ISO 42001: qué es y cómo implantar un sistema de gestión de inteligencia artificial

Qué es ISO/IEC 42001 en pocas palabras

ISO/IEC 42001 se publicó en diciembre de 2023 y define los requisitos de un sistema de gestión de inteligencia artificial, abreviado SGIA o AIMS en inglés. Sigue la misma estructura de alto nivel que ISO 9001 o ISO/IEC 27001, de modo que las empresas que ya tienen uno de esos sistemas reconocerán enseguida las cláusulas de contexto, liderazgo, planificación, apoyo, operación, evaluación y mejora.

Lo específico de la norma es su foco: los riesgos y los impactos que los sistemas de IA pueden tener sobre la organización, las personas y la sociedad. Eso incluye sesgos, falta de transparencia, uso indebido de datos, decisiones automatizadas sin supervisión humana o dependencia excesiva de proveedores de modelos. La norma es aplicable tanto a quien desarrolla IA como a quien la utiliza o la integra en sus productos.

A quién le interesa certificarse

La certificación es voluntaria. Tiene más sentido cuando la IA forma parte de lo que vendes o cuando tus clientes te exigen demostrar control sobre ella.

• Empresas de software y SaaS que incorporan funciones de IA y responden a cuestionarios de clientes corporativos.
• Proveedores de servicios de IA, analítica o automatización para sectores regulados como banca, seguros o sanidad.
• Organizaciones que despliegan IA en procesos sensibles, como selección de personal o atención al cliente, y quieren un marco de gobernanza demostrable.
• Empresas que se preparan para el Reglamento (UE) 2024/1689 y buscan una estructura de gestión que lo soporte.
• Organizaciones que ya tienen ISO/IEC 27001 y quieren ampliar su sistema a la IA con un esfuerzo incremental.

Los requisitos principales, cláusula por cláusula

Las cláusulas 4 a 10 son obligatorias. A primera vista se parecen a las de otras normas, pero varias introducen elementos propios de la IA que conviene conocer antes de empezar.

• Cláusula 4: definir el papel de la organización respecto a la IA, por ejemplo proveedor, productor, usuario o cliente, y delimitar el alcance del SGIA.
• Cláusula 5: la dirección debe aprobar una política de IA y asignar responsabilidades claras.
• Cláusula 6: evaluar los riesgos de IA, tratarlos con controles y elaborar una Declaración de Aplicabilidad; además exige una evaluación de impacto de los sistemas de IA sobre personas y sociedad.
• Cláusula 7: recursos, competencias, concienciación y control de la información documentada.
• Cláusula 8: ejecutar de forma operativa las evaluaciones de riesgo, el tratamiento y las evaluaciones de impacto.
• Cláusulas 9 y 10: seguimiento, auditoría interna, revisión por la dirección, no conformidades y mejora continua.

El Anexo A y los anexos de apoyo

El Anexo A contiene los controles de referencia, agrupados en objetivos que cubren, entre otros, las políticas relacionadas con la IA, la organización interna, los recursos para los sistemas de IA (datos, herramientas, sistemas y personas), la evaluación de impactos, el ciclo de vida del sistema de IA, los datos, la información para las partes interesadas, el uso responsable y las relaciones con terceros. Igual que en ISO 27001, no todos los controles son obligatorios: se seleccionan y justifican según el análisis de riesgos.

El Anexo B ofrece guía de implantación para cada control, el Anexo C enumera objetivos organizativos y fuentes de riesgo relacionadas con la IA, y el Anexo D trata el uso del sistema en distintos sectores. Para profundizar, la familia de normas incluye ISO/IEC 23894 sobre gestión de riesgos de IA y ISO/IEC 42005 sobre evaluación de impacto, útiles como referencia aunque no sean certificables por sí mismas.

Cómo implantar ISO 42001 paso a paso

Un proyecto típico en una pyme sigue un orden lógico. No es necesario empezar por los documentos: empieza por saber qué IA hay en la empresa.

• Inventario de sistemas de IA: incluye modelos propios, APIs de terceros y funciones de IA integradas en software que ya usas.
• Definición del papel y del alcance: qué sistemas, procesos y ubicaciones cubre el SGIA y en qué papel actúa la empresa en cada caso.
• Política de IA y responsabilidades: quién aprueba nuevos casos de uso, quién supervisa y quién responde ante incidentes.
• Metodología de riesgos y de impacto: criterios para evaluar riesgos técnicos, legales y éticos, y efectos sobre personas afectadas.
• Selección de controles y Declaración de Aplicabilidad: decide qué controles del Anexo A aplicas y por qué.
• Ciclo de vida: requisitos para diseño, datos de entrenamiento, validación, despliegue, monitorización y retirada.
• Formación y concienciación del personal que diseña, usa o supervisa la IA.
• Auditoría interna y revisión por la dirección antes de solicitar la certificación.

Qué mira el auditor de certificación

La certificación la emite una entidad independiente en dos etapas, como en otras normas de gestión. Los requisitos para las entidades que certifican ISO 42001 se recogen en ISO/IEC 42006. En la etapa 1 se revisa la documentación y la preparación; en la etapa 2 se comprueba la implantación real.

Las evidencias que suelen pedirse son el inventario de sistemas de IA, las evaluaciones de riesgo e impacto con fecha y responsable, la Declaración de Aplicabilidad, registros de validación de modelos y de calidad de datos, acuerdos con proveedores de IA, registros de formación y actas de revisión por la dirección. Un hallazgo habitual es que el inventario no recoge herramientas de IA generativa usadas por los empleados por su cuenta.

Relación con ISO 27001 y con el Reglamento de IA

Si ya tienes ISO/IEC 27001, puedes integrar ambos sistemas: comparten estructura, auditoría interna, revisión por la dirección y gestión documental. La seguridad de los datos y de la infraestructura sigue en el SGSI, mientras que el SGIA añade los riesgos propios de la IA, como sesgo, explicabilidad o supervisión humana.

Respecto al Reglamento (UE) 2024/1689, ISO 42001 ayuda a organizar inventario, clasificación de riesgos, documentación y supervisión, pero no sustituye las obligaciones legales ni la evaluación de la conformidad que exige el reglamento para los sistemas de alto riesgo. Una autoevaluación gratuita en baltum.ai muestra tu nivel de preparación frente a ISO 42001 y qué brechas abordar primero.

Este artículo es informativo y no constituye asesoramiento jurídico. baltum.ai es un software independiente, no un organismo de certificación.