ISO/IEC 42001 explicada: qué exige a una empresa que usa inteligencia artificial

ISO/IEC 42001 es la norma internacional publicada en diciembre de 2023 que define un sistema de gestión de inteligencia artificial (AIMS, por su sigla en inglés). No certifica un modelo ni un producto: certifica que la organización gobierna de forma responsable cómo desarrolla, compra y usa la IA. Sigue la misma estructura de alto nivel que ISO 9001 y ISO/IEC 27001, por eso se integra con ellas.

Qué es ISO/IEC 42001 y a quién aplica

Aplica a cualquier organización que desarrolle, provea o use sistemas de IA, sin importar el tamaño ni el sector. Una empresa que solo usa un asistente de IA para atender clientes está dentro del alcance, igual que una que entrena sus propios modelos. La norma pide demostrar, con evidencia, que los riesgos de esos sistemas se identifican, se tratan y se revisan.

Qué pide en la práctica

1. Política de IA aprobada por la dirección: para qué se usa la IA, para qué no, y quién responde.
2. Inventario de sistemas de IA: cada modelo, asistente o agente en uso, su proveedor, sus datos y su dueño interno.
3. Evaluación de impacto por sistema: a quién afecta, qué puede salir mal (sesgo, error, fuga de datos) y qué se hace al respecto.
4. Controles del Anexo A: supervisión humana, calidad de los datos, transparencia con las personas afectadas, registro de decisiones, respuesta a incidentes.
5. Mejora continua: auditoría interna, revisión por la dirección y acciones correctivas, como en cualquier sistema de gestión.

Cómo se relaciona con ISO/IEC 27001 e ISO 9001

Si ya tienes 27001, cerca de la mitad del camino está hecho: el análisis de riesgos, el control de proveedores y la gestión de incidentes se extienden a la IA. Lo nuevo es la evaluación de impacto sobre las personas y la transparencia.

Por dónde empezar si quieres certificarte

• Haz el inventario primero. Nadie puede gobernar lo que no sabe que usa; aparecerán herramientas de IA que el equipo adoptó por su cuenta.
• Escribe la política en lenguaje de tu empresa, no copiada de un modelo genérico; el auditor la contrasta con la práctica.
• Registra desde hoy lo que hacen tus asistentes y agentes: la evidencia se acumula, no se fabrica.
• Integra, no dupliques: un solo sistema de gestión que cubra calidad, seguridad e IA, con una sola revisión por la dirección.
• La certificación la emite un organismo acreditado tras una auditoría externa; una consultora te prepara, pero no te certifica.

ISO/IEC 42001 no pregunta qué modelo usas. Pregunta si sabes qué hace, a quién afecta y quién responde.