Dokuflex incluye un registro de herramientas de IA gratuito: inventaria cada herramienta y sistema de inteligencia artificial que tu empresa desarrolla o usa, desde ChatGPT o Copilot hasta el scoring de tu CRM, clasifícalo por nivel de riesgo según el Reglamento de IA (AI Act) y deja la evidencia junto a la ficha. Formulario guiado, 11 reglas automáticas, cuadro de mando y seis ejemplos. Se activa en menos de un minuto, sin proyecto de implantación, desde el catálogo de módulos de Dokuflex, plataforma BPM low-code con IA, con los datos en la UE.
Un registro de herramientas de IA (o registro de sistemas de IA, en el lenguaje del Reglamento) es el inventario de las herramientas y sistemas de inteligencia artificial que una organización desarrolla o utiliza, con la finalidad, el proveedor, los datos, el rol (proveedor o responsable del despliegue) y el nivel de riesgo de cada uno según el Reglamento de IA. Es la evidencia que te pedirán AESIA, un auditor o un cliente.
El Reglamento (UE) 2024/1689 regula cada sistema según su finalidad y su nivel de riesgo, y reparte las obligaciones entre quien lo desarrolla (proveedor) y quien lo utiliza bajo su autoridad (responsable del despliegue). Para una pyme o mediana empresa son cuatro deberes:
Las multas del artículo 99 llegan a 35 millones de euros o el 7 % del volumen de negocio mundial por prácticas prohibidas, 15 millones o el 3 % por el resto y 7,5 millones o el 1 % por dar información inexacta a las autoridades (en España, AESIA). Ninguno de los cuatro deberes se cumple sin saber antes qué sistemas hay y de qué tipo son: la guía campo a campo está en cómo inventariar y clasificar la IA que tu empresa ya usa.
El Reglamento se aplica también a las pymes, y un registro de IA para empresas no es un lujo de grandes corporaciones; en sus multas (artículo 99) rige el menor de los dos importes, la cifra fija o el porcentaje. Lo que cambia es el calendario: cada fecha añade obligaciones a sistemas concretos, y el registro de sistemas de IA es lo que te permite demostrar en cada una qué tienes, de qué riesgo es y qué medidas has adoptado.
Desde el 2 de febrero de 2025 están prohibidas las prácticas del artículo 5 y el personal que usa IA debe estar formado (artículo 4). Desde el 2 de agosto de 2026 hay que informar de que se interactúa con una IA o de que un contenido es generado (artículo 50), lo que afecta a cualquier chatbot y generador de texto o imagen. En el registro: todos los sistemas dados de alta, el estado «prohibido» aplicado a los inaceptables y la transparencia confirmada en cada ficha de riesgo limitado.
Cribado de currículos, evaluación de empleados, scoring de crédito, seguros, educación o biometría pasan a exigir supervisión humana, control de datos, registro de eventos, DPIA e información a los trabajadores (artículo 26). En el registro: categoría del Anexo III, fecha de evaluación de conformidad, marcado CE, medidas de supervisión y la documentación del proveedor adjunta a cada ficha antes de esa fecha.
Una plataforma de gobernanza de IA completa tiene sentido cuando la organización desarrolla y opera sus propios modelos. Para quien sobre todo usa IA comprada, el punto de partida es más sencillo: inventario, clasificación de riesgo, evidencia y trazabilidad. Dokuflex lo cubre con un módulo gratuito dentro de su software BPM low-code con IA, con los datos alojados en la UE, y crece con el diseñador low-code si tu política interna exige un flujo de aprobación o campos propios de tu sector.
Casi todas las empresas empiezan el inventario en una hoja compartida y casi todas lo abandonan en el primer trimestre, porque el registro tiene que hacer cosas que una hoja no hace:
Y la hoja solo recoge lo que IT compró. La IA embebida en el ERP o el CRM y la que usan los empleados por su cuenta (la IA en la sombra) no aparece hasta que el alta es un formulario que cualquier departamento puede rellenar. Para esa primera pasada por departamentos sirve la plantilla Excel gratuita de inventario de sistemas de IA, con la categoría de riesgo del AI Act y el área del Anexo III en desplegables.
El módulo es un proceso de registro directo, sin workflow de aprobación (dar de alta un sistema no debería esperar a nadie), con cuatro bloques de campos, once reglas que aplican la lógica del Reglamento al rellenar y un cuadro de mando que responde a «¿cuánta IA tenemos y de qué riesgo?».
El Reglamento define «sistema de IA» por lo que hace, no por quién lo vendió ni por si se paga. En la práctica, el inventario de una pyme suele tener cuatro tipos de entradas, y cada una recibe su ficha con finalidad, proveedor, rol y nivel de riesgo:
Número automático (IA-1, IA-2…), nombre, finalidad prevista, área de uso (RRHH, atención al cliente, marketing, finanzas, operaciones, seguridad), rol de la organización (proveedor, responsable del despliegue, importador, distribuidor), proveedor o producto, modelo base, responsable interno, fecha de alta y estado (en evaluación, piloto, en producción, retirado, prohibido).
Si trata datos personales, categorías de datos (identificativos, financieros, salud, biométricos, localización, comportamiento), DPIA realizada, personas afectadas (empleados, clientes, candidatos, ciudadanos, menores) y si toma decisiones automatizadas con efectos sobre personas. Es el puente con el registro de actividades de tratamiento del RGPD; los derechos de los interesados y las brechas se gestionan en el módulo de derechos RGPD y brechas de seguridad.
Nivel de riesgo (mínimo, limitado, alto, inaceptable), categoría del Anexo III (biometría, infraestructuras críticas, educación, empleo, servicios esenciales, aplicación de la ley, migración, justicia), medidas de supervisión humana, transparencia del artículo 50, registro de eventos, fecha de evaluación de conformidad, marcado CE y fecha límite aplicable.
Última y próxima evaluación, incidentes registrados, documentación adjunta (fichas técnicas, DPIA, evaluaciones como la de impacto en derechos fundamentales o FRIA del artículo 27, contratos), observaciones y el calendario de aplicación del Reglamento a la vista.
Clasificar como Inaceptable pasa el estado a Prohibido. La ficha refleja el artículo 5 en el momento, sin que nadie tenga que acordarse.
Con riesgo Alto aparecen los campos del Anexo III: la categoría (obligatoria), la fecha de evaluación de conformidad y el marcado CE. Con cualquier otro nivel no estorban.
Con riesgo Limitado la transparencia del artículo 50 es obligatoria: no se guarda un chatbot o un generador de contenido sin confirmar que se informa a las personas.
Con datos personales, las categorías de datos aparecen y son obligatorias; con decisiones automatizadas, la DPIA pasa a ser obligatoria.
Un sistema en producción necesita fecha de próxima evaluación. El inventario no se queda sin dueño ni sin calendario.
El listado abre con cuatro tarjetas (alto riesgo, en producción, en evaluación y con datos personales) y una tabla filtrable por área, riesgo, rol, fecha límite, estado y responsable, exportable a Excel, más una vista kanban por estado. El cuadro de mando reparte el inventario en seis gráficos: nivel de riesgo, área de uso, estado, rol, altas por mes y decisiones automatizadas. Cada cambio en una ficha queda en su histórico con usuario y fecha. Cuando un auditor, un cliente o AESIA piden evidencia, la respuesta es el inventario exportado, la documentación adjunta a cada ficha y ese histórico, no una hoja reconstruida a posteriori.
Buena parte de la IA que usa una empresa llega de terceros: el chatbot de la herramienta de atención al cliente, el cribado de currículos del software de selección o el scoring integrado en el ERP. Que sea comprada no te exime: si el sistema es de alto riesgo, el artículo 26 exige al responsable del despliegue supervisión humana, control de datos y logs, y para cumplirlo dependes de lo que te entrega el proveedor. Cada ficha identifica al proveedor o producto, el modelo base y tu rol, y guarda junto a ella la ficha técnica y el contrato; en los sistemas de alto riesgo, además, la fecha de evaluación de conformidad y el marcado CE.
La fecha de próxima evaluación convierte la revisión de cada proveedor crítico en un compromiso con calendario, y el histórico deja constancia de quién la hizo y cuándo: es la evidencia de gestión del riesgo de terceros que suele pedir una auditoría, sin abrir un proyecto aparte. Si el riesgo que te preocupa es el de ciberseguridad de tus proveedores TIC, NIS2 y DORA exigen además saber qué tercero estaba implicado en cada incidente, y eso se documenta en el registro de incidentes NIS2 y DORA.
Se activa desde el catálogo de módulos de cualquier cuenta Dokuflex (grupo «Cumplimiento normativo») y se instala en menos de un minuto:
Está en el catálogo de plantillas como registro de sistemas de IA (AI Act), dentro del grupo «Cumplimiento normativo». Para estimar el tiempo que ahorra frente al inventario manual, la calculadora de ROI lo hace sin pedir correo.
El módulo es gratuito en cualquier cuenta Dokuflex. Si además quieres automatizar otros procesos, el plan Starter de los precios de Dokuflex parte desde 25 €/usuario/mes con suscripción anual, y hay un entorno de prueba gratuito de 14 días sin tarjeta de crédito.
Cualquier organización que use IA, aunque sea comprada; estos cuatro perfiles son los que lo piden primero.
Cribado de candidatos, evaluación del desempeño, asignación de turnos: el área 4 del Anexo III y la más común en cualquier empresa. El registro documenta la supervisión humana y la información a los representantes de los trabajadores del artículo 26.
Scoring de solvencia, aplazamientos de pago, tarificación: área 5 del Anexo III, con evaluación de impacto sobre derechos fundamentales (artículo 27) para entidades de crédito y aseguradoras. El OCR de facturas también se registra, aunque sea riesgo mínimo.
Chatbots, asistentes de voz, generadores de texto e imagen: riesgo limitado con la transparencia del artículo 50 exigible desde el 2 de agosto de 2026. La regla del módulo no deja guardar la ficha sin confirmar el aviso a las personas.
Quien responde al cuestionario de un cliente, a una auditoría o a AESIA. El registro cruza con el RGPD, aflora la IA en la sombra y deja el histórico de cada clasificación. Si automatizas con IA dentro de Dokuflex, los agentes de IA gobernados y el centro de confianza explican cómo se aplican supervisión y trazabilidad en la propia plataforma.
El registro de herramientas y sistemas de IA es uno de los módulos gratuitos del grupo «Cumplimiento normativo» del catálogo de Dokuflex. Todos siguen el mismo patrón: formulario guiado, reglas que convierten la norma en campos obligatorios, evidencia junto a cada ficha e histórico de cambios. Se activan en menos de un minuto y la gestión del cumplimiento normativo del AI Act, el RGPD, NIS2 o ISO 27001 queda en la misma plataforma BPM low-code con IA, con datos en la UE y soporte en español:
Si además necesitas análisis de riesgos, controles ISO 27001, continuidad de negocio o evaluación continua de proveedores, una plataforma GRC tiene sentido y puede convivir con Dokuflex: el inventario se exporta a Excel y la plataforma se conecta con el resto de tu stack a través del iPaaS low-code con 200+ conectores y API REST.
No con ese nombre, pero sí en la práctica. El Reglamento (UE) 2024/1689 impone obligaciones que dependen de cada sistema (prohibiciones, alfabetización, transparencia del artículo 50 y deberes de alto riesgo) y, para saber cuáles aplican y demostrarlo, hace falta un inventario con la clasificación de riesgo de cada uno. El registro es la evidencia de que ese análisis existe y está al día.
El proveedor desarrolla el sistema y lo comercializa o pone en servicio con su nombre; el responsable del despliegue lo utiliza bajo su autoridad. Casi todas las empresas son responsables del despliegue de la IA que usan. El proveedor de alto riesgo carga con la documentación técnica y la evaluación de conformidad; el responsable del despliegue, con el artículo 26 (supervisión humana, control de datos, vigilancia, logs seis meses, información a trabajadores y afectados). El módulo registra el rol en cada ficha.
Desde el 2 de diciembre de 2027 para los sistemas del Anexo III (empleo, crédito, educación, biometría, servicios esenciales) y desde el 2 de agosto de 2028 para los integrados en productos del Anexo I, tras el aplazamiento del Reglamento (UE) 2026/1744. Las prohibiciones se aplican desde el 2 de febrero de 2025 y la transparencia del artículo 50 desde el 2 de agosto de 2026.
El módulo pasa automáticamente su estado a Prohibido y deja constancia en el histórico de la ficha. Las prácticas del artículo 5 (puntuación social, reconocimiento de emociones en el trabajo, identificación biométrica remota en tiempo real en espacios públicos, entre otras) están prohibidas desde el 2 de febrero de 2025 y llevan las multas más altas: hasta 35 millones de euros o el 7 % de la facturación mundial.
Sí. El módulo se instala como un proceso más de Dokuflex y se edita con el diseñador low-code: añadir campos, cambiar las listas de áreas o categorías de datos, ajustar las reglas o incorporar un flujo de aprobación si tu política interna lo exige. Los campos y las once reglas son un punto de partida, no un molde cerrado.
No, y desconfía de quien lo prometa. Dokuflex da el inventario, la clasificación guiada, las reglas que evitan omisiones, la documentación junto a cada ficha y la trazabilidad de cada cambio; la clasificación de cada sistema y las medidas que adoptes las decide tu organización con su asesoría. Lo que sí garantiza el módulo es que, cuando alguien pregunte, la respuesta tenga fecha, responsable y evidencia.
Menos de un minuto desde el catálogo de módulos de cualquier cuenta Dokuflex, incluida la gratuita. Llega con seis sistemas de ejemplo y tres tours guiados; los ejemplos se borran cuando das de alta los reales. El inventario completo de una pyme suele hacerse en una tarde con un cuestionario por departamento.
Por cada sistema: nombre y finalidad prevista, área de uso, proveedor o producto y modelo base, rol de la organización (proveedor, responsable del despliegue, importador o distribuidor), responsable interno, datos personales tratados y personas afectadas, nivel de riesgo y categoría del Anexo III si es alto, medidas de supervisión humana, transparencia del artículo 50, evaluaciones realizadas y documentación adjunta. Son los cuatro bloques de campos del módulo.
Por la finalidad prevista y las personas sobre las que actúa, no por la tecnología. Hay cuatro niveles: inaceptable (prácticas del artículo 5), alto (finalidad incluida en el Anexo III, salvo la excepción del artículo 6.3), limitado (interactúa con personas o genera contenido, artículo 50) y mínimo. En el módulo, elegir el nivel activa los campos obligatorios de cada caso y el cambio queda en el histórico de la ficha.
La gobernanza es el marco completo con el que una organización controla los sistemas de IA que desarrolla o usa. El registro de sistemas de IA es su punto de partida y lo primero que necesita quien sobre todo usa IA comprada: inventario, clasificación de riesgo, evidencia junto a cada ficha y trazabilidad de los cambios. En Dokuflex es un módulo gratuito dentro del BPM, ampliable con el diseñador low-code.
No. El artículo 49 del Reglamento prevé una base de datos de la UE en la que se registran determinados sistemas de alto riesgo. El registro de sistemas de IA es el inventario interno de toda la IA que desarrollas o usas, con su clasificación y su evidencia: es lo que te permite saber si alguno de tus sistemas debe figurar en esa base de datos y responder a AESIA.
En Dokuflex, el registro de sistemas de IA es un módulo gratuito: se activa en menos de un minuto desde cualquier cuenta, incluida la gratuita, sin tarjeta. Solo pagas si quieres automatizar otros procesos: el plan Starter parte desde 25 €/usuario/mes con suscripción anual, y hay un entorno de prueba gratuito de 14 días.
Como cualquier otro sistema: la ficha identifica el proveedor o producto, el modelo base y tu rol, que casi siempre es el de responsable del despliegue. Junto a ella se adjuntan la ficha técnica y el contrato y, si el sistema es de alto riesgo, se registran la fecha de evaluación de conformidad y el marcado CE. La fecha de próxima evaluación obliga a revisar cada proveedor con regularidad.
Sí. El grupo «Cumplimiento normativo» del catálogo de Dokuflex incluye, además del registro de sistemas de IA, módulos gratuitos de derechos RGPD y brechas de seguridad, registro de incidentes NIS2 y DORA, no conformidades y acciones correctivas ISO 9001 y 27001 y expediente KYC. Comparten plataforma, datos en la UE e histórico de cambios; no sustituyen a una suite GRC si necesitas análisis de riesgos o continuidad de negocio.
Conviene hacerlo. El inventario debe reflejar las herramientas de IA de propósito general que usa el personal y las funciones de IA embebidas en el software de la empresa (CRM, ERP, RRHH), aunque no las haya comprado IT: si alguien las usa con datos de la empresa, la alfabetización del artículo 4 y la transparencia del artículo 50 sobre el contenido generado se aplican igual, y sin ficha no puedes demostrar que lo has valorado. En el módulo se dan de alta como cualquier sistema, normalmente con el rol de responsable del despliegue; el nivel de riesgo lo decide tu organización en la propia ficha.
Cubre el inventario de sistemas de IA que un sistema de gestión de IA (SGIA) conforme a ISO/IEC 42001 necesita como punto de partida, con su finalidad, rol, riesgo, evidencia e histórico, y se exporta a Excel como evidencia. No sustituye al sistema de gestión completo: política de IA, roles, evaluación de impacto, auditoría interna y mejora continua siguen siendo trabajo de la organización.
Es la evaluación de impacto en los derechos fundamentales del artículo 27 del Reglamento. Deben hacerla, antes de poner en uso un sistema de alto riesgo del Anexo III, los responsables del despliegue que son organismos de derecho público o entidades privadas que prestan servicios públicos, y quienes usan sistemas de alto riesgo para evaluar la solvencia o el crédito de personas o para tarificar seguros de vida y de salud. En el módulo se adjunta a la ficha del sistema junto a la DPIA, y la fecha de próxima evaluación recuerda cuándo revisarla.
Sí. El registro dice qué herramientas de IA hay, quién las usa y de qué riesgo son; la política dice quién puede usar cuáles, con qué datos, con qué supervisión y qué está prohibido. Las dos se alimentan: la política obliga a dar de alta cada herramienta nueva y el registro aflora la IA en la sombra que la política debe regular. La política se puede adjuntar a las fichas como documentación, igual que una DPIA o un contrato.
Información orientativa elaborada por el Equipo Editorial de Dokuflex con revisión del Equipo Legal y de Compliance. Para casos específicos consulta tu asesoría jurídica o AESIA.
Activa el módulo gratuito, recorre los seis ejemplos con el tour y da de alta el primer sistema real esta tarde. Si prefieres verlo con alguien del equipo, pide una demo.