activas por defecto. Revise las capacidades de IA de cada plataforma y verifique si están habilitadas.
Programas de divulgación de empleados - Cree un proceso seguro y no punitivo para que los empleados revelen las herramientas de IA que usan. Facilítelo y preséntelo como apoyo, no como vigilancia.
Paso 2: Clasificar Cada Sistema de IA Según Riesgo
No todas las herramientas de IA tienen el mismo peso en cumplimiento. Una vez descubiertos, clasifique cada sistema:
- **Riesgo crítico**: IA usada en decisiones que afectan a personas (contratación, préstamos, gestión del desempeño, control de acceso)
- **Alto riesgo**: IA que procesa datos sensibles o personales a gran escala (análisis de datos de clientes, registros médicos, datos financieros)
- **Riesgo medio**: IA usada en flujos de trabajo internos con exposición limitada a datos personales
- **Bajo riesgo**: IA usada para productividad general sin entrada de datos sensibles (resumen de contenido público, asistencia en codificación con datos sanitizados)
Paso 3: Documentar Flujos de Datos para Cada Sistema
Para cada herramienta de IA catalogada, documente:
- Qué tipos de datos se ingresan (datos personales, datos comerciales confidenciales, propiedad intelectual)
- Dónde se almacenan y procesan esos datos (servidores del proveedor, ubicación geográfica, periodo de retención)
- Si los datos se usan para entrenar modelos del proveedor
- Quién tiene acceso a los resultados
Esta documentación forma la base de sus obligaciones DPIA bajo el RGPD y la Ley de Privacidad australiana.
Paso 4: Implementar Monitoreo Continuo
Un inventario de sistemas de IA no es una auditoría puntual, es un documento vivo. Nuevas herramientas de IA aparecen semanalmente. Las plataformas SaaS existentes añaden funciones de IA constantemente. Los empleados cambian su uso de herramientas.
El monitoreo efectivo requiere descubrimiento automatizado que escanee continuamente nuevos puntos de contacto de IA en lugar de depender de auditorías manuales periódicas. Sin automatización, su inventario estará desactualizado en semanas.
Paso 5: Establecer un Marco de Gobernanza
Una vez que sabe qué sistemas de IA existen y cómo se usan, necesita un marco de gobernanza para gestionarlos:
- Una política de uso aceptable de IA que defina qué herramientas están aprobadas y cómo pueden usarse
- Un proceso para que los empleados soliciten aprobación para nuevas herramientas de IA
- Reglas claras de manejo de datos (qué se puede y no se puede ingresar en herramientas de IA)
- Ciclos regulares de revisión para actualizar clasificaciones conforme evolucionan las herramientas
Cómo Debe Ser un Inventario de Sistemas de IA
Una entrada bien estructurada en un inventario de sistemas de IA podría verse así:
Herramienta: ChatGPT (cuentas personales, OpenAI) Estado: IA en la sombra - no autorizada Datos procesados: Correos electrónicos de clientes (confirmado), documentación interna (sospechada) Clasificación de riesgo: Alta - exposición de datos personales Política de datos del proveedor: Los datos pueden usarse para entrenamiento de modelos salvo exclusión (se requiere nivel Enterprise) Usuarios: Estimado 40+ empleados en Ventas, Soporte, Marketing Acción requerida: Aplicar nivel Enterprise con DPA, o bloquear acceso a cuentas personales Última revisión: marzo 2026
El Costo de No Tener un Inventario
Las consecuencias de una gobernanza inadecuada de IA no son teóricas. En 2025, varias empresas europeas recibieron acciones de cumplimiento del RGPD relacionadas con el uso de herramientas de IA por empleados que no habían sido evaluadas bajo sus marcos de protección de datos. Los reguladores australianos han señalado que las brechas de privacidad relacionadas con IA se tratarán con la misma seriedad que las brechas de datos tradicionales bajo las próximas reformas de la Ley de Privacidad.
Más allá del riesgo regulatorio, está el riesgo operativo: un empleado que pega datos de clientes en una herramienta de IA que retiene y entrena con esos datos genera una obligación de brecha de datos. Sin un inventario, no sabrá que esto ocurrió hasta después de que el daño esté hecho.
Cómo Ayuda Aona
Aona fue creada para resolver el problema del inventario de sistemas de IA. En lugar de depender de auto-informes o registros de compras, Aona descubre automáticamente el uso de herramientas de IA en toda su organización mediante visibilidad a nivel de red, incluyendo cuentas personales, extensiones de navegador y funciones de IA integradas en herramientas SaaS existentes.
Aona proporciona un inventario de sistemas de IA actualizado continuamente que muestra:
- Cada herramienta de IA en uso activo en su organización
- Qué empleados usan cada herramienta
- Qué categorías de datos se están procesando
- Clasificaciones de riesgo alineadas con el Reglamento Europeo de IA, ISO 42001 y marcos australianos
- Aplicación de políticas para bloquear o alertar sobre usos no conformes
Para organizaciones que necesitan demostrar gobernanza de IA ante reguladores, clientes o juntas, la salida del inventario de Aona proporciona la documentación lista para auditoría requerida.
¿Listo para ver qué sistemas de IA están realmente funcionando en su organización? [Reserve una demo](/book-demo) para obtener su inventario de sistemas de IA en menos de 24 horas.
