¿Qué es ISO/IEC 42001?
ISO/IEC 42001:2023 es la primera norma internacional para sistemas de gestión de inteligencia artificial (AIMS). Ayuda a las organizaciones que desarrollan, proporcionan o utilizan sistemas de IA a gestionar sus riesgos, actuar de forma responsable y demostrar a clientes y reguladores que la IA está bajo control.
La norma sigue la misma estructura de capítulos 4–10 que ISO 9001 e ISO/IEC 27001, por lo que puede integrarse en un sistema de gestión existente. El Anexo A contiene 38 controles de referencia, por ejemplo sobre política de IA, evaluación de impacto de los sistemas de IA, calidad de los datos, ciclo de vida de los sistemas de IA y relaciones con terceros. El certificado lo emite un organismo de certificación acreditado.
¿Quién necesita ISO 42001?
- Empresas SaaS y tecnológicas que integran funciones de IA en sus productos
- Empresas cuyos clientes corporativos preguntan cómo se gobierna la IA
- Organizaciones que se preparan para las obligaciones del Reglamento Europeo de IA (AI Act)
- Empresas fintech, de salud, de RR. HH. y otras que usan IA en decisiones sensibles
- Empresas con ISO/IEC 27001 que quieren ampliar su sistema a la IA
Qué revisa la evaluación ISO 42001
- Alcance del sistema de gestión de IA y su papel: desarrollador, proveedor o usuario de IA
- Política de IA, compromiso de la dirección y responsabilidades
- Evaluación de riesgos de IA y evaluación de impacto en las personas y la sociedad
- Calidad y procedencia de los datos y documentación de los sistemas de IA
- Controles del ciclo de vida: diseño, verificación, despliegue, supervisión y retirada
- Proveedores e IA de terceros, transparencia hacia los usuarios, auditoría interna y mejora
Brechas típicas
- No existe un inventario de los sistemas y herramientas de IA usados en la empresa
- Los riesgos de IA se comentan de manera informal, pero no se evalúan ni se registran
- No hay evaluación de impacto para sistemas de IA que afectan a clientes o empleados
- Faltan normas para el uso de IA generativa por parte de la plantilla
- Se usan modelos y API de IA de terceros sin evaluar al proveedor
ISO 42001 y el Reglamento Europeo de IA
ISO/IEC 42001 es voluntaria y el AI Act es ley. No son lo mismo, pero un sistema de gestión de IA aporta la gobernanza, la gestión de riesgos y la documentación que también exige el AI Act. BALTUM ofrece además una autoevaluación específica del AI Act.