---
title: "La IA que ya tienes sin saberlo: funciones de IA en tus aplicaciones y qué preguntar al proveedor"
description: "ERP, gestor de expedientes, ofimática, centralita o cámaras ya incorporan IA. Cómo clasificar cada función según el Reglamento Europeo de IA y las 16 preguntas mínimas para el proveedor."
url: https://bidatia.com/ideas/ia-integrada-en-aplicaciones-de-terceros
lang: es
date: 2026-08-25
updated: 2026-11-04
author: "Santos Vicente"
keywords: ["ia integrada", "ia en erp", "reglamento europeo ia proveedores", "cuestionario proveedor ia", "shadow ai", "funciones de ia", "ai bom", "contratación ia"]
publisher: Bidatia
---

# La IA que ya tienes sin saberlo: funciones de IA en tus aplicaciones y qué preguntar al proveedor

> ERP, gestor de expedientes, ofimática, centralita o cámaras ya incorporan IA. Cómo clasificar cada función según el Reglamento Europeo de IA y las 16 preguntas mínimas para el proveedor.

## Resumen ejecutivo

- Muchas organizaciones ya usan IA sin saberlo: integrada en ofimática, ERP, gestor de expedientes, centralita o cámaras, a menudo activada en una actualización.
- Para el Reglamento Europeo de IA el fabricante es el proveedor y la organización usuaria es responsable del despliegue, con las mismas obligaciones.
- Se clasifica cada función, no el producto: las funciones de RRHH de un ERP pueden ser de alto riesgo y la detección de emociones de empleados está prohibida.
- Qué hacer: inventariar, desactivar por defecto lo nuevo, clasificar cada función y exigir en los contratos declaración, aviso previo y posibilidad de desactivar.
- Incluye un cuestionario mínimo de 16 preguntas al proveedor, criterios para valorar sus respuestas y cláusulas contractuales recomendadas.

Muchas organizaciones creen que todavía no usan inteligencia artificial y, sin embargo, ya la tienen dentro: en el procesador de textos, en el ERP, en el gestor de expedientes, en la centralita o en las cámaras. A menudo llega en una actualización, activada por defecto, como «una funcionalidad más». Y para el Reglamento Europeo de IA (RIA) eso no cambia nada: el fabricante es el proveedor y la organización que la usa es responsable del despliegue, con las mismas obligaciones que si la hubiera contratado aparte.

## Se clasifica la función, no el producto

Un mismo producto puede tener funciones de riesgo mínimo y otras de alto riesgo. Algunos ejemplos:

| Producto | Función de IA | Cómo se clasifica |
|---|---|---|
| Procesador de textos con Copilot | Redactar, resumir, reescribir | Uso permitido con información pública o interna; condicionado con datos personales. El riesgo está en los permisos |
| ERP: contabilidad y compras | Detectar facturas duplicadas o anomalías | Riesgo mínimo; condicionado si trata datos de personas físicas |
| ERP: recursos humanos | Proponer turnos, evaluar el desempeño, filtrar candidaturas, predecir el absentismo | **Alto riesgo** (empleo), con información a la plantilla y a su representación. Es el caso que más se pasa por alto |
| Gestor de expedientes | Clasificar, resumir o proponer contenido | Condicionado; si propone resoluciones, se evalúa como respuesta con efectos |
| Centralita | Transcribir llamadas, robot de voz | Condicionado: avisar de que es una IA, datos personales y canal humano |
| Cámaras con analítica | Contar aforos o detectar objetos sin identificar personas | No es alto riesgo, pero si las imágenes identifican a personas son datos personales |
| Cámaras: lectura de matrículas | Identificar vehículos | Datos personales: evaluación de impacto y base legal específica |
| Cámaras: reconocimiento facial | Identificar o categorizar personas | Alto riesgo como mínimo; la identificación remota en tiempo real en espacios públicos está prohibida salvo excepciones |
| Cualquier producto | Detectar emociones de empleados | **Prohibido** (art. 5 del RIA) |

Ojo: si la organización modifica de forma sustancial un sistema de alto riesgo o le da una finalidad que lo convierte en alto riesgo, **pasa a ser proveedor** y asume sus obligaciones (art. 25 del RIA).

## Riesgos propios de la IA de terceros

- Funciones activadas por defecto en una actualización, sin evaluación.
- Falta de información del fabricante sobre qué hace la IA, con qué datos y dónde.
- Datos que salen hacia servicios de IA del fabricante, a veces fuera de la UE.
- Dependencia: no siempre se puede desactivar la función sin perder el producto.
- En el sector público, certificaciones ENS cuyo alcance no cubre las funciones de IA, que a veces presta otro servicio o un subcontratista.

## Qué hacer

1. **Inventario inicial**: enviar a cada proveedor de las aplicaciones en uso un cuestionario breve y anotar las respuestas en el registro de sistemas de IA.
2. **Desactivar por defecto** las funciones de IA nuevas hasta evaluarlas, revisando las notas de cada versión.
3. **Clasificar cada función** y, si trata datos personales o interviene en decisiones, tratarla como un caso nuevo con su evaluación completa.
4. **Exigir en los pliegos** que el proveedor declare las funciones de IA, avise antes de activar otras y permita desactivarlas.

Un ejemplo típico: una actualización del ERP activa en el módulo de RRHH una «propuesta automática de turnos» basada en el historial de ausencias. Informática la detecta al revisar las notas de la versión y la deja desactivada. La evaluación concluye que es alto riesgo (influye en las condiciones de trabajo) y que usa datos de ausencias que pueden revelar información de salud. Activarla exigiría evaluación de impacto, información a la plantilla y autorización; el área decide no hacerlo por ahora.

## Cómo hacer el inventario paso a paso

1. **Partir del inventario de aplicaciones** que ya tiene el área de sistemas: ofimática, ERP, CRM, gestor documental, centralita, videovigilancia, plataformas de formación o de selección.
2. **Revisar las notas de versión** de los últimos doce meses de cada producto en busca de funciones «inteligentes», «asistidas» o «con IA».
3. **Enviar el cuestionario** a cada proveedor y dar un plazo razonable.
4. **Registrar cada función** en el inventario de sistemas de IA: producto, función, estado (activa o no), datos que usa, dónde se procesan y clasificación de riesgo.
5. **Contrastar** periódicamente el inventario de IA con el de aplicaciones: cada aplicación nueva o actualización relevante es una revisión.
6. **Priorizar** las funciones de alto riesgo y las que tratan datos personales.

## Cómo valorar las respuestas del proveedor

| Respuesta | Lectura |
|---|---|
| «Los datos no se usan para entrenar», y así consta en el contrato | Correcto |
| «No usamos sus datos para entrenar», sin reflejo contractual | Insuficiente: hay que incluirlo en el contrato |
| «Procesamos en la UE», pero el soporte accede desde fuera | Hay transferencia internacional: necesita garantías |
| «No se puede desactivar» | Riesgo de dependencia: valorar alternativas o condiciones |
| «No disponemos de esa información» | Es en sí un riesgo que debe pesar en la evaluación |
| Certificación de seguridad sin las funciones de IA en su alcance | No se usa la función hasta resolverlo |

## Cláusulas que conviene incluir en los contratos

- Declaración de las funciones de IA del producto y aviso previo antes de activar otras nuevas.
- Posibilidad de desactivar cada función sin perder el resto del producto.
- Prohibición de usar los datos, las preguntas y las respuestas para entrenar o mejorar modelos.
- Ubicación del almacenamiento y del procesamiento, preferiblemente en la UE, y lista de subencargados.
- Plazo de conservación de conversaciones y registros, y acceso a esos registros.
- Notificación de incidentes y vulnerabilidades en un plazo concreto (por ejemplo, 24 horas).
- Documentación técnica y explicabilidad suficiente para motivar decisiones.
- Exportación de datos y registros al terminar el contrato, y borrado certificado.
- En el sector público, certificación de seguridad (ENS) que cubra expresamente las funciones de IA.

## El caso de la ofimática

Las suites de productividad son el ejemplo más claro de IA integrada: resúmenes de correo, transcripción de reuniones, borradores de documentos o búsqueda en toda la información de la organización. Aquí el riesgo principal no está en el modelo, sino en **los permisos**: el asistente ve todo lo que ve cada usuario. Antes de activarlo hay que revisar permisos, clasificar la información y fijar normas de uso, como contamos en [cómo preparar la organización antes de activar Microsoft 365 Copilot](/ideas/preparar-microsoft-365-copilot-permisos-seguridad).

## Cuestionario mínimo al proveedor de IA

Si el proveedor no puede responder a alguna pregunta, eso ya es un riesgo que hay que valorar:

1. ¿El producto es realmente un sistema de IA según el RIA? ¿Qué funciones de IA incluye y cuáles están activas?
2. ¿Qué modelo usa, en qué versión y quién lo ha desarrollado?
3. ¿Dónde se ejecuta el modelo: país o región, nube propia o de terceros?
4. ¿Qué datos de la organización recibe?
5. ¿Usa esos datos para entrenar o mejorar el modelo?
6. ¿Qué subproveedores intervienen?
7. ¿Dónde se almacenan y procesan los datos?
8. ¿Cómo registra su actividad (entradas, salidas y acciones) y cuánto tiempo conserva los registros?
9. ¿Cómo permite la supervisión humana?
10. ¿Qué medidas tiene contra la manipulación y la inyección de instrucciones?
11. ¿Cómo gestiona y comunica los cambios de versión del modelo?
12. ¿Se puede desactivar la función de IA sin perder el resto del producto?
13. ¿Cómo se exportan los datos y los registros al terminar el contrato?
14. ¿Qué certificación de seguridad tiene (en el sector público, ENS) y cubre exactamente las funciones de IA?
15. ¿Puede aportar un inventario de modelos, dependencias y datos (AI BOM)?
16. ¿Cómo y en qué plazo notifica las vulnerabilidades y los incidentes?

En Bidatia hacemos inventarios de IA en las aplicaciones de nuestros clientes y ayudamos a redactar las cláusulas de los contratos. Para el marco completo, consulta [qué normativa aplica a la IA y los datos](/ideas/ia-y-datos-normativa-rgpd-ria-ens) y [el ciclo de vida de un proyecto de IA](/ideas/ciclo-de-vida-proyecto-ia).

## Preguntas frecuentes

### ¿La IA integrada en un producto está sujeta al Reglamento Europeo de IA?
Sí. Que venga dentro de un producto no cambia nada: el fabricante es el proveedor y la organización que la usa es responsable del despliegue, con las mismas obligaciones.

### ¿Qué funciones de IA de un ERP pueden ser de alto riesgo?
Sobre todo las de recursos humanos: proponer turnos, evaluar el desempeño, filtrar candidaturas o predecir el absentismo, porque influyen en las condiciones de trabajo.

### ¿Qué hago si el proveedor activa una función de IA en una actualización?
Desactivarla hasta evaluarla: qué hace, qué datos usa, dónde se procesan y si cambia la clasificación de riesgo. Si trata datos personales o interviene en decisiones, se evalúa como un caso nuevo.

### ¿Qué es un AI BOM?
Un inventario de los modelos, dependencias y datos que componen un sistema de IA, equivalente a la lista de materiales del software. Permite saber de qué está hecho lo que se contrata.

### ¿Puede un usuario de IA convertirse en proveedor según el RIA?
Sí, si modifica de forma sustancial un sistema de alto riesgo o le da una finalidad que lo convierte en alto riesgo (art. 25 del RIA). Entonces asume las obligaciones del proveedor.