Plantilla de inventario de IA: guía campo a campo para el cumplimiento de la Ley de IA de la UE
Plantilla de inventario de IA para la Ley de IA de la UE — cada campo explicado: función, nivel de riesgo, categoría del Anexo III, dependencia de GPAI y fechas clave. Plazo: 2 dic 2027.
Toda organización que construye o utiliza sistemas de IA necesita saber qué tiene, quién es su responsable y si activa obligaciones en virtud del Reglamento (UE) 2024/1689. Un inventario de IA es la forma de responder a esas preguntas a escala. No es en sí mismo un formulario legal — la Ley no prescribe una plantilla única — pero es el requisito previo para la clasificación de riesgo del Artículo 6, el sistema de gestión de riesgos del Artículo 9 que exigen los sistemas de alto riesgo y el registro del Artículo 49 de los sistemas de alto riesgo en la base de datos de la UE. Sin un inventario mantenido, no puede hacer ninguna de esas cosas de forma fiable.
Esta guía recorre cada campo que debe contener un registro de IA completo, explica para qué sirve cada uno y aborda las cuestiones de gobernanza: descubrimiento, desencadenantes de clasificación y titularidad.
El plazo de alto riesgo en virtud del Ómnibus Digital acordado en mayo de 2026 es el 2 de diciembre de 2027 para los sistemas autónomos del Anexo III (y el 2 de agosto de 2028 para la IA de alto riesgo integrada en productos regulados del Anexo I). Un inventario aún incompleto en ese momento es un pasivo, no una base.
Qué es el inventario — y qué no es
Un inventario de IA es un registro operativo interno de cada sistema de IA que su organización desarrolla, despliega, importa o distribuye. «Sistema de IA» tiene un significado concreto con arreglo al Artículo 3, apartado 1: un sistema basado en una máquina que infiere, a partir de la información de entrada, información de salida como predicciones, recomendaciones, decisiones o contenidos. Si su herramienta cumple esa definición y la utiliza en un contexto profesional en la UE, pertenece al registro.
No es el sistema de gestión de riesgos del Artículo 9, el paquete de documentación técnica del Artículo 11 / Anexo IV, el registro en la base de datos de la UE del Artículo 49 ni el registro de las actividades de tratamiento del artículo 30 del RGPD — aunque alimenta los cuatro. Cada uno es una obligación separada; el inventario es la capa operativa que los hace manejables.
El conjunto completo de campos
La tabla siguiente cubre cada campo que debería contener un registro de IA bien estructurado. Los campos se agrupan por función. Para cada campo, la columna «Sirve para» nombra la disposición que sustenta; cuando una obligación se aplica específicamente a los sistemas de alto riesgo, se indica.
Grupo 1 — Identidad del sistema
| Campo | Qué recoger | Sirve para |
|---|---|---|
| Nombre del sistema | El nombre interno que utilizan sus equipos, además de cualquier nombre comercial o de producto. Una fila por cada sistema distinto. | Todas las obligaciones |
| Descripción / finalidad prevista | Qué hace el sistema y a quién o para quién lo hace. Sea preciso sobre el tipo de decisión (clasificación, predicción, categorización, generación) y la población afectada. Este lenguaje alimenta directamente la documentación técnica del Artículo 11 / Anexo IV. | Art. 6, Art. 11 / Anexo IV |
| Nombre del proveedor / suministrador | La organización que desarrolló el sistema o el modelo subyacente. Para los sistemas construidos internamente, el nombre de su propia organización. | Art. 23, Art. 24, Art. 26 |
| Modelo / versión | La versión o entrega concreta. Necesario porque una modificación sustancial — definida en el Artículo 3, apartado 23 — puede cambiar la clasificación de riesgo y reiniciar las obligaciones de conformidad. Haga seguimiento de cada versión que llega a producción. | Art. 3, apdo. 23, Art. 11 |
Grupo 2 — Titularidad y gobernanza
| Campo | Qué recoger | Sirve para |
|---|---|---|
| Unidad de negocio | El departamento que opera el sistema o es su usuario principal. Es donde se dirigen las consultas, los deberes de seguimiento y la escalada. | Art. 26 |
| Responsable del sistema (nombre / función) | La persona designada responsable de la exactitud de esta entrada y de activar las revisiones cuando el sistema cambia. No un equipo; una persona. | Art. 9, Art. 26 |
| Responsable de la supervisión humana | La persona o función específica responsable del mecanismo de supervisión humana exigido por el Artículo 14 para los sistemas de alto riesgo. Puede ser la misma que el responsable del sistema o un líder operativo distinto. | Art. 14 (alto riesgo) |
Grupo 3 — Determinación de la función
La Ley de IA de la UE asigna distintos conjuntos de obligaciones según su función — este es uno de los campos más trascendentales y el que con más frecuencia se deja vago.
| Campo | Qué recoger | Sirve para |
|---|---|---|
| Su función | Seleccione entre cuatro funciones: Proveedor (Artículo 16) — usted desarrolla e introduce el sistema en el mercado o lo pone en servicio con su nombre; Responsable del despliegue (Artículo 26) — usted utiliza un sistema en un contexto profesional; Importador (Artículo 23) — usted introduce en la UE el sistema de un proveedor de fuera de la UE; Distribuidor (Artículo 24) — usted comercializa un sistema en el mercado de la UE sin introducirlo con su nombre. Con arreglo al Artículo 25, si rebautiza un sistema de un tercero como propio, lo modifica sustancialmente o cambia su finalidad prevista, se convierte en el proveedor. | Art. 16, 23, 24, 25, 26 |
La mayoría de las organizaciones que utilizan herramientas de IA de terceros son responsables del despliegue. Las empresas de SaaS que envían funcionalidades de IA a sus clientes son proveedores de esas funcionalidades. Registre la función a nivel de sistema — la misma organización puede ocupar ambas funciones en distintos sistemas.
Grupo 4 — Clasificación de riesgo
| Campo | Qué recoger | Sirve para |
|---|---|---|
| Nivel de riesgo | Uno de cuatro valores: Prohibido (Artículo 5) — vetado desde el 2 de febrero de 2025; Alto riesgo (Artículo 6 + Anexo III o Anexo I) — conjunto completo de obligaciones, plazo 2 de diciembre de 2027; Riesgo limitado (Artículo 50) — deberes de divulgación de transparencia desde el 2 de agosto de 2026; Riesgo mínimo — sin obligaciones obligatorias. | Art. 5, Art. 6, Art. 50 |
| Categoría del Anexo III | Si es de alto riesgo a través del Artículo 6, apartado 2, letra b), registre el encabezamiento concreto del Anexo III (1-8) y el subpunto. Los ocho encabezamientos son: (1) biometría; (2) infraestructuras críticas; (3) educación y formación profesional; (4) empleo, gestión de los trabajadores y autoempleo; (5) acceso a servicios esenciales privados y públicos (calificación crediticia en el punto 5, letra b); seguros de vida/salud en el punto 5, letra c)); (6) garantía del cumplimiento del Derecho; (7) migración, asilo y control fronterizo; (8) administración de justicia y procesos democráticos. Acertar con el subpunto importa — la selección de personal es el Anexo III, punto 4, letra a), no «Categoría 4» genéricamente. | Art. 6, apdo. 2, letra b), Anexo III |
| ¿Se reclama la exención del Artículo 6, apartado 3? | Si afirma que un sistema que entra en un ámbito del Anexo III NO es de alto riesgo en virtud del filtro del Artículo 6, apartado 3 — porque desempeña una tarea procedimental limitada, mejora una actividad humana previamente realizada, detecta patrones sin sustituir la evaluación humana o realiza un trabajo preparatorio — registre esa reclamación, la justificación que la sustenta y la fecha de la evaluación. Nota: un sistema que elabora perfiles de personas físicas no puede acogerse a la exención del Artículo 6, apartado 3; es siempre de alto riesgo. Los proveedores que reclaman la exención deben registrar igualmente el sistema con arreglo al Artículo 49. | Art. 6, apdo. 3, Art. 49 |
| Justificación de la clasificación | Una breve nota que explique por qué este sistema se sitúa en este nivel. Esto es lo que entregará a una autoridad competente si se cuestiona su clasificación. | Art. 6 |
Grupo 5 — Datos personales e intersección con el RGPD
| Campo | Qué recoger | Sirve para |
|---|---|---|
| ¿Trata datos personales? | Sí/No. En caso afirmativo, describa las categorías (nombre, datos biométricos, datos de salud, ubicación, datos de comportamiento, etc.). | Referencia cruzada con el art. 30 del RGPD |
| Base jurídica del RGPD | La base del artículo 6 del RGPD para el tratamiento (consentimiento, contrato, obligación legal, intereses legítimos, etc.) y la base del artículo 9 del RGPD cuando intervienen categorías especiales. | RGPD |
| ¿Se requiere EIPD? | El artículo 35 del RGPD exige una evaluación de impacto relativa a la protección de datos cuando el tratamiento es «probable que entrañe un alto riesgo». La toma de decisiones automatizada a gran escala, la evaluación sistemática de personas y las nuevas tecnologías la activan habitualmente. Anote si se ha completado una EIPD y enlace a ella. | Art. 35 del RGPD |
| ¿Se requiere EIDF? | La evaluación de impacto relativa a los derechos fundamentales del Artículo 27 es distinta de una EIPD. Se aplica a: los responsables del despliegue del sector público de sistemas de alto riesgo, y los responsables del despliegue privados de sistemas de alto riesgo del Anexo III, categoría 5, letra b) (solvencia/calificación crediticia) o 5, letra c) (riesgo y fijación de precios de seguros de vida/salud). Los empleadores privados que despliegan sistemas de selección de personal o de RR. HH. no deben automáticamente una EIDF. El Artículo 27, apartado 4, permite que la EIDF se apoye en una EIPD existente. | Art. 27 (responsables del despliegue de alto riesgo) |
Grupo 6 — Dependencia de GPAI
Si el sistema está construido sobre un modelo de IA de uso general o lo utiliza — un LLM, un modelo fundacional multimodal, un gran modelo de imágenes — registre lo siguiente.
| Campo | Qué recoger | Sirve para |
|---|---|---|
| Modelo / proveedor de GPAI | Nombre y proveedor (p. ej. GPT-4o / OpenAI, Gemini 1.5 / Google, Mistral Large / Mistral). | Art. 53, Art. 55 |
| ¿Documentación del Anexo XII recibida? | Con arreglo al Artículo 53, apartado 1, letra b), los proveedores de GPAI deben suministrar a los usuarios descendentes un resumen de los datos de entrenamiento, una política de derechos de autor y datos de consumo energético. Registre si la ha recibido y dónde se almacena. | Art. 53, Anexo XII |
| Su clasificación al construir sobre GPAI | Si construye y despliega un sistema sobre un modelo GPAI con su propio nombre, usted es el proveedor de ese sistema descendente con arreglo al Artículo 25 y al Artículo 16, clasificado por lo que hace su sistema (Art. 5 / 6 / 50). Las obligaciones del Artículo 53 del proveedor del modelo siguen recayendo sobre el proveedor. | Art. 25, Art. 16 |
Grupo 7 — Ciclo de vida y estado
| Campo | Qué recoger | Sirve para |
|---|---|---|
| Fase del ciclo de vida | Desarrollo / Piloto / Producción / Retirado. Los sistemas de alto riesgo en desarrollo deberían estar ya bajo seguimiento — la documentación del Artículo 11 debe estar lista antes de que introduzca el sistema en el mercado, no después. | Art. 11, Art. 72 |
| Fecha de despliegue | Cuándo entró el sistema en producción. Relevante para evaluar cuándo cristalizaron las obligaciones. | Art. 49, Art. 72 |
| Fecha de modificación sustancial | Si un sistema se modificó sustancialmente (Artículo 3, apartado 23: un cambio que afecta al cumplimiento del sistema con los requisitos o altera su finalidad prevista), registre la fecha. Una modificación sustancial puede reiniciar el reloj de la conformidad y el registro. | Art. 3, apdo. 23, Art. 43 |
Grupo 8 — Conformidad y registro
| Campo | Qué recoger | Sirve para |
|---|---|---|
| Estado de la evaluación de la conformidad | No iniciada / En curso / Completada / Caducada. La evaluación de la conformidad del Artículo 43 — el término de la UE para demostrar, antes del lanzamiento, que un sistema de alto riesgo cumple los requisitos — debe completarse antes de introducir el sistema en el mercado. Para la mayoría de las categorías del Anexo III (puntos 2-8), se trata de una autoevaluación interna con arreglo al Anexo VI. Para el Anexo III, punto 1 (biometría), requiere por lo general la vía del organismo notificado del Anexo VII. | Art. 43 (proveedores de alto riesgo) |
| Registro en la base de datos de la UE (Artículo 49) | Sí/No y fecha. Los proveedores de alto riesgo deben registrarse en la base de datos de la UE antes de introducir el sistema en el mercado. Los proveedores que reclaman la exención del Artículo 6, apartado 3, también deben registrarse. La propia base de datos se establece con arreglo al Artículo 71. | Art. 49, Art. 71 |
| Declaración de conformidad (Artículo 47) | Fecha de la firma y enlace al documento. Un proveedor debe redactar una declaración UE de conformidad — basada en el Anexo V — al introducir un sistema de alto riesgo en el mercado. | Art. 47, Anexo V |
Grupo 9 — Fechas clave y cadencia de revisión
| Campo | Qué recoger | Sirve para |
|---|---|---|
| Próxima revisión de la clasificación | Una fecha programada para reevaluar el nivel de riesgo. Fíjela en el despliegue, y revísela cada vez que el sistema se modifique sustancialmente, cuando se modifique la lista del Anexo III con arreglo al Artículo 7, o cuando cambie el contexto operativo del sistema. | Art. 6, Art. 9 |
| Documentación técnica actualizada por última vez | Fecha. La documentación del Artículo 11 debe mantenerse actualizada. Un sistema que se ha actualizado pero cuya documentación no se ha revisado no es conforme. | Art. 11 |
| Última revisión de seguimiento | Fecha. Los proveedores deben mantener un sistema de vigilancia poscomercialización con arreglo al Artículo 72; los responsables del despliegue deben supervisar el funcionamiento y conservar registros con arreglo al Artículo 26. | Art. 72, Art. 26 |
| Conservación de registros — responsable del despliegue | Anote si los registros se conservan durante al menos 6 meses, como exige el Artículo 26 (el artículo, no un subapartado concreto — cite el artículo). | Art. 26 |
| Conservación de la documentación técnica | 10 años desde la introducción en el mercado, con arreglo al Artículo 18. Registre la fecha de supresión programada. | Art. 18 |
| Próxima fecha de revisión completa | Anual como mínimo; de inmediato ante cualquier modificación sustancial o incidente grave. | Art. 9, Art. 72 |
Cómo construir y mantener el inventario
Descubrimiento: encontrar lo que tiene
La IA entra en las organizaciones por tres vías. Los sistemas construidos internamente son los más fáciles de localizar — revise su cartera de desarrollo, el registro de modelos y los servicios de IA en la nube (Azure AI, Vertex AI, AWS Bedrock). Las herramientas de terceros con funcionalidades de IA requieren un cuestionario a cada unidad de negocio: «¿Dónde influye en una decisión un análisis, una puntuación, una predicción o una generación de contenido automatizados?». Los sistemas de RR. HH., las herramientas de CRM y el software de atención al cliente integran IA habitualmente. Si pone en servicio bajo su autoridad el sistema de un consultor o socio externalizado, usted es el responsable del despliegue. La IA en la sombra — herramientas adoptadas sin la aprobación de TI o de cumplimiento — necesita una breve ventana de autodeclaración sin consecuencias; el objetivo es el panorama completo.
Una vez que tenga la lista, aplique el filtro de cuatro pasos del Artículo 6: (1) ¿componente de seguridad de un producto del Anexo I? (2) ¿caso de uso del Anexo III? (3) ¿desencadenante de riesgo limitado del Artículo 50 (chatbot, contenido sintético, reconocimiento de emociones, categorización biométrica)? (4) Riesgo mínimo si ninguno de los anteriores. Documente la respuesta a cada pregunta, no solo la conclusión.
Desencadenantes de clasificación
Cinco hechos exigen una revisión de reclasificación:
- Modificación sustancial (Artículo 3, apartado 23) — un cambio en la finalidad prevista del sistema o uno que afecta al cumplimiento. Una herramienta de preselección de un seleccionador reutilizada para clasificar candidatos a una promoción es una nueva finalidad prevista; reclasifique.
- Cambio en el contexto operativo — la Ley clasifica por uso, no por tecnología. El mismo sistema es de riesgo mínimo para la redacción interna y potencialmente de alto riesgo para evaluar solicitudes de préstamo.
- Modificación del Anexo III — la Comisión puede ampliar la lista de alto riesgo con arreglo al Artículo 7. Vigile el Diario Oficial.
- Nueva dependencia de GPAI — enrutar la información de salida a través de un nuevo modelo fundacional exige que la comprobación de la documentación del Anexo XII (Grupo 6) se ejecute de nuevo.
- Incidente grave — el Artículo 3, apartado 49, define un incidente grave como aquel que causa la muerte, un daño grave para la salud, una perturbación significativa de infraestructuras o una vulneración de los derechos fundamentales. Una notificación del Artículo 73 desencadena una revisión completa del estado de clasificación y conformidad.
Quién es titular del inventario
La titularidad distribuida fracasa. Designe un único titular responsable a nivel de organización — el director de cumplimiento, el DPD o un líder dedicado de gobernanza de la IA — responsable de la exhaustividad, la cadencia de revisión y la preparación reguladora. Los responsables de los sistemas de cada unidad de negocio certifican sus entradas en cada revisión trimestral e informan de cualquier cambio. Cada entrada necesita un registro de cambios inmutable: quién actualizó el campo, cuándo y por qué. Ese registro es lo primero que lee una autoridad competente.
Las revisiones trimestrales son el mínimo. Para los sistemas de alto riesgo en producción, una comprobación operativa mensual — métricas de rendimiento, registro de incidentes, registros de supervisión — alimenta los campos del ciclo de vida.
Cómo ayuda Confir
Confir construye automáticamente el inventario a medida que incorpora sistemas. Usted responde a escenarios en lenguaje sencillo sobre cada sistema; el motor determinista y basado en reglas de Confir deriva su función (Proveedor Artículo 16 / Responsable del despliegue Artículo 26 / Importador Artículo 23 / Distribuidor Artículo 24) y su nivel de riesgo (Prohibido / Alto / Limitado / Mínimo) en dos o tres pasos, no en un cuestionario jurídico de 40 preguntas. La misma admisión rellena el registro de riesgos del Artículo 9, genera el paquete de documentación técnica del Artículo 11 / Anexo IV y prepara los datos de registro del Artículo 49.
Sin consultores, sin proyecto de implantación.
Preguntas frecuentes
¿Es un inventario de IA un requisito legal en virtud de la Ley de IA de la UE?
La Ley no prescribe un formulario de inventario concreto, pero las obligaciones que crea lo hacen prácticamente obligatorio. Los proveedores deben redactar documentación técnica con arreglo al Artículo 11 antes de introducir un sistema de alto riesgo en el mercado; los responsables del despliegue deben conservar registros de seguimiento con arreglo al Artículo 26; todas las partes deben demostrar el cumplimiento ante las autoridades competentes con arreglo a los Artículos 74 a 77. No puede cumplir ninguna de esas obligaciones en múltiples sistemas sin un registro estructurado.
¿Cuál es la diferencia entre el inventario de IA, el sistema de gestión de riesgos del Artículo 9 y el registro del Artículo 49?
El inventario es su catálogo interno de cada sistema de IA que tiene — alcance, clasificación, titularidad, estado. El sistema de gestión de riesgos del Artículo 9 es un proceso documentado y continuo para identificar y mitigar los riesgos de un sistema de alto riesgo concreto; se exige por sistema, no por organización. El registro del Artículo 49 es una presentación única (y desencadenada por actualizaciones) a la base de datos pública de la UE, exigida antes de introducir un sistema de alto riesgo en el mercado. Las tres son obligaciones distintas; el inventario es el requisito previo de las otras dos.
¿Debo incluir los sistemas de riesgo mínimo y de riesgo limitado, o solo los de alto riesgo?
Incluya todos los sistemas de IA. Los sistemas de riesgo limitado (Artículo 50) conllevan obligaciones de divulgación que se aplican a partir del 2 de agosto de 2026. Los sistemas de riesgo mínimo siguen exigiendo que sepa que existen — la clasificación es una conclusión, no un punto de partida. Un sistema no revisado no es un sistema de riesgo mínimo confirmado; es uno no revisado. El descubrimiento precede a la clasificación.
¿Qué ocurre cuando un sistema se modifica sustancialmente con arreglo al Artículo 3, apartado 23?
Una modificación sustancial — definida como un cambio que afecta al cumplimiento del sistema con los requisitos o altera su finalidad prevista — reinicia en la práctica el reloj del proveedor. El sistema modificado se trata como un nuevo sistema de alto riesgo: necesita un nuevo conjunto de documentación del Artículo 11, una nueva evaluación de la conformidad del Artículo 43 y un nuevo registro del Artículo 49. Su inventario debería registrar la fecha de la modificación y enlazar a la documentación actualizada. Si es usted un responsable del despliegue que reutiliza el sistema de un tercero, el Artículo 25 puede convertirle en proveedor.
¿Cómo interactúa el inventario con nuestro registro de actividades de tratamiento del artículo 30 del RGPD?
Complementario, no duplicativo. El registro del artículo 30 del RGPD hace el seguimiento de cada actividad de tratamiento — finalidad, base jurídica, conservación, relaciones con encargados. El inventario de IA hace el seguimiento de los sistemas de IA — finalidad prevista, nivel de riesgo, función, estado de conformidad, ciclo de vida. Un sistema de IA que trata datos personales aparece en ambos; enlace los dos registros de forma cruzada. La EIDF de la Ley de IA del Artículo 27 puede apoyarse en una EIPD existente del RGPD con arreglo al Artículo 27, apartado 4, lo que es otra razón para mantenerlos conectados.
¿Qué aspecto debería tener el inventario para una empresa que solo despliega herramientas de IA de terceros?
El inventario de un responsable del despliegue registra: qué herramientas se utilizan; el caso de uso concreto (no «ChatGPT para productividad», sino «la herramienta de puntuación del proveedor X para solicitudes de crédito»); si algún uso activa el Anexo III; los registros de seguimiento del Artículo 26; y si el proveedor ha suministrado la documentación descendente del Anexo XII para cualquier modelo GPAI implicado. La mayoría de los responsables del despliegue de IA de productividad general acaban en los niveles de riesgo mínimo o limitado. El inventario lo confirma — no lo da por supuesto.
¿Puedo usar una hoja de cálculo?
Sí, al principio. Una hoja de cálculo sirve para una organización con un número reducido de sistemas, ninguno de alto riesgo. Las limitaciones se manifiestan cuando se escala: las hojas de cálculo no imponen la lógica de clasificación, no enlazan con la documentación o los registros de evaluación, y no generan las salidas estructuradas — paquete de documentación técnica, declaración de conformidad, datos de registro — que exige el cumplimiento de alto riesgo. Para las organizaciones con sistemas de alto riesgo o una huella de IA creciente, una herramienta específica con un rastro de auditoría inmutable reduce el riesgo de error y el tiempo de respuesta a una autoridad competente.
Guías relacionadas
- Software de inventario de IA
- Niveles de clasificación de riesgo de la IA
- Requisitos de clasificación de IA de alto riesgo
- Definiciones clave del Artículo 3
- Obligaciones del responsable del despliegue del Artículo 26
- Requisitos de cumplimiento de la Ley de IA de la UE
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 7 días.
Empieza la prueba gratuita →