Publicada en diciembre de 2023, la ISO/IEC 42001 es el primer referencial certificable dedicado a la gestión de la inteligencia artificial. Ofrece a las organizaciones un marco estructurado, y sobre todo auditable, para diseñar, desplegar y explotar sistemas de IA de forma responsable, justo en el momento en que el Reglamento europeo de IA entra en aplicación. Para una dirección que se pregunta cómo demostrar que domina su IA, es hoy la respuesta más reconocida.
Lo esencial
- ISO/IEC 42001:2023, título oficial Information technology, Artificial intelligence, Management system, publicada en diciembre de 2023 por el comité mixto ISO/IEC JTC 1/SC 42 (fuente: ISO).
- Primera norma mundial de sistema de gestión de la IA, sobre el modelo probado de la ISO 9001 y de la ISO/IEC 27001.
- Anexo A: 38 controles repartidos en 9 objetivos de control (A.2 a A.10), seleccionados mediante una declaración de aplicabilidad.
- Certificable por tercera parte, tras una auditoría en dos etapas realizada por un organismo acreditado.
- Reglamento de IA: Reglamento (UE) 2024/1689, en vigor desde el 1 de agosto de 2024 (fuente: EUR-Lex).
Una norma de gestión, no una norma técnica
La ISO/IEC 42001 no dice cómo entrenar un modelo, qué arquitectura elegir ni qué umbral de rendimiento perseguir. Define un sistema de gestión de la IA: la organización, las responsabilidades, los procesos y las evidencias que permiten a una empresa demostrar que gobierna su IA. La distinción es esencial. Un equipo técnico excelente puede entregar un modelo eficaz sin que quede rastro alguno que permita, seis meses después, decir quién validó qué, con qué datos y con qué precauciones. Ese es justamente el vacío que la norma cubre.
Fue elaborada por el ISO/IEC JTC 1/SC 42, el subcomité mixto de ISO e IEC dedicado a la inteligencia artificial, y se apoya en normas ya disponibles: la ISO/IEC 22989 para los conceptos y la terminología, y la ISO/IEC 23894 para la gestión del riesgo asociado a la IA.
Una arquitectura familiar: la estructura armonizada
Como todas las normas de sistema de gestión recientes, la 42001 sigue la estructura armonizada y el ciclo PDCA (planificar, hacer, verificar, actuar). Sus requisitos auditables se despliegan en las cláusulas 4 a 10: contexto de la organización, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora.
Ese parentesco no es un detalle administrativo, es un atajo operativo. Una organización que ya opera un SGSI ISO/IEC 27001 o un SGC ISO 9001 dispone ya de la revisión por la dirección, la auditoría interna, el control de la información documentada y el tratamiento de las no conformidades. No necesita construir un sistema paralelo: amplía el que tiene. En la práctica, la carga se reduce claramente: lo esencial del dispositivo de gestión ya existe y solo queda ampliarlo a los sistemas de IA.
El núcleo operativo: el Anexo A y sus 38 controles
La norma se acompaña de un conjunto de referencia de 38 controles repartidos en 9 objetivos de control, numerados A.2 a A.10: política de IA, organización interna, recursos de los sistemas de IA, evaluación de impacto, ciclo de vida del sistema de IA, gobernanza de los datos, información a las partes interesadas, uso responsable y relaciones con terceros y con clientes.
Como en la ISO/IEC 27001, estos controles no se aplican mecánicamente: la organización elabora una declaración de aplicabilidad que justifica la inclusión o exclusión de cada uno frente a su apreciación de riesgos. Tres anexos informativos completan el dispositivo: el Anexo B guía la implementación de los controles, el Anexo C recoge los objetivos y las fuentes de riesgo propias de la IA (sesgos, seguridad, explicabilidad, calidad de los datos) y el Anexo D trata la aplicación por dominio y por sector.
Lo que realmente distingue a la 42001: la evaluación de impacto
Un sistema de gestión clásico aprecia los riesgos para la organización. La 42001 exige más: una evaluación de los impactos de los sistemas de IA sobre las personas, los grupos y la sociedad. Equidad, transparencia, seguridad de las personas afectadas, efectos sobre poblaciones que no son ni clientes ni empleados de la organización.
Es el requisito que más desconcierta a las organizaciones acostumbradas a las normas de gestión, porque obliga a mirar más allá del perímetro de la empresa. Va acompañado de otros dos pilares específicos: la gobernanza de los datos que alimentan los modelos (calidad, procedencia, preparación) y el control del ciclo de vida, del diseño a la retirada del sistema.
Certificable, y ese es el punto que lo cambia todo
Ya existían marcos voluntarios, empezando por el NIST AI RMF, que propone una metodología de gestión de riesgos. Pero un marco voluntario no se certifica: no hay auditor tercero, ni declaración de aplicabilidad, ni certificado que mostrar a un cliente o a un contratista principal.
La ISO/IEC 42001 es certificable por tercera parte, tras una auditoría en dos etapas realizada por un organismo acreditado. Para una organización que vende servicios que integran IA, o que los compra, es hoy el principal medio de demostrar públicamente una gobernanza dominada, sin tener que abrir su código ni sus modelos.
Una pieza dentro de un ecosistema normativo
Estos referenciales son complementarios más que competidores. El NIST AI RMF aporta el método de gestión de riesgos. La ISO/IEC 42001 aporta el sistema de gestión auditable. El Reglamento europeo de IA, Reglamento (UE) 2024/1689 en vigor desde el 1 de agosto de 2024, aporta la obligación legal, con una aplicación progresiva de sus disposiciones.
Se prevé que la 42001 sea adoptada a nivel europeo por el CEN-CENELEC y podría contribuir a la presunción de conformidad con el Reglamento de IA. Es un punto a seguir más que un hecho consumado: la lista de normas armonizadas sigue en construcción y no presentaremos como adquirida una equivalencia que no lo es.
Por dónde empezar
- Cartografíe sus sistemas de IA y el papel que desempeña en cada uno: proveedor, desarrollador, usuario. El papel determina las obligaciones.
- Delimite el alcance del sistema de gestión: qué sistemas, qué procesos, qué entidades.
- Aprecie los riesgos y evalúe los impactos, dos ejercicios distintos y ambos exigidos.
- Construya la declaración de aplicabilidad de los 38 controles del Anexo A, justificando cada exclusión.
- Injerte sobre lo existente en lugar de duplicar, si ya dispone de un SGSI o de un SGC.
- Audite internamente, corrija las desviaciones y emprenda después la auditoría de certificación.
Recurso gratuito
Cuadrícula de autoevaluación ISO/IEC 42001:2023
Sitúe a su organización frente a los 33 requisitos clave de la norma, cláusulas 4 a 10 y objetivos del Anexo A, con una puntuación de conformidad y un cuadro de mando calculados automáticamente. Archivo Excel de HEMC, disponible en francés, inglés, español y árabe.
Descargar la cuadrícula gratuitaCómo acompaña HEMC a las organizaciones
Ayudamos a las organizaciones a cartografiar sus sistemas de IA y los papeles que desempeñan en ellos, a llevar a cabo la apreciación de riesgos y la evaluación de impactos, a construir la declaración de aplicabilidad y a preparar la auditoría de certificación. Cuando ya existe un SGSI, privilegiamos sistemáticamente la ampliación frente a la construcción de un segundo sistema: es más rápido, menos costoso y evita dos revisiones por la dirección donde basta con una. Para ir más lejos, lea nuestra guía sobre la ciberseguridad de las empresas en Marruecos y la ISO/IEC 27001, siga nuestra vigilancia normativa ISO, descubra nuestra experiencia en seguridad de la información o hable con nuestros consultores.
Este artículo se facilita a título informativo y no constituye un asesoramiento jurídico. Los textos de referencia prevalecen: consulte la publicación oficial de la ISO/IEC 42001 y el texto del Reglamento (UE) 2024/1689.