Registro de usos de IA en la empresa: modelo de inventario

No se puede gobernar lo que no se conoce. Un registro de usos de IA es un inventario sencillo donde cada uso queda descrito con su responsable, los datos que intervienen, los riesgos y la fecha de la próxima revisión. Con este modelo puedes crearlo en una hoja de cálculo y mantenerlo al día sin esfuerzo excesivo.

Para quién: Responsables de cumplimiento, tecnología o gerencia que necesitan saber qué herramientas de IA se usan realmente en la organización, con qué fines y con qué controles.

Cómo usar esta plantilla

Crea una hoja de cálculo con una fila por cada uso de IA y una columna por cada campo de las secciones siguientes. Empieza preguntando a cada equipo qué herramientas usa, incluidas las que usa por su cuenta, y explica que el objetivo es ordenar, no sancionar. Asigna una persona responsable del registro, fija una revisión periódica y revisa de inmediato cualquier uso nuevo antes de darlo de alta como aprobado.

1. Qué se registra y qué no

Se registra cada uso recurrente de una herramienta de IA que forme parte del trabajo de la organización: redactar respuestas a clientes, resumir reuniones, clasificar solicitudes, generar imágenes para campañas, ayudar a programar, analizar documentos. No hace falta registrar consultas puntuales y sin información de la empresa, como buscar una definición, pero sí cualquier uso que toque datos de clientes, empleados o proveedores. Regla práctica: si el resultado sale de la organización o influye en una decisión, se registra. Responsable del registro: [NOMBRE Y CARGO]. Ubicación del documento: [UBICACIÓN].

2. Campos de identificación

Para cada uso, anota: Código del registro: [USO-001]. Nombre del uso: [DESCRIPCIÓN CORTA, POR EJEMPLO «Borradores de respuestas a consultas de clientes»]. Área o equipo: [ÁREA]. Herramienta utilizada y tipo de cuenta: [HERRAMIENTA / CORPORATIVA O PERSONAL]. Fecha de alta: [FECHA]. Estado: [PROPUESTO / EN PRUEBA / APROBADO / SUSPENDIDO / RETIRADO]. Descripción en dos frases de qué se hace exactamente y qué se obtiene: [DESCRIPCIÓN]. Una descripción clara es lo que permite que otra persona entienda el uso un año después sin preguntar.

3. Responsables

Cada uso debe tener nombre y apellidos detrás. Anota: Persona responsable del uso, que responde de que se cumpla lo acordado: [NOMBRE Y CARGO]. Persona que revisa los resultados antes de que se utilicen: [NOMBRE Y CARGO]. Persona que aprobó el uso y fecha de la aprobación: [NOMBRE / FECHA]. Contacto para incidencias: [CANAL]. Si el responsable cambia de puesto o deja la organización, el registro debe actualizarse el mismo día. Un uso sin responsable identificado pasa automáticamente a estado «suspendido» hasta que alguien lo asuma.

4. Datos implicados

Anota qué información entra en la herramienta y cuál sale. Tipos de datos introducidos: [PÚBLICOS / INTERNOS / CONFIDENCIALES / PERSONALES / ESPECIALMENTE SENSIBLES]. ¿Se introducen datos personales? [SÍ/NO]. En caso afirmativo, de qué personas y con qué finalidad: [DETALLE]. ¿Se han anonimizado o sustituido por datos ficticios? [SÍ/NO/PARCIALMENTE]. ¿Dónde se guardan las conversaciones y los archivos, y quién puede acceder a ellos? [DETALLE]. ¿Se pueden borrar? [SÍ/NO]. Plazo de conservación previsto: [PLAZO]. Si la columna de datos personales o sensibles es «sí», el uso debe ser revisado por la persona responsable de protección de datos.

5. Riesgos y controles

Valora cada riesgo como bajo, medio o alto y anota el control aplicado. Errores en el contenido que llegue a terceros: [VALORACIÓN / CONTROL, POR EJEMPLO REVISIÓN HUMANA OBLIGATORIA]. Fuga de información confidencial: [VALORACIÓN / CONTROL]. Sesgos o trato desigual a personas: [VALORACIÓN / CONTROL]. Dependencia de un único proveedor: [VALORACIÓN / CONTROL]. Impacto en derechos de autor o imagen: [VALORACIÓN / CONTROL]. Impacto en decisiones sobre personas: [VALORACIÓN / CONTROL]. Riesgo global del uso: [BAJO / MEDIO / ALTO]. Los usos de riesgo alto requieren aprobación expresa de la dirección.

6. Revisión humana y transparencia

Describe cómo se garantiza la supervisión. ¿Una persona revisa cada resultado antes de usarlo? [SÍ/NO/POR MUESTREO]. Criterios de revisión aplicados: [LISTA]. ¿Se informa a clientes, empleados o usuarios de que se utiliza IA en este proceso? [SÍ/NO/NO PROCEDE] y cómo: [DETALLE]. ¿Existe una vía para que una persona pida la intervención de un humano? [SÍ/NO]. Registro de errores detectados desde el alta: [NÚMERO Y DESCRIPCIÓN BREVE]. Esta sección es la que más conviene mantener actualizada, porque refleja cómo funciona el uso en la práctica y no solo cómo se diseñó.

7. Revisión periódica

Fecha de la última revisión: [FECHA]. Fecha de la próxima revisión: [FECHA, CON UN PERIODO MÁXIMO DE [PERIODO]]. Cambios desde la última revisión: [HERRAMIENTA, DATOS, USUARIOS, CONDICIONES DEL PROVEEDOR]. Incidencias registradas: [NÚMERO Y ENLACE]. Decisión tras la revisión: [CONTINUAR / MODIFICAR / SUSPENDER / RETIRAR]. Revisado por: [NOMBRE]. Cada revisión se anota en el historial sin borrar las anteriores. Además de las revisiones programadas, se revisa el uso siempre que cambie la herramienta, el tipo de datos o el grupo de personas que lo utiliza.

Consejos para adaptarla

Empieza con una ronda informal de preguntas a cada equipo; suelen aparecer usos que la dirección desconocía.
Mantén el registro en una herramienta que ya se use a diario, para que actualizarlo no suponga un trámite aparte.
Pon pocos campos obligatorios y bien definidos; un registro demasiado largo acaba sin rellenarse.
Conserva el historial de cambios y de usos retirados: es la prueba de que el control funciona.

Aviso: Este modelo es orientativo y debe adaptarse a la organización y a su sector. Ante dudas legales o de protección de datos, consulta a un profesional.

Preguntas frecuentes

¿Hay que registrar los usos que hacen las personas por su cuenta?

Sí, si afectan al trabajo. Lo más útil es explicar que el registro sirve para ordenar y proteger, no para sancionar, de forma que la gente declare lo que usa. Un registro que solo recoge lo oficial no refleja el riesgo real.

¿Qué herramienta sirve para llevar el registro?

Una hoja de cálculo compartida es suficiente para la mayoría de organizaciones pequeñas. Lo importante es que haya una única versión, que tenga una persona responsable y que quede un historial de cambios.

¿Cada cuánto debe revisarse cada uso?

Depende del riesgo. Los usos de riesgo alto merecen una revisión más frecuente, por ejemplo trimestral, y los de riesgo bajo pueden revisarse una vez al año. Además, conviene revisar cualquier uso cuando cambie la herramienta o los datos.