Expediente de cumplimiento de IA: qué documentos y evidencias conservar

Cuando una empresa pregunta cómo demostrar que controla su uso de inteligencia artificial suele buscar un sello. En muchos casos la respuesta útil es otra: evidencias organizadas. En AuditoriadeIA.es llamamos Expediente de Cumplimiento IA al conjunto de documentos que permite explicar qué IA se usa, con qué controles y qué decisiones ha tomado la organización.

1. Inventario de sistemas y casos de uso

Debe identificar las herramientas, proveedores, departamentos, finalidades, usuarios, datos tratados y responsable interno. Conviene registrar también usos no contratados centralmente y funciones de IA integradas en software que la empresa ya utilizaba.

2. Clasificación y razonamiento

No basta con poner “bajo” o “alto”. Conserva la explicación: qué hace el sistema, qué rol tiene la empresa, qué personas pueden verse afectadas y qué artículos o marcos se han considerado. Si la conclusión cambia por una modificación del uso, debe quedar registrada la revisión.

3. Registro de proveedores

Incluye plan, contrato, documentación de seguridad y privacidad, condiciones de tratamiento de datos, funciones administrativas y cualquier respuesta relevante del proveedor. El objetivo no es recopilar páginas por recopilar, sino poder explicar por qué se autorizó ese servicio.

4. Política interna

Qué herramientas se permiten, qué información no se introduce, quién autoriza nuevas IAs, qué usos requieren revisión humana y cómo se gestionan incidentes. Debe estar escrita para personas que trabajan, no para abogados que ya conocen la norma.

5. Evidencias de alfabetización

El artículo 4 exige adoptar medidas para apoyar la alfabetización en IA. Conserva las medidas aplicadas: sesiones, materiales, comunicaciones internas, listas de asistencia, actualizaciones o instrucciones específicas por puesto. No existe un “certificado oficial del artículo 4”, pero sí conviene poder demostrar qué hiciste y cuándo.

6. Transparencia del artículo 50

Documenta primero por qué un caso entra o no entra. Cuando corresponda, conserva el texto del aviso, capturas, fecha de implantación, responsables y verificaciones. Para contenido sintético también puede ser útil registrar qué proveedor genera el archivo y qué sistema de marcado técnico declara utilizar.

7. Supervisión humana y agentes

En sistemas que influyen en decisiones o ejecutan acciones, registra quién revisa, con qué autoridad, qué límites existen, qué acciones requieren confirmación y cómo se detiene el sistema. Si hay logs disponibles y son pertinentes, documenta cómo se conservan.

8. Registro de decisiones

Una hoja breve con fecha, decisión y responsable aporta muchísimo valor. “Se autoriza X para Y con datos públicos”; “se prohíbe el uso de cuentas personales con expedientes”; “se cambia de proveedor por condiciones de retención”. Esa cronología demuestra que existe gobernanza, no solo documentos estáticos.

9. Hoja de ruta

Separa medidas críticas, mejoras y obligaciones futuras. Cada tarea debe tener responsable y fecha. “Revisar proveedores” no sirve; “Administración revisará los contratos de los tres proveedores antes del 15 de octubre” sí.

10. Fuentes y versión

Indica qué normas, guías y versiones se usaron al elaborar el expediente. El marco cambió en julio de 2026 con el Reglamento (UE) 2026/1744, por lo que es especialmente importante conservar fecha de revisión y fuente oficial.

Qué no debería ser el expediente

• Un PDF de 100 páginas que nadie actualiza.
• Un sello inventado de “empresa 100 % compliant”.
• Un certificado que prometa inmunidad frente a inspecciones o reclamaciones.
• Una fotografía congelada que ignore nuevas herramientas.

Para qué sirve

Sirve cuando dirección pregunta qué sistemas están activos, cuando un cliente envía un cuestionario, cuando se incorpora una nueva herramienta o cuando hay que reconstruir por qué se tomó una decisión. La diferencia entre “creemos que está controlado” y “aquí están las evidencias” es exactamente la diferencia entre improvisación y gobernanza.

Fuentes oficiales consultadas

• Reglamento (UE) 2024/1689 consolidado a 27/07/2026 (EUR-Lex).
• Reglamento (UE) 2026/1744 — Ómnibus digital sobre IA.
• Guías prácticas de AESIA para el cumplimiento del Reglamento de IA.