Inventario de sistemas
Todos los sistemas de IA con su responsable, su uso, sus datos y su criticidad.
Servicio IA · S-004 · Consultoría
Governance, ética y RGPD en IA
Lo que la normativa pide, por escrito. Marco alineado con el EU AI Act, el RGPD e ISO/IEC 42001: documentación, riesgos, sesgos, explicabilidad y trazabilidad.
La gobernanza no es un documento: es poder responder quién decidió, con qué datos y por qué.
Qué es y para quién
Gobernanza que se puede auditar.
Inventario de sistemas, clasificación de riesgo, controles, documentación y formación para el equipo. Lee la guía completa de Inteligencia Artificial para el contexto teórico.
Desde agosto de 2026 el AI Act aplica a los sistemas de alto riesgo y la práctica de mercado pide responder preguntas Simples: qué sistemas de IA tenemos, qué datos usan, quién los valida y qué pasa cuando fallan. La gobernanza que funciona no es un código de conducta colgado en la pared: es un inventario vivo, una clasificación de riesgo, controles técnicos y un registro de decisiones que el regulator o el cliente pueden pedir.
Va dirigido a empresas con sistemas de IA en producción, a organizaciones del sector público o con proveedores críticos, y a compañías que operar en la UE con clientes que les piden cumplimiento. El primer entregable es siempre el inventario: no se puede gobernar lo que no se ha listado.
- Directivos que deben responder por los sistemas de IA de la empresa.
- Departamentos de cumplimiento que necesitan un marco verificable.
- Equipos técnicos que quieren reglas claras antes de desplegar.
- Empresas con proveedores críticos que deben elegir a sus proveedores.
Qué incluye
Seis piezas de un programa de gobernanza.
Inventario, clasificación de riesgo, controles, documentación, auditoría de sesgo y formación.
Clasificación de riesgo
Categoría según el AI Act, con el uso permitido y las limitaciones asociadas.
Controles técnicos
Trazabilidad, validación, monitorización, control de acceso y reversión.
Documentación
Ficha tçnica, evaluación de impacto y registros por sistema y por versión.
Auditoría de sesgo
Medición, comparación de resultados entre grupos y plan de corrección.
Formación y procedimiento
Capacitación de los equipos y procedimiento de approvals para lo que no está automatizado.
Trazabilidad
Cada decisión tiene su registro.
Quién decidió, con qué criterio, con qué datos y con qué consecuencias.
- Registro de decisiones críticas con responsable y fecha
- Versión del modelo, del prompt y de los datos usados
- Evaluaciones de sesgo y desviaciones detectadas
- Trazabilidad de las solicitudes de los usuarios
Cómo funciona
El ciclo de una decisión gobernada.
Cinco pasos entre el uso de un sistema y su justificación.
-
01
Inventariar
Todo sistema de IA se registra con su responsable, sus datos y su criticidad.
-
02
Clasificar
Se le asigna la categoría de riesgo y el uso permitido según el AI Act.
-
03
Controlar
Se aplican los controles técnicos y de proceso que exige esa categoría.
-
04
Registrar
Cada decisión relevante queda con su responsable, su criterio y su evidencia.
-
05
Revisar
Se auditan sesgos, incidencias y desviaciones con periodicidad y se corrige.
El registro de decisiones no es un fin en sí mismo: sirve para explicar, para aprender y para demostrar.
Cómo trabajamos
De la hoja de intenciones al programa de gobierno.
Inventariamos, clasificamos, implantamos controles y formamos al equipo.
-
Alcance y enfoque
Definimos qué sistemas entran, qué marco se aplica y quién;n es responsable.
-
Inventario y clasificación
Se listan los sistemas, sus usos y su categoría de riesgo con evidencia.
-
Controles y documentación
Se implantan los controles técnicos y se redactan las fichas técnicas.
-
Piloto y formación
Se aplica en un sistema de riesgo alto y se forma a los equipos implicados.
-
Revisión periódica
Auditoría de sesgo, revisión del inventario y actualización del programa.
Dónde rinde
Tres organizaciones que ordenaron el cumplimiento.
El mismo programa sirve para retail, banca o sector público.
Un cliente corporate les exigió garantias sobre el scoring de crédito y no tenían nada que mostrar.
El inventario y las fichas técnicas de cada modelo, con sus evaluaciones de sesgo, respondieron la auditoría en semanas.
El equipo legal pedía documentación de cada uso de IA y nadie sabía quién la usaba.
El inventario con owner y uso permitió ordenar el mapa y definir la lista negra.
El pliego de/licitación exigía cumplimiento del AI Act y el equipo no sabía por dónde empezar.
La clasificación de riesgo y el plan de controles ordenó el expediente técnico.
Sectores
Dónde ya lo hemos montado.
Marketing
Ventas
Operaciones
Atención al cliente
Finanzas
Legal
RR.HH.
Ecommerce
Seguros
Logística
Sanidad
Legaltech
Cuando un cliente nos pidió garantias, response con la documentación y la trazabilidad. Ese es el trabajo que más nos ha abierto puertas.
Carla N.
Compliance Lead · Banca
Reseña verificada en Google
4,9/5 · 240+ opiniones.
¿Por dónde empezamos?
Por el inventario. No se puede gobernar lo que no se ha listado, y el inventario por sí solo ya suele revelar sistemas que nadie sabía que existían. Después, la clasificación de riesgo.
¿Qué exige el AI Act?
Obligaciones escalonadas por categoría de riesgo: desde la transparencia en los chatbots hasta requisitos de gestión de riesgos, documentación, registro y supervisión humana en los sistemas de alto riesgo. El calendario de aplicación por bloques es lo que hay que tener claro.
¿Es solo para el sector público?
No. El AI Act aplica a cualquier empresa que opere en la UE y a clientes corporativos que piden garantias. El GDPR además obliga a todo el que trate datos personales.
¿Qué es una ficha téacute;cnica?
El documento que describe el sistema: propósito, datos, arquitectura, métricas, riesgos, controles, responsable y versión. Es lo que se pide en una auditoría y lo que obliga a tener el control real.
¿Cómo se audita el sesgo?
Se mide el resultado por grupo relevante, se compara con la referencia y se documenta la diferencia. Si hay desviación relevante, se corrige o se restringe el uso del sistema.
¿Cuánto tarda?
De seis a diez semanas para el marco completo en una organización de tamaño medio, con el inventario en dos semanas. La actualización es periódica y se apoya en los equipos, no en un consultor.
Reservar
Cuéntanos tu proceso.
Media hora para entender si este servicio merece la pena. Si no lo tiene, te lo decimos en la llamada.
Reserva tu videollamada gratuita
30 minutos con Jorge Sánchez Mosquete, experto en Governance, ética y RGPD en IA. Sin compromiso, en español.
•
LMXJVSD
Selecciona un día
• Empieza eligiendo un día disponible en el calendario
Powered by Netbulb