¿Qué es un inventario de casos de uso de IA?
Gobernanza, riesgo y aseguramiento
Un inventario de casos de uso de IA es un registro actualizado de los sistemas de IA y los usos empresariales habilitados por IA que una organización tiene, está probando o planea desplegar. Cada entrada debe registrar el propósito, el responsable, las dependencias de proveedores o modelos, los datos utilizados, el estado de despliegue, la categoría de riesgo o legal, y los registros, evaluaciones, aprobaciones y controles vinculados que deben existir. En la práctica, es el mapa de alcance que indica a una organización qué obligaciones de gobernanza de la IA aplican y dónde se encuentra la evidencia.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Un inventario de casos de uso de IA no es simplemente una lista de modelos. Es un registro operativo de dónde se utiliza realmente la IA en la organización, por quién, con qué propósito, con qué datos y en qué etapa. Los buenos inventarios incluyen sistemas en producción, proyectos piloto, experimentos próximos al despliegue y usos retirados que siguen siendo relevantes para el mantenimiento de registros.
También es necesario mantenerlo separado de los registros adyacentes. Un inventario de modelos hace seguimiento de los modelos. Un registro de riesgos hace seguimiento de los riesgos. Una evaluación de impacto examina un uso en profundidad. El inventario de casos de uso se sitúa por encima de todos ellos. Su función es identificar cada uso de IA, dirigirlo hacia el camino de control adecuado y mostrar qué evidencia debe existir.
Por qué es importante
La mayoría de los fallos en gobernanza de la IA comienzan con un fallo más simple: la organización no sabe realmente dónde se está utilizando la IA. Cuando eso ocurre, las revisiones comienzan demasiado tarde, se omiten evaluaciones, las promesas de los proveedores no se verifican y los responsables no pueden responder preguntas básicas de auditores, clientes, reguladores, consejos de administración o equipos de contratación.
Un inventario fiable es importante porque la regulación y la gobernanza modernas de la IA se construyen en torno al contexto. La misma capacidad técnica puede ser de bajo riesgo en un entorno y muy sensible en otro. El propósito previsto, las personas afectadas, la supervisión humana, el tipo de datos, el papel del proveedor, la etapa de despliegue y la función empresarial determinan qué obligaciones aplican. El inventario es, por tanto, el mecanismo que delimita los controles, asigna la responsabilidad y orienta a los revisores hacia la evidencia adecuada.
También mejora las operaciones cotidianas. Ayuda a los equipos a detectar herramientas duplicadas, usos ocultos de IA generativa, contratos de proveedores solapados, proyectos piloto obsoletos, aprobaciones pendientes y sistemas que deberían retirarse. Para las organizaciones más grandes, se convierte en la forma más sencilla de convertir una actividad de IA dispersa en algo visible y gobernable.
Cómo funciona
Comienza por el uso empresarial, no por el modelo
Un inventario útil registra la IA al nivel en que se toman las decisiones de gobernanza: el uso empresarial en un contexto de despliegue específico. Esto suele significar un flujo de trabajo habilitado por IA, una funcionalidad de producto, una herramienta de apoyo a la decisión, una función de servicio público o un proceso interno. Un caso de uso puede depender de varios modelos, varias fuentes de datos y varios proveedores. Del mismo modo, un modelo subyacente puede dar soporte a muchos casos de uso distintos, cada uno con diferentes riesgos y necesidades de control.
Por eso importa la unidad de registro. Si las entradas son demasiado técnicas, los responsables no pueden ver qué hace el sistema en la práctica. Si las entradas son demasiado amplias, distintos usos se fusionan y desaparecen diferencias importantes. La unidad adecuada suele ser: "esta organización utiliza esta capacidad de IA para este propósito, con estos usuarios, en este contexto".
Cada registro necesita campos mínimos estables
Una entrada sólida en el inventario suele incluir: un identificador único; nombre del caso de uso; descripción breve del propósito y uso previsto; proceso empresarial afectado; responsable de negocio; responsable técnico o de producto; dependencias de proveedores y componentes; si la organización actúa como proveedor, desplegador, contratante o usuario interno; categorías de datos implicadas; usuarios o grupos afectados; geografía de despliegue; estado actual (idea, diseño, piloto, producción, pausado o retirado); nivel de riesgo o categoría legal; y enlaces a los registros de soporte.
Esos registros de soporte suelen incluir revisión de contratación, revisión de seguridad, revisión de privacidad, evaluaciones de impacto, registros de pruebas, diseño de supervisión humana, documentación técnica, fichas de modelos o sistemas, planes de monitorización, registros de incidentes, registros de cambios y decisiones de retirada. En otras palabras, la entrada del inventario no debe intentar contener todos los documentos, sino apuntar hacia ellos.
Para la IA generativa, la mayoría de las organizaciones también necesitan campos adicionales. Estos suelen incluir la familia de modelos, el método de acceso, si la herramienta está integrada dentro de otro producto, si se utiliza recuperación o ajuste fino, qué proveedores externos tienen acceso al contenido de la organización, qué controles de procedencia o registro existen, y si aplica alguna lista de proveedores aprobados.
La titularidad se divide entre la gestión central y la responsabilidad local
Un inventario de casos de uso de IA necesita tanto una gestión central como responsables locales designados. El gestor central suele ser un Chief AI Officer, un responsable de gobernanza de la IA, una oficina de gobernanza digital, una función de riesgos o el propietario del sistema de gestión. Ese gestor establece la taxonomía, los campos obligatorios, las reglas de revisión y el proceso de actualización. También utiliza el inventario para la elaboración de informes, la garantía y la supervisión.
Pero el gestor central no debe ser el único responsable. Cada entrada necesita al menos un responsable de negocio que pueda explicar por qué existe el uso, un responsable operativo o técnico que pueda explicar cómo funciona, y vías claras hacia los revisores de aspectos legales, privacidad, seguridad y riesgos cuando sea necesario. Los estándares del sector público exigen cada vez más esto de forma explícita, requiriendo equipos designados, responsables sénior o titulares de roles equivalentes.
Sin una titularidad designada, un inventario se convierte en una hoja de cálculo huérfana. Con una titularidad designada, se convierte en un mecanismo de gobernanza vivo.
El inventario dirige los controles y la evidencia
El principal valor del inventario reside en lo que ocurre después de crear una entrada. Un proceso de incorporación bien diseñado plantea un número reducido de preguntas de alcance y luego dirige el caso de uso hacia el camino adecuado. ¿Implica datos personales? ¿Apoya decisiones sobre personas? ¿Está orientado al público? ¿Es crítico para la seguridad? ¿Se contrata a un tercero? ¿Es IA generativa? ¿Sigue siendo experimental o está pasando a producción?
Esas respuestas determinan qué controles adicionales aplican. Algunos usos necesitan evaluación de impacto. Otros necesitan revisión de privacidad. Algunos requieren una diligencia debida más rigurosa con el proveedor, registro, supervisión humana o transparencia pública. Algunos necesitan aprobación central antes de la contratación o el lanzamiento. Otros requieren monitorización continua tras el despliegue y un plan de retirada. El inventario actúa, por tanto, como el árbol de decisión del marco de control más amplio.
Aquí es también donde el inventario se conecta con los artefactos de gobernanza adyacentes sin duplicarlos. Debe apuntar al registro de riesgos de IA cuando un caso de uso genera un riesgo material. Debe activar el programa de evaluación pertinente cuando se necesita un análisis más profundo. Debe integrarse en el sistema de gestión de IA más amplio, en lugar de intentar reemplazarlo.
Los reguladores y los organismos de normalización utilizan la misma lógica básica
El lenguaje varía, pero la lógica de gobernanza es coherente en los principales marcos. El AI RMF de NIST indica a las organizaciones que documenten el propósito previsto, los usuarios, el contexto, las leyes, los actores responsables y el seguimiento del ciclo de vida. El manual de NIST va más lejos al preguntar quién es responsable de las decisiones, el mantenimiento y la actualización, y al tratar los sistemas actualmente desplegados y los de terceros como parte de la gestión formal de riesgos de IA.
La gobernanza del sector público hace el patrón aún más claro. El memorando actual de la OMB federal de EE. UU. utiliza directamente el término "AI Use Case Inventory". Asigna el mantenimiento de ese inventario a los Chief AI Officers de las agencias, exige el seguimiento centralizado de los casos de uso de alto impacto y vincula esas entradas a evaluaciones de impacto, revisión independiente, monitorización e informes públicos. En el sector público del Reino Unido, el Algorithmic Transparency Recording Standard exige registros que identifiquen la organización, el equipo, el responsable sénior, la participación del proveedor, la fase, la frecuencia de uso, los acuerdos de mantenimiento y la información sobre el rendimiento. En Canadá, la Algorithmic Impact Assessment refleja la misma dependencia práctica: las instituciones deben saber primero cuál es el uso de toma de decisiones automatizada, quién es el responsable, en qué etapa se encuentra y qué datos e impactos están implicados.
El EU AI Act no impone un documento universal denominado "inventario de casos de uso de IA". Pero sí impone obligaciones que resultan mucho más fáciles de cumplir si existe uno. Los proveedores de sistemas de IA de alto riesgo deben mantener gestión de riesgos, documentación técnica, gestión de la calidad y registros. Los desplegadores deben monitorizar el funcionamiento, mantener registros cuando los controlan, y en determinados casos realizar una evaluación de impacto sobre los derechos fundamentales antes del primer uso. La base de datos de la UE para determinados sistemas también exige información trazable sobre identidad, propósito previsto, estado y resúmenes de evaluación. En la práctica, un inventario interno es la forma más sencilla de saber qué sistemas entran en esas categorías.
La evidencia que genera es principalmente trazabilidad
Un inventario no demuestra el cumplimiento por sí solo. Lo que genera es trazabilidad. Muestra que la organización identificó el uso, lo clasificó, asignó un responsable, registró su etapa y dependencias, y lo dirigió hacia las verificaciones adecuadas. Eso constituye evidencia valiosa para la auditoría interna, la revisión de segunda línea, la garantía en contratación, los informes al consejo de administración y la respuesta regulatoria.
Un inventario maduro también crea un historial. Las fechas de revisión, los cambios de estado, las modificaciones materiales, los cambios de proveedor, las reevaluaciones, los vínculos con incidentes y los registros de retirada muestran si la organización gestiona la IA como una cuestión de ciclo de vida y no como un ejercicio de aprobación puntual. Ese historial suele ser tan importante como la propia entrada individual.
Ejemplos
Ejemplo federal actual de EE. UU.: la OMB de la Casa Blanca exige a la mayoría de las agencias federales que mantengan un inventario de casos de uso de IA al menos anualmente, lo envíen a la OMB y publiquen una versión pública. La misma estructura de gobernanza asigna el inventario al Chief AI Officer de la agencia y espera un seguimiento centralizado de los casos de uso de alto impacto, evaluaciones de impacto vinculadas, revisión independiente y monitorización continua. Este es un ejemplo claro del inventario como mecanismo de dirección y supervisión, no solo como lista de divulgación.
Ejemplo actual del sector público del Reino Unido: el Algorithmic Transparency Recording Standard funciona como un registro publicable para las herramientas algorítmicas incluidas en su ámbito. Un organismo público completa un registro estructurado que identifica la organización y el equipo responsables, el responsable sénior, la fase actual, la participación del proveedor, la frecuencia y escala de uso, los acuerdos de mantenimiento y el rendimiento del modelo. Ese registro público se entiende mejor como una parte visible de un inventario interno más amplio de casos de uso de IA.
Ejemplo de flujo de trabajo de alto riesgo en la UE: para determinados sistemas de IA de alto riesgo, el AI Act exige a proveedores y desplegadores que mantengan registros trazables vinculados al propósito previsto, la documentación técnica, los registros, la monitorización y el registro. Las autoridades públicas y otros desplegadores relevantes también deben registrar los sistemas especificados y, cuando corresponda, proporcionar resúmenes de las evaluaciones de impacto sobre los derechos fundamentales y la protección de datos. En la práctica, las organizaciones suelen necesitar primero una entrada en el inventario interno; de lo contrario, no pueden conectar de forma fiable la categoría legal, el responsable, el estado y el paquete de evidencias.
Malentendidos frecuentes
Malentendido: "Es solo una hoja de cálculo para los auditores." Corrección: una lista inactiva tiene un valor limitado. Un inventario real debe activar revisiones, aprobaciones, monitorización y acciones de retirada.
Malentendido: "Es lo mismo que un inventario de modelos." Corrección: un inventario de casos de uso hace seguimiento del uso empresarial en contexto. Los registros de modelos son solo un artefacto vinculado.
Malentendido: "Si lo construyó un proveedor, el proveedor se encarga del mantenimiento de registros." Corrección: la documentación del proveedor es importante, pero la organización que despliega el sistema sigue necesitando conocer el propósito, el responsable, la categoría legal y el camino de control interno.
Malentendido: "Solo la IA de alto riesgo o la orientada al público necesita inventariarse." Corrección: los copilotos internos, las herramientas de análisis y los sistemas de apoyo a la decisión también pueden generar problemas legales, de seguridad, de contratación, de privacidad y de gobernanza.
Malentendido: "Una vez que existe una entrada, el trabajo está hecho." Corrección: los cambios materiales en el propósito, los usuarios, los datos, el proveedor, la configuración del modelo o el contexto de despliegue pueden requerir una reclasificación y una nueva revisión.
Riesgos y límites
La expresión "inventario de casos de uso de IA" no es un término legal universal. Algunos marcos la utilizan directamente, especialmente en la administración pública. Otros exigen los registros subyacentes de forma indirecta, a través de obligaciones sobre gestión de riesgos, documentación, registro, transparencia, evaluación de impacto o inscripción. Esto significa que no existe una plantilla global única que se adapte a todos los sectores y jurisdicciones.
También es fácil aplicar mal el mecanismo. Si los registros son demasiado amplios, desaparecen diferencias significativas entre usos. Si son demasiado detallados, los equipos se ahogan en entradas y dejan de mantenerlas. Si el inventario lo gestiona solo el equipo central, los responsables locales lo ignoran. Si no se conecta con la contratación, la experimentación, la gestión del cambio y la retirada, quedará obsoleto rápidamente.
Un inventario no es asesoramiento jurídico, no sustituye al análisis de clasificación y no es prueba de que las pruebas o la supervisión sean adecuadas. Es la capa de alcance y trazabilidad. Las evaluaciones, los controles y los registros subyacentes siguen teniendo que realizarse correctamente.
Algunas plantillas detalladas e instrucciones de elaboración de informes seguirán evolucionando. Esto es especialmente cierto en lo que respecta a la categorización de alto riesgo, los formatos de evaluación de impacto, los informes públicos y los controles de la cadena de suministro de IA generativa. La parte duradera es la lógica de gobernanza: saber qué IA se utiliza, dónde se utiliza, quién es el responsable, en qué etapa se encuentra y qué camino de control aplica.
Qué hacer a continuación
Comience por definir la unidad de registro. Para la mayoría de las organizaciones, debe ser el uso empresarial habilitado por IA en un contexto de despliegue específico, no el modelo en bruto. A continuación, designe un gestor central, normalmente dentro de la estructura más amplia de gobernanza de la IA, y exija que cada entrada nombre un responsable de negocio y un responsable operativo.
Después, establezca un conjunto mínimo de campos y haga obligatoria la creación de entradas en el momento más temprano posible: antes de la contratación, antes del piloto, antes del lanzamiento público o antes del uso en producción de una herramienta interna. No espere a que una auditoría formal solicite una lista.
A continuación, conecte el inventario a puntos de control de proceso reales. Una entrada debe poder activar una evaluación de riesgos, una revisión de contratación, una revisión de privacidad, una evaluación, una solicitud de documentación técnica, un plan de monitorización y una revisión de retirada. Si es posible, construya un registro maestro único con un subconjunto público controlado para la transparencia o los informes sectoriales.
Por último, revíselo ante cambios materiales y con una periodicidad fija. Los inventarios más útiles no son los más extensos. Son los que están actualizados, son atribuibles y están vinculados a la evidencia.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Qué debe considerarse una entrada del inventario?
Normalmente, un uso empresarial habilitado por IA en un contexto de despliegue. Si el mismo modelo se utiliza para selección de personal, detección de fraude y atención al cliente, esos son normalmente entradas separadas, porque los usuarios, los efectos, los controles y las cuestiones legales difieren.
¿Es un inventario de casos de uso lo mismo que un registro de riesgos de IA?
No. El inventario identifica y clasifica los usos de la IA. El registro de riesgos recoge los riesgos importantes que surgen de esos usos y los planes de tratamiento asociados.
¿Deben incluirse los experimentos en el inventario?
Normalmente sí, al menos de forma simplificada, una vez que un experimento supera la exploración informal y es probable que avance hacia la contratación, el piloto o el despliegue. Esperar hasta el lanzamiento suele ser demasiado tarde.
¿Quién debe ser el responsable del inventario?
Una función central debe gestionarlo, pero cada entrada debe tener un responsable de negocio designado y un responsable operativo o técnico designado. La titularidad compartida sin roles designados suele fracasar.
¿Cuáles son los campos mínimos que toda organización debe registrar?
Como mínimo: nombre, propósito, responsable, estado de despliegue, dependencia de proveedor o modelo, categorías de datos, usuarios afectados o proceso empresarial, nivel de riesgo o categoría legal, evidencia vinculada y fecha de revisión.
¿Puede un inventario servir tanto para la gobernanza interna como para la transparencia pública?
Sí. Muchas organizaciones mantienen un registro maestro único y publican solo los campos adecuados para la divulgación externa. Este enfoque funciona mejor cuando los campos sensibles y los no sensibles están claramente separados.
¿Con qué frecuencia debe actualizarse?
Al crearse, antes de cambios materiales de etapa, tras modificaciones significativas, en un ciclo de revisión periódica y en el momento de la retirada. También debe actualizarse cuando cambie la titularidad, el proveedor, el uso de datos o el contexto de despliegue.