Protección para sobrevivir a los ciberataques
Un inventario útil registra cada caso de uso. La misma herramienta puede redactar un texto público, analizar clientes o influir en una decisión laboral. Cada uso mueve datos, afecta a personas y necesita controles distintos.
Con ese registro la empresa sabe qué existe, quién responde, qué está aprobado y qué debe revisarse. También puede adaptar la formación del artículo 4 a los usos reales.
Puntos principales
- Registra casos de uso, no solo proveedores o licencias.
- Asigna un responsable de negocio y un propietario técnico.
- Conecta datos, riesgo, controles, decisión y fecha de revisión.
- Incluye funciones de IA integradas y usos informales, no solo compras centrales.
Qué debe entrar en el inventario
Incluye sistemas desarrollados internamente, servicios contratados, modelos de terceros, automatizaciones, pilotos y funciones de IA que vienen activadas dentro de otras herramientas. También conviene registrar propuestas rechazadas y pruebas finalizadas cuando aporten contexto para decisiones futuras.
No esperes a resolver la definición jurídica más compleja para empezar. Puedes crear un registro amplio de soluciones con capacidades de IA y añadir un campo de clasificación pendiente. Es mejor identificar un posible uso y depurarlo después que dejarlo fuera por incertidumbre.
- Chatbots, asistentes de escritura, imagen, audio, vídeo o código.
- Sistemas de recomendación, predicción, clasificación y detección.
- Funciones de IA en CRM, ERP, ofimática, seguridad o selección.
- Agentes y automatizaciones con acceso a herramientas o datos.
- Modelos internos, ajustes, RAG y bases de conocimiento conectadas.
- Pruebas gratuitas o usos de equipos que todavía no han sido formalizados.
Los campos mínimos de una ficha útil
- Identificador, nombre del caso de uso y estado.
- Herramienta, proveedor, versión, plan y modelo cuando se conozca.
- Finalidad prevista, tareas y resultado esperado.
- Departamento, usuarios y volumen.
- Responsable de negocio, propietario técnico y áreas de control.
- Datos de entrada, fuentes, salidas, retención e integraciones.
- Personas o colectivos afectados y decisiones influenciadas.
- Papel de la organización y clasificación de riesgo preliminar.
- Riesgos identificados, controles y nivel de supervisión humana.
- Fecha de aprobación, condiciones, evidencias y próxima revisión.
Estados que evitan confusiones
El inventario debe mostrar qué puede usarse hoy. Un sistema «registrado» no está necesariamente aprobado. Utiliza estados definidos y enlaza cada aprobación con el alcance exacto.
- Detectado: existe información inicial, pero aún no se ha validado.
- En evaluación: hay un responsable y una revisión abierta.
- Piloto controlado: prueba temporal con usuarios, datos y límites definidos.
- Aprobado con condiciones: uso permitido dentro del alcance documentado.
- Suspendido: uso detenido mientras se resuelve un cambio o incidente.
- Rechazado: no autorizado, con motivo y alternativas cuando existan.
- Retirado: ya no se utiliza y se han gestionado datos, accesos y contratos.
Cómo descubrir usos que todavía no conoces
El inventario inicial no debe plantearse como una investigación disciplinaria. Si los equipos temen consecuencias por declarar una prueba, ocultarán información y la empresa perderá la oportunidad de contener y ofrecer alternativas.
- 01
Pregunta por tareas y necesidades, no solo por nombres de herramientas.
- 02
Revisa compras, extensiones, cuentas corporativas, integraciones y proveedores.
- 03
Habla con responsables de departamento y usuarios que experimentan con automatización.
- 04
Ofrece un canal de regularización con instrucciones claras sobre datos y cese temporal.
- 05
Compara los hallazgos con el catálogo aprobado y abre evaluaciones proporcionadas.
Relación con el registro de tratamientos y otros documentos
El inventario de IA no sustituye al registro de actividades de tratamiento, a la evaluación de impacto, al análisis de seguridad, al registro de proveedores ni a la documentación específica de sistemas de alto riesgo. Debe enlazarlos para evitar duplicar información y mantener coherencia.
Un cambio en los datos, la finalidad, el modelo, el proveedor o la autonomía puede activar revisiones en varios documentos. Definir esos disparadores reduce el riesgo de que la ficha se quede congelada mientras el sistema evoluciona.
Cuándo revisar una ficha
- Cambio de finalidad, departamento o colectivo afectado.
- Nuevas categorías de datos o conexión con otra fuente.
- Actualización relevante del modelo, plan, condiciones o proveedor.
- Aumento de autonomía, permisos o capacidad de ejecutar acciones.
- Incidente, reclamación, error sistemático o indicio de sesgo.
- Cambio normativo, guía sectorial o criterio interno.
- Vencimiento de la revisión periódica definida según el riesgo.
Plan de implantación en cuatro semanas
- 01
Semana 1: define alcance, campos, estados, responsables y una regla temporal para nuevas herramientas.
- 02
Semana 2: realiza entrevistas breves y una campaña de declaración de usos por departamentos.
- 03
Semana 3: prioriza por impacto y datos; abre fichas completas para los casos más relevantes.
- 04
Semana 4: publica el catálogo inicial, asigna revisiones y conecta el inventario con formación e incidentes.
Empieza con una estructura común.
La plantilla de inventario de IA reúne los campos esenciales para localizar responsables, riesgos, controles y próximas revisiones.
Este contenido ofrece orientación general y no sustituye un análisis jurídico, técnico o sectorial del caso concreto. Las obligaciones y controles deben ajustarse al sistema, al uso, a los datos y a las personas afectadas.