Cuando hacemos un diagnóstico de control, la primera pregunta es siempre la misma: cuántos sistemas de IA operan en la empresa. La respuesta habitual es un número, dicho con seguridad, que se queda corto entre dos y cuatro veces cuando terminamos de mirar.
No es descuido. Es que "sistema de IA" ya no significa el modelo que entrenó el equipo de datos. Significa el copiloto que un proveedor activó en el ERP en la última actualización, el agente que montó marketing con una herramienta no-code, el bot de soporte que llama a la API de un modelo con una clave que alguien pagó con la tarjeta de empresa. Ninguno de ellos pasó por el comité.
Este es el plan que usamos para levantar ese inventario en una semana laboral. No es perfecto al quinto día. Es suficiente para escribir políticas encima, que es para lo que sirve.
Antes de empezar: qué cuenta como sistema
La mitad de las discusiones de un inventario son sobre el alcance, así que conviene cerrarlo el lunes a primera hora. Contamos cinco categorías:
- SaaS con IA embebida. Copilotos y asistentes que vienen dentro de herramientas que ya se usan: la suite ofimática, el CRM, el helpdesk, la plataforma de RR. HH. Es la categoría más grande y la más invisible.
- Aplicaciones internas sobre un modelo. Cualquier cosa que llame a la API de un proveedor de modelos o sirva un modelo propio: chatbots, clasificadores, resúmenes, extracción de documentos.
- Sistemas RAG. Aplicaciones que recuperan documentos de la empresa para responder. Cuentan aparte porque su riesgo está en las fuentes, no en el modelo.
- Agentes con herramientas. Sistemas que ejecutan acciones: envían correos, crean tickets, modifican registros, lanzan despliegues. Son los que necesitan gobernanza operativa de verdad.
- Modelos dentro de productos propios. Si la empresa vende software, los modelos que van dentro de lo que vende, con sus obligaciones de proveedor bajo el Reglamento.
Lo que no cuenta, y hay que decirlo para no perder el miércoles discutiéndolo: el uso individual de un chat público por parte de un empleado. Eso es política de uso aceptable, no inventario. Si esa herramienta está conectada a datos de la empresa, entonces sí es la categoría 1.
Lunes: definir y avisar
Se fija el alcance con las cinco categorías, se elige quién lleva el inventario (una persona, no un comité) y se decide dónde vivirá: una hoja de cálculo compartida es suficiente la primera vez, y mejor que una herramienta que nadie sabrá usar el mes que viene.
Por la tarde se envía a cada responsable de área una petición concreta: la lista de herramientas con IA que usa su equipo, con tres campos, para qué la usan, qué datos entran y quién la contrató. Plazo: miércoles a mediodía. La petición vaga produce respuestas vagas, así que conviene adjuntar la lista de categorías y dos ejemplos.
Martes: buscar donde no van a mirar
Las respuestas de las áreas cubren lo que la gente recuerda. El martes se cruzan con cuatro fuentes que no dependen de la memoria de nadie:
- El proveedor de identidad. La lista de aplicaciones con inicio de sesión único y, sobre todo, las autorizaciones OAuth concedidas por usuarios a aplicaciones de terceros. Ahí aparecen los asistentes que alguien conectó al correo o al calendario.
- Los gastos. Una búsqueda en la herramienta de gastos y en los extractos de tarjeta por los nombres de los proveedores de modelos y de las plataformas de agentes más comunes. Las suscripciones mensuales a nombre de una persona son la firma del shadow AI.
- El gestor de secretos y el código. Claves de API de proveedores de modelos en el gestor de secretos, en variables de entorno de los despliegues y en los repositorios. Una búsqueda por los SDK habituales en el código propio saca las aplicaciones internas que nadie declaró.
- La red. Si hay un proxy o un firewall con registro de destinos, las conexiones salientes a los dominios de las API de modelos, agrupadas por origen. Es la única fuente que ve lo que ya está en producción aunque nadie lo haya escrito.
Cada hallazgo entra en la hoja con una marca de origen. Al final del día suele haber el doble de filas que el lunes.
Miércoles: normalizar
Con las respuestas de las áreas y los hallazgos del martes, se unifican duplicados y se rellenan los campos que importan. Menos es más: un inventario de treinta columnas no lo actualiza nadie. Estos son los que usamos:
| Campo | Por qué importa |
|---|---|
| Nombre y categoría | Para saber de qué tipo de riesgo hablamos |
| Responsable con nombre | La persona que puede apagarlo hoy, no un departamento |
| Propósito en una frase | Lo que hace, dicho como lo diría un usuario |
| Datos que entran | Personales, confidenciales, públicos; y de qué fuentes |
| Herramientas que invoca | Solo para agentes: qué sistemas puede tocar |
| Nivel de autonomía | Sugiere, actúa con aprobación o actúa solo |
| Proveedor y contrato | Quién lo opera y bajo qué condiciones |
| Categoría de riesgo | Según el Reglamento, aunque sea provisional |
Si la última columna genera dudas, la calculadora de riesgo del EU AI Act la resuelve sistema a sistema en unos minutos.
Jueves: verificar
Un inventario que nadie ha contrastado es una lista de deseos. El jueves se eligen tres sistemas al azar, mejor de categorías distintas, y se comprueban tres cosas: que el responsable sabe que lo es, que puede apagar el sistema y sabe cómo, y que las herramientas que declara el inventario coinciden con las que el sistema tiene configuradas.
En agentes, esa última comprobación se hace mirando la configuración real, no la documentación. Es donde más sorpresas hay, y por lo que dedicamos un artículo entero a los permisos de herramientas.
Si de tres muestras falla una, el inventario no está listo. Se corrige lo que falla y se amplía la muestra.
Viernes: publicar y darle cadencia
El viernes se publica el inventario con su fecha, se comparte con dirección y con seguridad, y se fija la única regla que lo mantiene vivo: quien despliega un sistema nuevo lo registra antes de conectarlo a datos de la empresa, y el inventario se revisa completo cada trimestre.
Sin esa regla, el inventario del viernes es una foto. Con ella, es el primer control de gobernanza que la empresa tiene funcionando, y el que responde a la comprobación 1.1 del checklist de control de agentes.
Lo que suele aparecer
Con una docena de inventarios hechos, hay tres hallazgos que se repiten casi siempre:
- Agentes que nadie llamó agentes. Automatizaciones en plataformas no-code que llaman a un modelo y después ejecutan acciones. Están en la categoría 4 aunque el equipo que las montó las llame flujos.
- Copilotos activados por defecto. Funciones de IA que el proveedor encendió en una actualización y que ya procesan datos de clientes sin que nadie lo haya decidido.
- Claves compartidas. Una única clave de API de un proveedor de modelos usada por cuatro aplicaciones distintas, con lo que el gasto y la traza no se pueden atribuir a ninguna.
Ninguno de los tres es una crisis. Los tres son invisibles sin inventario, y con él pasan a ser una fila con un responsable y una fecha, que es lo que la gobernanza operativa necesita para empezar. Qué viene después de esa primera capa lo explicamos en gobernanza operativa de IA, y si prefieres hacer la semana con nosotros, es la primera fase del diagnóstico de control.