Inventario rápido para cumplir el AI Act en 30 días

Por qué priorizar un inventario en 30 días

El Reglamento de la UE sobre IA (EU AI Act) ya es una realidad operativa para las administraciones públicas: obliga a identificar sistemas de alto riesgo, aplicar medidas de gestión de riesgos y garantizar requisitos de transparencia y documentación. Antes de diseñar controles o contratar proveedores, una tarea urgente y asequible es crear un inventario fiable de sistemas de IA. En 30 días puedes obtener una clasificación inicial que permita priorizar cumplimiento y mitigación.

A continuación, un plan práctico, plantillas y acciones concretas pensadas para equipos municipales, directores de TI y oficinas legales.

Objetivo del sprint de 30 días

Entregar al cabo de 30 días:

• Inventario mínimo viable de todos los sistemas que usan IA o ML.
• Clasificación preliminar por nivel de riesgo (anexo III / alto riesgo, riesgo limitado, mínimo).
• Lista priorizada de 10 acciones inmediatas (mitigaciones, propietarios, plazos).
• Plantilla de "ficha de sistema" que sirva para auditoría y compras.

Roles y participantes (día 0)

• Patrocinador político / responsable de unidad (decisiones y recursos).
• Responsable de datos / DPD (RGPD).
• Director de TI / jefe de proyectos.
• Responsable legal (contratación y responsabilidades).
• Usuario clave por servicio (ej. oficina de Urbanismo, Tráfico).
• (Opcional) proveedor o partner técnico para soporte en inventario.

Semana 1: Recolección rápida (días 1–7)

Objetivo: crear un listado inicial con fuentes y responsables.

Acciones:

• Reunir fuentes: catálogo de aplicaciones, contratos SaaS, inventario de servidores, formularios de atención ciudadana, procesos de back-office.
• Enviar plantilla simple por correo a responsables de área solicitando confirmación de uso de IA (plazo 5 días).
• Recolectar metadata mínima: nombre del sistema, proveedor, responsable interno, ubicaciones de datos, si procesa datos personales.

Plantilla mínima (ficha de sistema — campos obligatorios):

• Nombre del sistema
• Descripción breve del uso de IA
• Responsable interno (persona y unidad)
• Proveedor / servicio (SaaS/on-prem)
• Datos tratados (personales / no personales)
• Usuarios finales
• Fecha de puesta en producción
• Evidencia contractual (sí/no)

Semana 2: Clasificación preliminar de riesgo (días 8–14)

Objetivo: asignar categoría de riesgo según criterios del AI Act.

Acciones:

• Revisar cada ficha y aplicar checklist de riesgo:
  • ¿Decisiones automáticas afectan derechos fundamentales, acceso a servicios esenciales, empleo, justicia, migración, seguridad pública?
  • ¿Incluye identificación biométrica remota o reconocimiento de personas en espacios públicos?
  • ¿Se usa para selección o clasificación en ámbitos regulados (educación, empleo, crédito, salud)?
• Clasificar: Alto riesgo / Riesgo limitado / Riesgo mínimo / Prohibido (si aplica).

Notas prácticas:

• Si existe duda, clasificar como "a priori alto riesgo" para priorizar.
• Documentar la razón de clasificación en la ficha.

Semana 3: Evaluación rápida de cumplimiento y mitigaciones (días 15–21)

Objetivo: detectar brechas críticas y definir mitigaciones inmediatas.

Acciones:

• Para sistemas clasificados como alto riesgo, verificar si existe:
  • Sistema de gestión de riesgos del modelo (procedimientos documentados).
  • Registro de entrenamiento y calidad de datos.
  • Documentación técnica y logs de funcionamiento.
  • Mecanismos de supervisión humana y procedimientos de escalado.
• Para SaaS, revisar contratos: responsabilidades sobre conformidad, acceso a registros y subcontratación.
• Definir mitigaciones inmediatas (ejemplos):
  • Limitar uso operativo hasta realizar evaluación de conformidad.
  • Activar supervisión humana reforzada en decisiones sensibles.
  • Añadir avisos de transparencia en trámites ciudadanos.

Entregable: lista priorizada de acciones con responsables y fecha límite (30/60/90 días).

Semana 4: Comunicación y plan de siguiente fase (días 22–30)

Objetivo: asegurar gobernanza y plan plurimensual.

Acciones:

• Preparar informe ejecutivo para dirección municipal con:
  • Número de sistemas inventariados y clasificados.
  • Lista de alto riesgo y mitigaciones inmediatas.
  • Recomendaciones para evaluación de conformidad y auditoría.
• Publicar un registro interno (y, si procede, una nota pública de transparencia) indicando sistemas de IA usados en servicios ciudadanos.
• Planificar fases siguientes:
  • Evaluaciones técnicas detalladas para sistemas de alto riesgo.
  • Integración con ENS y RGPD (evaluación conjunta).
  • Definición de cláusulas contractuales estándar y SLAs.

Recomendaciones prácticas y plantillas útiles

• Usa formatos simples: CSV para inventario, una ficha por sistema en formato editable.
• Prioriza sistemas en producción que afectan a derechos o servicios esenciales.
• Exige a proveedores documentación técnica y acceso a logs para auditoría.
• Coordina con el Delegado de Protección de Datos: AI Act y RGPD deben evaluarse juntos.
• Integra este inventario con el catálogo de servicios y con el Comité de Gobernanza de IA local.

Riesgos y límites del sprint

• No es una evaluación de conformidad final: el inventario aporta priorización, no certificación.
• Requiere compromiso de las unidades para recopilar información.
• Algunas clasificaciones podrán cambiar tras evaluaciones técnicas profundas.

Takeaway / Acción inmediata

Empieza hoy: envía la plantilla de ficha de sistema a todos los responsables de área con un plazo de 7 días. Con esa información podrás, en 30 días, tener la visibilidad necesaria para priorizar cumplimiento del AI Act y proteger servicios críticos. OptimGov y partners locales pueden aportar plantillas y apoyo técnico para el inventario si se necesita ayuda en la fase de recolección y clasificación.