¿Qué es ISO 42001?
Gobernanza, riesgo y aseguramiento
ISO 42001, formalmente ISO/IEC 42001, es una norma internacional de sistema de gestión para organizaciones que desarrollan, proporcionan o utilizan sistemas de IA. Establece los requisitos para un Sistema de Gestión de Inteligencia Artificial, de modo que la IA pueda gobernarse mediante políticas, roles, procesos de riesgo, evaluación de impacto, seguimiento y mejora continua, en lugar de dejarse al uso informal de herramientas.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
ISO 42001 se entiende mejor como una norma de sistema de gestión, no como un modelo de referencia ni como un sello que garantice que todos los resultados de la IA son seguros. Proporciona a una organización una estructura para gestionar la IA como una actividad organizativa repetible. Eso implica definir política, responsabilidades, objetivos, tratamiento de riesgos, documentación, seguimiento y mejora en torno al uso de la IA.
El título oficial es ISO/IEC 42001:2023, Tecnología de la información - Inteligencia artificial - Sistema de gestión. ISO la describe como la primera norma mundial de sistema de gestión de IA. Está dirigida a organizaciones de cualquier tamaño que desarrollen, proporcionen o utilicen productos o servicios basados en IA, lo que la hace relevante más allá de los proveedores tecnológicos.
Para una organización pequeña o mediana, el punto útil es sencillo: ISO 42001 convierte la gobernanza de la IA de una conversación en un sistema operativo. Pregunta si el uso de la IA tiene responsable, está documentado, se revisa y se mejora. No indica al equipo qué herramienta comprar. Ayuda al equipo a mostrar cómo se toman y controlan las decisiones relacionadas con la IA.
Por qué es importante
La adopción de la IA suele ser dispersa. Marketing puede usar una herramienta, operaciones otra, ventas otra y atención al cliente otra. Puede que las personas experimenten de forma razonable en algunos ámbitos, pero la organización quizá no sepa qué se está utilizando, qué datos están implicados, qué proveedores están en el alcance o quién revisa los flujos de trabajo de mayor riesgo. ISO 42001 es importante porque ofrece una estructura reconocible para poner esa actividad bajo gestión.
También es relevante en la contratación. Los compradores preguntan cada vez más si los proveedores cuentan con una política de IA, un proceso de gestión de riesgos, supervisión humana, controles de datos y evidencia de revisión. ISO 42001 puede ayudar a las organizaciones a responder con un sistema de gestión estructurado en lugar de documentos aislados. También puede complementar trabajos de aseguramiento existentes, como ISO 27001, la gobernanza de privacidad o la revisión de seguridad de proveedores.
El beneficio práctico no es la burocracia por sí misma, sino la coherencia. Si un equipo puede explicar qué sistemas de IA existen, para qué sirven, quién los gestiona, qué riesgos se han evaluado, qué controles se aplican y cómo se revisa el rendimiento, la dirección tiene una base mucho más sólida para aprobar, pausar o modificar el trabajo con IA.
Para las organizaciones que venden servicios habilitados por IA, esto también ayuda a los equipos comerciales a evitar afirmaciones excesivas. Pueden explicar que la gobernanza se gestiona a través de un sistema de gestión definido, siendo honestos al mismo tiempo en que cada caso de uso, despliegue para el cliente y contexto regulatorio requiere su propia evaluación.
Cómo funciona
ISO 42001 sigue el patrón de sistema de gestión utilizado por otras normas ISO. La organización define su contexto, alcance, responsabilidades de liderazgo, política, objetivos, planificación, apoyo, operación, evaluación del desempeño y mejora. En lenguaje claro, pregunta: ¿qué actividad de IA estamos gestionando, quién es responsable, qué riesgos y oportunidades importan, qué procesos respaldan el trabajo y cómo sabemos que el sistema funciona?
El sistema de gestión de IA debe conectarse con los flujos de trabajo reales. No debe existir únicamente en una carpeta de políticas. Una implementación útil normalmente incluirá un inventario de IA, un proceso de evaluación de riesgos e impacto, revisión de proveedores, gobernanza de datos, rutas de aprobación, expectativas de documentación, gestión de incidentes, reglas de supervisión humana, formación y una cadencia de revisión.
ISO 42001 también se diferencia de un taller puntual de riesgos de IA. Un taller puede identificar riesgos; un sistema de gestión mantiene los controles activos. Crea hábitos como revisar los sistemas cuando cambia su finalidad, actualizar los registros cuando se reemplaza una herramienta, comprobar si el personal entiende las normas y mejorar el proceso cuando la evidencia muestra que los controles no funcionan.
La certificación puede obtenerse a través de un organismo de certificación adecuado, pero no debe confundirse con la perfección. La pregunta para los responsables es si el sistema de gestión tiene un alcance honesto y se aplica en la práctica.
La norma también es útil porque separa el sistema de gestión del caso de uso individual de IA. Un flujo de trabajo puede requerir una EIPD, otro una revisión de proveedor, otro pruebas de sesgo o precisión, y otro puede ser de bajo riesgo. ISO 42001 ofrece a la organización una forma de gestionar esos casos distintos sin tener que inventar un proceso nuevo cada vez.
Ejemplos
Un proveedor de software que desarrolla funcionalidades de IA puede usar ISO 42001 para documentar cómo evalúa el uso previsto, las fuentes de datos, las limitaciones del modelo, la información al usuario, el seguimiento, la comunicación con el cliente y el control de cambios. Esto ayuda a los equipos de producto, legal, seguridad y comercial a trabajar desde el mismo modelo operativo.
Una firma de servicios profesionales que utiliza asistentes de IA internamente puede aplicar la misma norma de forma diferente. Su prioridad puede ser las herramientas aprobadas, la confidencialidad del cliente, las instrucciones de uso, la revisión humana, el aseguramiento de proveedores y una ruta clara para los casos de uso de mayor riesgo. La norma no exige que la firma se comporte como un laboratorio de IA, sino que gestione la IA que realmente utiliza.
Una organización sin ánimo de lucro o una pequeña empresa puede no buscar la certificación en absoluto, pero aun así puede adoptar la disciplina. Un sistema de gestión de IA ligero podría incluir un responsable designado, un registro de IA, una política breve, una evaluación de impacto para flujos de trabajo con datos personales, una plantilla de revisión de riesgos, formación del personal y una revisión trimestral de las herramientas activas.
Malentendidos frecuentes
ISO 42001 demuestra que un sistema de IA es seguro. No. Es una norma de sistema de gestión. Apoya la gobernanza y la gestión de riesgos, pero los sistemas individuales siguen necesitando evaluación, pruebas y seguimiento específicos para cada contexto.
Solo aplica a empresas que desarrollan modelos de IA. No. ISO indica que es relevante para organizaciones que desarrollan, proporcionan o utilizan productos o servicios basados en IA.
Sustituye al trabajo de privacidad y seguridad. No. Debe conectarse con la protección de datos, la seguridad de la información, la gestión de proveedores y los controles operativos.
Solo es útil si se certifica. No necesariamente. La estructura puede mejorar la gobernanza de la IA incluso cuando la certificación formal no es el objetivo inmediato.
Riesgos y límites
El principal riesgo es perseguir el sello por el sello. Un sistema de gestión que parece ordenado pero no influye en las decisiones reales sobre IA puede convertirse en una falsa seguridad. Los responsables deben pedir evidencia de que el proceso cambia el comportamiento: revisiones de riesgos antes del lanzamiento, responsabilidad clara, controles documentados, concienciación del personal y revisión de los sistemas activos.
Otro límite es el alcance. Una organización debe ser explícita sobre qué usos de IA están incluidos. Un alcance reducido puede ser apropiado al principio, pero no debe dar a entender que toda la actividad de IA de la organización está cubierta si no es así.
ISO 42001 tampoco elimina la necesidad de interpretar las obligaciones legales. Puede apoyar el trabajo de cumplimiento, pero las leyes, las normas sectoriales, los compromisos contractuales y las expectativas de los reguladores siguen debiendo gestionarse en sus propios términos.
Próximos pasos
Antes de pensar en la certificación, conviene mapear el estado actual de la IA en la organización. Hay que listar las herramientas aprobadas, las herramientas informales, las funcionalidades de IA integradas en el software existente, los flujos de trabajo que utilizan datos personales o confidenciales, y cualquier uso orientado al cliente o de apoyo a la toma de decisiones.
A continuación, hay que definir el sistema de gestión mínimo: un responsable designado, política, clasificación de riesgos, ruta de aprobación, inventario, revisión de proveedores, formación, registros de evidencia y cadencia de revisión. Conviene usar ISO 42001 como estructura, pero mantener la primera versión proporcionada al tamaño de la organización. El objetivo es un sistema funcional que los responsables y los equipos puedan utilizar realmente.
La primera implementación debe basarse en evidencias. Para cada flujo de trabajo de IA aprobado, conviene mantener un registro breve del propósito, el responsable, los datos utilizados, el nivel de riesgo, la decisión de revisión, los controles y la fecha de la próxima revisión. Esto crea un rastro de auditoría útil sin obligar a los equipos pequeños a una documentación exhaustiva antes de tener una práctica consolidada.
Conviene mantener esa distinción visible en los resúmenes para la dirección y en las conversaciones con proveedores.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿ISO 42001 es lo mismo que IA responsable?
No. La IA responsable es una ambición amplia. ISO 42001 es una norma de sistema de gestión que ayuda a una organización a establecer responsabilidades, políticas y procesos en torno al uso de la IA.
¿ISO 42001 aplica a los usuarios de herramientas de IA?
Sí. ISO indica que la norma es para organizaciones que desarrollan, proporcionan o utilizan productos o servicios basados en IA.
¿Puede ISO 42001 coexistir con ISO 27001?
Sí. ISO presenta ISO 42001 e ISO 27001 como normas de sistema de gestión relacionadas. En la práctica, la gobernanza de la IA y la seguridad de la información suelen necesitar trabajar conjuntamente.
¿Debería una pequeña empresa comenzar con la certificación ISO 42001?
Habitualmente, el mejor primer paso es adoptar las partes útiles de la estructura: inventario, responsabilidad, política, revisión de riesgos y evidencia. La certificación puede considerarse más adelante si las expectativas de los compradores o del mercado lo justifican.
Fuentes
ISO: ISO/IEC 42001:2023 - official ISO page describing ISO/IEC 42001 as an AI management system standard, its purpose and its intended audience.
NIST AI Risk Management Framework - authoritative AI risk management context for mapping, measuring and managing AI risk.
ISO: ISO/IEC 27001:2022 - related ISO management system standard for information security management.