---
title: "La IA que ja tens sense saber-ho: funcions d'IA a les teves aplicacions i què preguntar al proveïdor"
description: "ERP, gestor d'expedients, ofimàtica, centraleta o càmeres ja incorporen IA. Com classificar cada funció segons el Reglament europeu d'IA i les 16 preguntes mínimes per al proveïdor."
url: https://bidatia.com/ca/idees/ia-integrada-en-aplicaciones-de-terceros
lang: ca
date: 2026-08-25
updated: 2026-11-04
author: "Santos Vicente"
keywords: ["ia integrada", "ia en erp", "reglament europeu d'ia proveïdors", "qüestionari proveïdor ia", "shadow ai", "funcions d'ia", "ai bom", "contractació ia"]
publisher: Bidatia
---

# La IA que ja tens sense saber-ho: funcions d'IA a les teves aplicacions i què preguntar al proveïdor

> ERP, gestor d'expedients, ofimàtica, centraleta o càmeres ja incorporen IA. Com classificar cada funció segons el Reglament europeu d'IA i les 16 preguntes mínimes per al proveïdor.

## Resum executiu

- Moltes organitzacions ja fan servir IA sense saber-ho: integrada a l'ofimàtica, l'ERP, el gestor d'expedients, la centraleta o les càmeres, sovint activada en una actualització.
- Per al Reglament europeu d'IA, el fabricant és el proveïdor i l'organització usuària és responsable del desplegament, amb les mateixes obligacions.
- Es classifica cada funció, no el producte: les funcions de RH d'un ERP poden ser d'alt risc i la detecció d'emocions d'empleats està prohibida.
- Què cal fer: inventariar, desactivar per defecte el que és nou, classificar cada funció i exigir en els contractes declaració, avís previ i possibilitat de desactivar.
- Inclou un qüestionari mínim de 16 preguntes al proveïdor, criteris per valorar-ne les respostes i clàusules contractuals recomanades.

Moltes organitzacions creuen que encara no fan servir intel·ligència artificial i, tanmateix, ja la tenen a dins: al processador de textos, a l'ERP, al gestor d'expedients, a la centraleta o a les càmeres. Sovint arriba en una actualització, activada per defecte, com «una funcionalitat més». I per al Reglament europeu d'IA (RIA) això no canvia res: el fabricant és el proveïdor i l'organització que la fa servir és responsable del desplegament, amb les mateixes obligacions que si l'hagués contractada a part.

## Es classifica la funció, no el producte

Un mateix producte pot tenir funcions de risc mínim i d'altres d'alt risc. Alguns exemples:

| Producte | Funció d'IA | Com es classifica |
|---|---|---|
| Processador de textos amb Copilot | Redactar, resumir, reescriure | Ús permès amb informació pública o interna; condicionat amb dades personals. El risc és en els permisos |
| ERP: comptabilitat i compres | Detectar factures duplicades o anomalies | Risc mínim; condicionat si tracta dades de persones físiques |
| ERP: recursos humans | Proposar torns, avaluar l'acompliment, filtrar candidatures, predir l'absentisme | **Alt risc** (ocupació), amb informació a la plantilla i a la seva representació. És el cas que més es passa per alt |
| Gestor d'expedients | Classificar, resumir o proposar contingut | Condicionat; si proposa resolucions, s'avalua com a resposta amb efectes |
| Centraleta | Transcriure trucades, robot de veu | Condicionat: avisar que és una IA, dades personals i canal humà |
| Càmeres amb analítica | Comptar aforaments o detectar objectes sense identificar persones | No és alt risc, però si les imatges identifiquen persones són dades personals |
| Càmeres: lectura de matrícules | Identificar vehicles | Dades personals: avaluació d'impacte i base legal específica |
| Càmeres: reconeixement facial | Identificar o categoritzar persones | Alt risc com a mínim; la identificació remota en temps real en espais públics està prohibida llevat d'excepcions |
| Qualsevol producte | Detectar emocions d'empleats | **Prohibit** (art. 5 del RIA) |

Compte: si l'organització modifica de manera substancial un sistema d'alt risc o li dona una finalitat que el converteix en alt risc, **passa a ser proveïdor** i n'assumeix les obligacions (art. 25 del RIA).

## Riscos propis de la IA de tercers

- Funcions activades per defecte en una actualització, sense avaluació.
- Manca d'informació del fabricant sobre què fa la IA, amb quines dades i on.
- Dades que surten cap a serveis d'IA del fabricant, de vegades fora de la UE.
- Dependència: no sempre es pot desactivar la funció sense perdre el producte.
- Al sector públic, certificacions ENS l'abast de les quals no cobreix les funcions d'IA, que de vegades presta un altre servei o un subcontractista.

## Què cal fer

1. **Inventari inicial**: enviar a cada proveïdor de les aplicacions en ús un qüestionari breu i anotar les respostes en el registre de sistemes d'IA.
2. **Desactivar per defecte** les funcions d'IA noves fins a avaluar-les, revisant les notes de cada versió.
3. **Classificar cada funció** i, si tracta dades personals o intervé en decisions, tractar-la com un cas nou amb la seva avaluació completa.
4. **Exigir en els plecs** que el proveïdor declari les funcions d'IA, avisi abans d'activar-ne d'altres i permeti desactivar-les.

Un exemple típic: una actualització de l'ERP activa al mòdul de RH una «proposta automàtica de torns» basada en l'historial d'absències. Informàtica la detecta en revisar les notes de la versió i la deixa desactivada. L'avaluació conclou que és d'alt risc (influeix en les condicions de treball) i que fa servir dades d'absències que poden revelar informació de salut. Activar-la exigiria avaluació d'impacte, informació a la plantilla i autorització; l'àrea decideix no fer-ho de moment.

## Com fer l'inventari pas a pas

1. **Partir de l'inventari d'aplicacions** que ja té l'àrea de sistemes: ofimàtica, ERP, CRM, gestor documental, centraleta, videovigilància, plataformes de formació o de selecció.
2. **Revisar les notes de versió** dels darrers dotze mesos de cada producte a la recerca de funcions «intel·ligents», «assistides» o «amb IA».
3. **Enviar el qüestionari** a cada proveïdor i donar un termini raonable.
4. **Registrar cada funció** a l'inventari de sistemes d'IA: producte, funció, estat (activa o no), dades que fa servir, on es processen i classificació de risc.
5. **Contrastar** periòdicament l'inventari d'IA amb el d'aplicacions: cada aplicació nova o actualització rellevant és una revisió.
6. **Prioritzar** les funcions d'alt risc i les que tracten dades personals.

## Com valorar les respostes del proveïdor

| Resposta | Lectura |
|---|---|
| «Les dades no es fan servir per entrenar», i així consta al contracte | Correcte |
| «No fem servir les seves dades per entrenar», sense reflex contractual | Insuficient: cal incloure-ho al contracte |
| «Processem a la UE», però el suport hi accedeix des de fora | Hi ha transferència internacional: necessita garanties |
| «No es pot desactivar» | Risc de dependència: valorar alternatives o condicions |
| «No disposem d'aquesta informació» | És en si mateix un risc que ha de pesar en l'avaluació |
| Certificació de seguretat sense les funcions d'IA en el seu abast | No es fa servir la funció fins que es resolgui |

## Clàusules que convé incloure en els contractes

- Declaració de les funcions d'IA del producte i avís previ abans d'activar-ne de noves.
- Possibilitat de desactivar cada funció sense perdre la resta del producte.
- Prohibició de fer servir les dades, les preguntes i les respostes per entrenar o millorar models.
- Ubicació de l'emmagatzematge i del processament, preferiblement a la UE, i llista de subencarregats.
- Termini de conservació de converses i registres, i accés a aquests registres.
- Notificació d'incidents i vulnerabilitats en un termini concret (per exemple, 24 hores).
- Documentació tècnica i explicabilitat suficient per motivar decisions.
- Exportació de dades i registres en acabar el contracte, i esborrament certificat.
- Al sector públic, certificació de seguretat (ENS) que cobreixi expressament les funcions d'IA.

## El cas de l'ofimàtica

Les suites de productivitat són l'exemple més clar d'IA integrada: resums de correu, transcripció de reunions, esborranys de documents o cerca en tota la informació de l'organització. Aquí el risc principal no és en el model, sinó en **els permisos**: l'assistent veu tot el que veu cada usuari. Abans d'activar-lo cal revisar permisos, classificar la informació i fixar normes d'ús, com expliquem a [com preparar l'organització abans d'activar Microsoft 365 Copilot](/ca/idees/preparar-microsoft-365-copilot-permisos-seguridad).

## Qüestionari mínim al proveïdor d'IA

Si el proveïdor no pot respondre alguna pregunta, això ja és un risc que cal valorar:

1. El producte és realment un sistema d'IA segons el RIA? Quines funcions d'IA inclou i quines estan actives?
2. Quin model fa servir, en quina versió i qui l'ha desenvolupat?
3. On s'executa el model: país o regió, núvol propi o de tercers?
4. Quines dades de l'organització rep?
5. Fa servir aquestes dades per entrenar o millorar el model?
6. Quins subproveïdors hi intervenen?
7. On s'emmagatzemen i es processen les dades?
8. Com registra la seva activitat (entrades, sortides i accions) i quant de temps conserva els registres?
9. Com permet la supervisió humana?
10. Quines mesures té contra la manipulació i la injecció d'instruccions?
11. Com gestiona i comunica els canvis de versió del model?
12. Es pot desactivar la funció d'IA sense perdre la resta del producte?
13. Com s'exporten les dades i els registres en acabar el contracte?
14. Quina certificació de seguretat té (al sector públic, ENS) i cobreix exactament les funcions d'IA?
15. Pot aportar un inventari de models, dependències i dades (AI BOM)?
16. Com i en quin termini notifica les vulnerabilitats i els incidents?

A Bidatia fem inventaris d'IA a les aplicacions dels nostres clients i ajudem a redactar les clàusules dels contractes. Per al marc complet, consulta [quina normativa s'aplica a la IA i les dades](/ca/idees/ia-y-datos-normativa-rgpd-ria-ens) i [el cicle de vida d'un projecte d'IA](/ca/idees/ciclo-de-vida-proyecto-ia).

## Preguntes freqüents

### La IA integrada en un producte està subjecta al Reglament europeu d'IA?
Sí. Que vingui dins d'un producte no canvia res: el fabricant és el proveïdor i l'organització que la fa servir és responsable del desplegament, amb les mateixes obligacions.

### Quines funcions d'IA d'un ERP poden ser d'alt risc?
Sobretot les de recursos humans: proposar torns, avaluar l'acompliment, filtrar candidatures o predir l'absentisme, perquè influeixen en les condicions de treball.

### Què faig si el proveïdor activa una funció d'IA en una actualització?
Desactivar-la fins a avaluar-la: què fa, quines dades fa servir, on es processen i si canvia la classificació de risc. Si tracta dades personals o intervé en decisions, s'avalua com un cas nou.

### Què és un AI BOM?
Un inventari dels models, dependències i dades que componen un sistema d'IA, equivalent a la llista de materials del programari. Permet saber de què està fet el que es contracta.

### Un usuari d'IA es pot convertir en proveïdor segons el RIA?
Sí, si modifica de manera substancial un sistema d'alt risc o li dona una finalitat que el converteix en alt risc (art. 25 del RIA). Aleshores assumeix les obligacions del proveïdor.