ISO/IEC 42001.

Qué rige realmente la norma ISO/IEC 42001

ISO/IEC 42001 es la primera norma de sistema de gestión certificable dedicada a la inteligencia artificial. No le indica qué modelo entrenar ni cómo ajustar una red neuronal. En cambio, define un sistema de gestión de la IA (AIMS): las políticas, funciones, procesos y controles que una organización implanta para desarrollar, proporcionar o utilizar la IA de forma responsable. Si ya conoce ISO 27001, el modelo mental se traslada de manera directa. Allí donde el SGSI protege la información, el AIMS gobierna el ciclo de vida de los sistemas de IA, desde la finalidad prevista y la obtención de datos hasta el despliegue, la supervisión y el desmantelamiento.

La norma sigue la misma estructura de alto nivel (High-Level Structure) que ISO 27001 e ISO 9001: contexto de la organización, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora. Esa columna vertebral compartida es deliberada. Le permite acoplar el AIMS a un sistema de gestión integrado existente en lugar de operar un silo de gobernanza paralelo. La sustancia específica de la IA reside en los anexos, que establecen controles de referencia y orientación para la implementación que abarcan cuestiones como la rendición de cuentas, la calidad de los datos, la transparencia hacia los usuarios, la supervisión humana y la evaluación de impacto.

En qué se diferencia de ISO 27001 y de una política de riesgos genérica

Los profesionales que provienen de la seguridad suelen suponer que un SGSI ya cubre la IA. No es así. ISO 27001 se construye en torno a la confidencialidad, la integridad y la disponibilidad de la información. ISO 42001 añade preocupaciones que no tienen cabida natural en un marco de seguridad: si un sistema se comporta de forma justa, si sus salidas son explicables, si un humano puede intervenir de manera significativa y si la IA se utiliza únicamente para su finalidad declarada. El razonamiento sobre el riesgo también es más amplio. Una apreciación del riesgo según 42001 sopesa los impactos sobre las personas y la sociedad, no solo sobre la organización, razón por la cual una evaluación de impacto de la IA constituye una actividad diferenciada y nombrada dentro de la norma.

Por qué importa para el Reglamento Europeo de IA (EU AI Act)

ISO 42001 se alinea con precisión con las expectativas del AI Act para los sistemas de alto riesgo. El reglamento exige a los proveedores de IA de alto riesgo que operen un sistema de gestión de riesgos, mantengan una gobernanza de datos, conserven documentación técnica, garanticen la supervisión humana y realicen una vigilancia poscomercialización. Esas son precisamente las disciplinas que un AIMS institucionaliza.

Un sistema de gestión certificado no sustituye la conformidad jurídica, y la certificación por sí sola no hace que un sistema sea conforme. Lo que aporta es una estructura auditable y repetible que demuestra la diligencia debida y convierte el cumplimiento de las obligaciones del AI Act en una cuestión de operar un sistema existente en lugar de improvisar bajo la presión de los plazos.

Cómo es la implementación en la práctica

Los equipos que adoptan 42001 suelen recorrer una secuencia reconocible:

1. Definir el alcance: qué sistemas de IA, usados por quién, para qué finalidad prevista y dónde se sitúa la organización en la cadena de suministro (desarrollador, proveedor, implementador).
2. Realizar la apreciación del riesgo de la IA y la evaluación de impacto, identificando los riesgos para las personas y la organización y seleccionando controles para tratarlos.
3. Asignar una responsabilidad clara para que un propietario nombrado responda de cada sistema de IA a lo largo de su ciclo de vida.
4. Establecer una gobernanza de datos, mecanismos de transparencia y supervisión humana adecuados al nivel de riesgo.
5. Supervisar los sistemas en operación, capturar incidentes y comentarios, y reincorporarlos a la mejora continua.

La certificación es opcional, pero cada vez más solicitada por compradores corporativos y equipos de aprovisionamiento que desean garantía de un tercero de que un proveedor de IA gobierna sus sistemas en lugar de entregarlos a ciegas.