Registro de sistemas de IA en la pyme: plantilla, columnas y método para inventariar sus usos (2026)

Registro de sistemas de IA en la pyme: plantilla, columnas y método para inventariar sus usos (2026)

Un cliente grande le envía su cuestionario de homologación de proveedores. Pregunta 14: «Indique los sistemas de inteligencia artificial utilizados en la prestación del servicio, su proveedor y su nivel de riesgo según el Reglamento (UE) 2024/1689». Usted sabe que sus equipos usan ChatGPT, que el CRM tiene un asistente y que marketing genera imágenes con IA. Pero no tiene nada escrito.

Eso es exactamente lo que resuelve un registro de sistemas de IA. Esta guía explica qué debe contener, columna por columna, cómo rellenarlo en media jornada y cómo encajarlo con su registro de actividades de tratamiento del RGPD. Sin jerga, con un ejemplo de pyme española.

¿Es obligatorio tener un registro de sistemas de IA?

Conviene ser precisos, porque la respuesta suele presentarse mal.

El Reglamento de IA no obliga a todos los responsables del despliegue a llevar un documento llamado «registro de sistemas de IA». El registro en la base de datos de la Unión Europea (artículo 49) afecta a los proveedores de sistemas de alto riesgo y a determinados responsables del despliegue del sector público, no a una pyme que usa Copilot.

Dicho esto, tres obligaciones hacen que el inventario sea imprescindible en la práctica:

• El artículo 4 (alfabetización en IA), aplicable desde el 2 de febrero de 2025, le pide adoptar medidas para apoyar la alfabetización en IA de su personal. No se puede formar sobre herramientas que no se han identificado.
• El artículo 50 (transparencia), aplicable desde el 2 de agosto de 2026, le obliga a informar a quien interactúa con un chatbot y a marcar los contenidos generados. Antes hay que saber qué herramientas producen qué.
• El alto riesgo (Anexo III), cuyas obligaciones completas se aplican desde el 2 de diciembre de 2027 tras el aplazamiento del ómnibus digital, afecta a la selección de personal, la evaluación de la plantilla o el scoring. Debe saber hoy si alguna de sus herramientas entra en esa categoría.

Un apunte de actualidad. El ómnibus digital ya no está pendiente: es el Reglamento (UE) 2026/1744, publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio. Confirma el calendario anterior y añade, desde el 2 de diciembre de 2026, nuevas prohibiciones al artículo 5 (contenidos íntimos generados sin consentimiento). En cambio, el Proyecto de Ley Orgánica española para el buen uso y la gobernanza de la IA, aprobado por el Consejo de Ministros el 26 de mayo de 2026, ha caducado con la disolución de las Cortes del 6 de octubre de 2026. Habrá que esperar a que el nuevo Gobierno lo vuelva a presentar. Mientras tanto, sus obligaciones son las del Reglamento europeo, que se aplica directamente, y la AESIA y la AEPD actúan con las competencias que ya tienen.

En el lado del RGPD, el artículo 30 impone el registro de actividades de tratamiento (y el artículo 31 de la LOPDGDD lo precisa para España). Cada herramienta de IA que toca datos personales tiene allí su sitio. El registro de sistemas de IA no lo sustituye: lo complementa, y los dos documentos se remiten el uno al otro.

Por último, las sanciones del Reglamento llegan hasta 35 millones de euros o el 7 % del volumen de negocio mundial, aplicándose a las pymes el menor de los dos importes. Pero el riesgo real de una pyme sigue siendo otro: un requerimiento de la AEPD tras un incidente con datos, o la pérdida de un contrato por no poder responder al cuestionario del cliente. En los dos casos, el registro es el primer documento que le van a pedir.

Registro de IA y registro RGPD: en qué se diferencian

Los dos se confunden con frecuencia. Esta es la distinción útil.

Una herramienta de IA puede aparecer en varios tratamientos (un asistente que usan comercial y RR. HH.). Un tratamiento puede movilizar varias herramientas. De ahí el interés de dos registros enlazados en lugar de un documento único ilegible.

La plantilla: las columnas de un registro de sistemas de IA

Esta es la estructura que utilizamos con las pymes. Dieciocho columnas, repartidas en cinco bloques. Es el formato del archivo que se entrega en el Kit de Cumplimiento AI Act para pymes, en hoja de cálculo, con las listas desplegables ya configuradas.

Bloque 1: identificación

1. Identificador: un código corto (IA-001, IA-002). Sirve de referencia en la política de uso, los certificados de formación y los contratos.
2. Nombre de la herramienta: ChatGPT, Copilot, Gemini, Claude, o el nombre del módulo («asistente de redacción del CRM»).
3. Proveedor: el editor y, si es distinta, la entidad con la que se contrata (distribuidor, integrador).
4. Tipo de sistema: IA generativa de texto, generación de imágenes, chatbot de atención al cliente, transcripción, análisis predictivo, visión artificial, agente automatizado.
5. Modo de acceso: cuenta de empresa, cuenta individual, versión gratuita, módulo integrado en un programa de gestión, API.

Bloque 2: uso

6. Departamento usuario: comercial, marketing, RR. HH., producción, dirección, administración.
7. Finalidad: en una frase concreta. «Redactar las primeras versiones de las memorias de licitación», no «productividad».
8. Usuarios: número de personas y perfiles (plantilla, personal en prácticas, autónomos, proveedores).
9. Frecuencia: diaria, semanal, puntual.

Bloque 3: datos

10. Categorías de datos introducidos: datos públicos, datos internos no sensibles, datos personales de clientes, datos personales de la plantilla, secretos empresariales.
11. Datos personales: sí o no y, en caso afirmativo, referencia del tratamiento en el registro RGPD.
12. Condiciones del proveedor: ¿sus datos se utilizan para entrenar el modelo? ¿Dónde se alojan? ¿Cuánto tiempo se conservan? Las tres respuestas están en las condiciones de uso o en el contrato, y cambian a menudo entre la versión gratuita y la versión de empresa.

Bloque 4: cumplimiento

13. Nivel de riesgo según el Reglamento de IA: prohibido, alto riesgo, riesgo limitado, riesgo mínimo.
14. Obligaciones aplicables y fecha: artículo 4 (desde el 2 de febrero de 2025), artículo 50 (desde el 2 de agosto de 2026), alto riesgo Anexo III (2 de diciembre de 2027), Anexo I (2 de agosto de 2028).
15. Supervisión humana: quién revisa, quién valida, quién decide. Obligatoria en alto riesgo, recomendable en todo lo demás.
16. Transparencia e información laboral: ¿está puesto el aviso «está hablando con una IA»? ¿Se ha comprobado el marcado de los contenidos generados? Y, si la herramienta influye en decisiones sobre condiciones de trabajo, acceso o mantenimiento del empleo, ¿se ha informado a la representación legal de las personas trabajadoras (art. 64.4 d) ET)?

Bloque 5: gobernanza

17. Estado: autorizada, tolerada (tareas sin datos sensibles), prohibida, en evaluación.
18. Responsable interno, fecha de alta y fecha de la próxima revisión: sin esos tres datos, el registro muere en seis meses.

Dieciocho columnas parecen muchas. En la práctica, dos tercios se rellenan con una lista desplegable, y una pyme de 30 personas rara vez supera las 10 o 15 filas.

El método: rellenar el registro en media jornada

Paso 1: recopilar (1 h 30)

Tres fuentes, que hay que cruzar.

Los equipos. Envíe a cada responsable de departamento un cuestionario de cinco preguntas: qué herramientas de IA usan, para qué, con qué datos, con qué frecuencia y con qué tipo de cuenta. Deje claro que el objetivo es ordenar, no sancionar. Si no, solo recibirá la mitad de las respuestas.

Las facturas y suscripciones. Revise las suscripciones SaaS, las notas de gastos y los pagos con tarjeta. Una suscripción a ChatGPT Plus pagada con tarjeta personal y pasada como gasto es una señal inequívoca.

El software que ya tiene. Su CRM, su suite ofimática, su correo, su programa de nóminas o de contabilidad han activado con toda probabilidad un asistente de IA desde 2024. Revise los paneles de administración. Son las herramientas que más se olvidan.

Paso 2: calificar (1 h)

Para cada fila, complete los bloques 1 a 3. Lo que más tiempo lleva es la columna «condiciones del proveedor». En una herramienta de consumo, la respuesta cabe en una línea: versión gratuita, datos potencialmente usados para entrenamiento, alojamiento fuera de la UE. En una versión de empresa, lea el acuerdo de tratamiento de datos (DPA) y compruebe que existe un contrato de encargado del tratamiento conforme al artículo 28 del RGPD.

Paso 3: clasificar (45 min)

Para cada herramienta, hágase tres preguntas por orden.

1. ¿El uso entra en una práctica prohibida? Reconocimiento de emociones en el trabajo, puntuación social, manipulación. En una pyme, la respuesta es casi siempre no. Si duda, repase los niveles de riesgo en nuestra guía sobre qué se aplica a su pyme del Reglamento de IA en 2026.
2. ¿El uso es del Anexo III? Cribado de candidaturas, evaluación o vigilancia de la plantilla, concesión de crédito, acceso a servicios esenciales. Si es así: alto riesgo, plazo del 2 de diciembre de 2027, contacto inmediato con el proveedor e información a la representación legal de las personas trabajadoras antes de desplegar.
3. ¿La herramienta interactúa con personas o genera contenidos que se difunden? Si es así: riesgo limitado, artículo 50 aplicable.

Todo lo demás es riesgo mínimo, con el artículo 4 como única obligación específica.

Paso 4: decidir (30 min)

Para cada fila, la dirección o el responsable de IA decide: autorizada, tolerada, prohibida. La regla sencilla: una herramienta que trata datos de clientes debe estar autorizada, con cuenta de empresa y contrato legible. Una herramienta gratuita puede tolerarse para tareas genéricas. Una herramienta cuyas condiciones permiten entrenar con sus datos queda prohibida para cualquier contenido confidencial, aunque solo sea por la Ley 1/2019 de secretos empresariales.

Estas decisiones alimentan directamente el anexo de «herramientas autorizadas» de su política de uso. Si todavía no la tiene, nuestra guía sobre la política de uso de IA en la empresa detalla la estructura que conviene adoptar.

Paso 5: mantenerlo vivo (15 min, y después en continuo)

Fije una fecha de revisión (12 meses como máximo) y una regla de entrada: toda herramienta nueva pasa por el responsable de IA antes de usarse. Añada una fila por cada solicitud, incluso rechazada. Un registro con filas «rechazada» es más creíble que un registro perfecto.

Ejemplo: el registro de una pyme de servicios B2B de 35 personas

Pongamos una ingeniería de 35 personas con sede en Valencia que trabaja para promotores y administraciones. Tras la recopilación, el registro cabe en siete filas. Estas son cuatro, simplificadas.

La fila IA-004 apareció durante la recopilación: la función venía activada por defecto en el software de selección y nadie la había comunicado. Es el caso más frecuente de «alto riesgo involuntario» en una pyme. Y en España arrastra una segunda obligación que ya está en vigor y no depende del Reglamento: el artículo 64.4 d) del Estatuto de los Trabajadores, que da a los delegados de personal o al comité de empresa el derecho a conocer los parámetros, reglas e instrucciones del algoritmo. Sin registro, esta empresa lo habría descubierto en diciembre de 2027, o ante un requerimiento.

Los 5 errores que dejan un registro inservible

1. El registro sin dueño. Un archivo creado por una persona en prácticas y nunca reabierto. Nombre a un responsable de IA y ponga su nombre en el documento.
2. Clasificarlo todo como riesgo mínimo. Es tentador, y es falso en cuanto tiene un chatbot, un generador de contenidos o un módulo de RR. HH. Siga las tres preguntas del paso 3.
3. Ignorar las herramientas integradas. El asistente de su suite ofimática es un sistema de IA. Probablemente trata sus documentos más sensibles.
4. Confundir registro de IA y registro RGPD. Dos documentos, dos lógicas, unidos por una columna. Un solo documento acaba ilegible y no satisface ni al uno ni al otro.
5. No fechar. Un registro sin versión ni fecha de revisión no prueba nada. Una autoridad o un cliente quiere saber cuándo se hizo el inventario y cuándo se volverá a hacer.

Lo que el registro le permite después

El registro no es un fin en sí mismo. Es la base de tres acciones que vienen a continuación.

La formación del artículo 4. Forma a sus equipos sobre las herramientas que de verdad se usan, con las reglas que de verdad se han decidido. Nuestra guía sobre la formación en IA obligatoria del artículo 4 explica cómo montar una sesión de 45 minutos y conservar la prueba.

La transparencia del artículo 50. Cada fila de riesgo limitado indica la medida que toca: aviso en el chatbot, marcado de los contenidos, etiquetado de las imágenes retocadas.

La coherencia con el RGPD. Cada fila con datos personales remite a un tratamiento documentado, con su base jurídica y su contrato de encargado. Si sus equipos usan herramientas de consumo con datos de clientes, lea primero nuestro artículo sobre RGPD e IA generativa en la pyme.

Para comprobar que no se deja nada antes de empezar, descargue la checklist gratuita AI Act para pymes: diez preguntas y la lista de puntos que revisar antes, durante y después del inventario.

Si prefiere que el inventario se haga con usted, la Auditoría Estratégica de IA cartografía sus herramientas, sus riesgos y sus prioridades en una sesión de dos horas, con informe escrito y el registro como entregable.

Y si quiere la plantilla lista para usar, junto con la política corporativa, las normas de uso, el módulo de formación con certificado y la guía que marca el orden de los pasos, ese es el contenido del Kit de Cumplimiento AI Act para pymes.

FAQ – Registro de sistemas de IA

¿Es obligatorio el registro de sistemas de IA para una pyme?

El Reglamento de IA no impone formalmente un registro interno a todos los responsables del despliegue. Pero sí obliga a apoyar la alfabetización en IA del personal (artículo 4, desde el 2 de febrero de 2025), a garantizar la transparencia de chatbots y contenidos generados (artículo 50, desde el 2 de agosto de 2026) y a preparar las obligaciones del alto riesgo (2 de diciembre de 2027). Sin inventario, ninguna de esas obligaciones se puede demostrar. El registro es la herramienta de prueba más sencilla.

¿Qué diferencia hay entre el registro de IA y el registro de actividades de tratamiento?

El registro de actividades de tratamiento (artículo 30 del RGPD y artículo 31 de la LOPDGDD) lista los tratamientos de datos personales: finalidad, base jurídica, plazos, destinatarios. El registro de sistemas de IA lista las herramientas: proveedor, uso, nivel de riesgo, obligaciones, estado. Una herramienta de IA que trata datos personales aparece en los dos, con una referencia cruzada.

¿Hay que inscribir ChatGPT en versión gratuita en el registro?

Sí, si se usa en un contexto profesional, aunque sea de forma ocasional y con una cuenta personal. Es precisamente el uso que hay que ordenar: datos introducidos, estado tolerada o prohibida, regla de revisión. Un registro que solo lista las herramientas oficiales se deja fuera lo esencial.

¿Cuánto se tarda en construir el registro en una pyme?

Media jornada en una pyme de 10 a 50 personas, si la recopilación está bien preparada (cuestionario a los equipos, revisión de suscripciones, comprobación de los módulos integrados). Cuente una jornada a partir de 100 personas o si hay varios centros de trabajo. La revisión anual lleva después una o dos horas.

¿Quién debe llevar el registro en una pyme?

El responsable de IA designado en la política de uso. En la práctica suele ser la persona que dirige la empresa, la dirección financiera, el responsable de sistemas o el de calidad. Si tiene delegado de protección de datos, este lleva el registro RGPD y trabaja con el responsable de IA en las filas comunes. Lo importante es que una persona con nombre sea responsable de la actualización.

¿Cambia algo que el proyecto de ley española de IA haya caducado?

No en cuanto a sus obligaciones. El Reglamento (UE) 2024/1689 se aplica directamente en España y el ómnibus (Reglamento (UE) 2026/1744) ya está publicado. El proyecto de ley orgánica regulaba sobre todo las autoridades competentes y el régimen sancionador nacional; al caducar con la disolución de las Cortes, tendrá que volver a presentarse en la próxima legislatura. Cuando una futura ley entre en vigor, precisará quién sanciona en España y cómo. El registro que haga hoy le servirá igual.

Para seguir leyendo

• Reglamento de IA: qué se aplica a su pyme en 2026
• Política de uso de IA en la empresa: plantilla y contenido
• Artículo 4 del AI Act: formación en IA obligatoria en pymes
• IA en recursos humanos: qué debe cumplir su pyme antes de cribar un CV
• RGPD e IA generativa: cómo usar ChatGPT, Copilot o Gemini en su pyme sin infringir el RGPD
• Version française : Registre des systèmes d'IA en PME : modèle, colonnes et méthode pour inventorier vos usages (2026)

Este artículo es una orientación general, a fecha de 27 de octubre de 2026, y no constituye asesoramiento jurídico. Los modelos descritos son genéricos: adáptelos a su situación y, si es necesario, hágalos validar por un profesional. El proyecto de ley orgánica española se menciona como iniciativa caducada en la XV Legislatura, pendiente de una nueva presentación.