ISO 42001: cómo certificar la gestión de la inteligencia artificial en tu empresa

Hace dos años la pregunta era si convenía usar inteligencia artificial. Hoy la pregunta que llega en los cuestionarios de proveedores, en las licitaciones y en las auditorías de clientes corporativos es otra: ¿cómo gobernás la IA que ya usás? Quién decide qué herramientas se adoptan, qué datos se les cargan, quién revisa lo que producen y qué pasa cuando se equivocan.

Para esa pregunta existe una respuesta que se puede certificar: ISO/IEC 42001, la norma internacional de sistemas de gestión de la inteligencia artificial.

Qué es ISO/IEC 42001

ISO/IEC 42001:2023 se publicó en diciembre de 2023 y es la primera norma de sistema de gestión dedicada a la IA. Define cómo una organización establece, implementa, mantiene y mejora un Sistema de Gestión de la IA (SGIA): las políticas, los roles, los procesos y los controles para desarrollar, proveer o usar sistemas de IA de forma responsable.

No es una norma técnica sobre cómo entrenar modelos ni un listado de buenas prácticas. Es una norma de gestión, con la misma lógica que ISO 9001 o ISO 27001: contexto, liderazgo, planificación, soporte, operación, evaluación del desempeño y mejora. Por eso se certifica igual que las demás, con auditoría de un organismo acreditado.

¿A quién le aplica?

A más empresas de las que imaginás. La norma no está pensada solo para quienes desarrollan IA. Distingue varios roles y la organización tiene que definir cuál ocupa frente a cada sistema:

• Proveedor o desarrollador: construís un producto o servicio que usa IA y lo ofrecés a terceros. Un software de scoring, un chatbot para clientes, un sistema de visión en planta.
• Usuario: usás IA de terceros en tus procesos. Herramientas de IA generativa para redactar, asistentes de código, análisis automático de currículums, clasificación de reclamos.
• Socio o integrador: adaptás o combinás modelos de terceros para un cliente.

Si la IA participa en decisiones que afectan a personas, como selección de personal, crédito, salud o atención al cliente, la certificación deja de ser un diferencial y se vuelve una forma concreta de demostrar diligencia.

Lo que la norma pide en concreto

Los capítulos 4 a 10 siguen la estructura común a todas las normas ISO de gestión. Lo que hace distinta a 42001 son cinco piezas que no existen en otras normas:

1. Inventario de sistemas de IA y su finalidad prevista. El alcance del SGIA arranca por saber qué sistemas de IA hay en la organización, para qué se usan, y para qué no deberían usarse.
2. Política de IA. Aprobada por la dirección, alineada con las políticas de seguridad de la información, privacidad y calidad que ya tengas.
3. Apreciación y tratamiento de riesgos de IA. Con criterios de aceptación propios y mirando consecuencias no solo para la organización, sino para personas y para la sociedad. Las cláusulas 6.1.2, 6.1.3, 8.2 y 8.3 cubren este punto.
4. Evaluación de impacto de los sistemas de IA. Es la gran novedad de la norma, en las cláusulas 6.1.4 y 8.4. Para cada sistema hay que analizar a quién afecta y cómo, con foco en equidad y sesgo, privacidad, seguridad, transparencia y uso indebido razonablemente previsible. Se repite periódicamente y ante cambios significativos.
5. Declaración de Aplicabilidad. La norma trae un Anexo A con 38 controles agrupados en nueve temas. Hay que justificar cuáles aplican y cuáles no.

Los nueve grupos de controles del Anexo A dan una buena idea del alcance real de la norma:

Grupo	Qué cubre
A.2 Políticas	Política de IA, alineación con otras políticas y su revisión
A.3 Organización interna	Roles de IA y canal para reportar inquietudes
A.4 Recursos	Datos, herramientas, cómputo y personas de cada sistema
A.5 Evaluación de impactos	Proceso, documentación e impacto en personas y sociedad
A.6 Ciclo de vida	Requisitos, diseño, verificación, despliegue, operación y registros
A.7 Datos	Adquisición, calidad, procedencia y preparación de datos
A.8 Información a partes interesadas	Información a usuarios, reportes externos e incidentes
A.9 Uso de la IA	Uso responsable y respeto del uso previsto
A.10 Terceros y clientes	Responsabilidades compartidas, proveedores y clientes

En nuestra guía de certificación ISO 42001 tenés el detalle de requisitos, tiempos y costos.

ISO 42001 y el AI Act: no son lo mismo

El Reglamento Europeo de Inteligencia Artificial (AI Act) entró en vigor en agosto de 2024 y se aplica de forma escalonada. Es una ley con obligaciones según el nivel de riesgo de cada sistema. ISO 42001 es una norma voluntaria de gestión.

No son equivalentes y certificar 42001 no reemplaza cumplir la ley. Pero comparten el mismo vocabulario: gestión de riesgos, supervisión humana, transparencia, calidad de datos, registro de eventos. Una organización con un SGIA certificado tiene resuelta buena parte de la estructura que el AI Act exige documentar. Para empresas latinoamericanas que exportan servicios o software a Europa, o que trabajan con clientes europeos, ese es hoy el argumento comercial más fuerte.

En la región, varios países tienen proyectos de regulación de IA en discusión. Implementar 42001 antes de que exista una ley local es la forma de llegar con el sistema armado.

Si ya tenés ISO 9001 o ISO 27001, tenés medio camino hecho

Como 42001 comparte la estructura de alto nivel con las demás normas ISO, todo lo que ya funciona en tu sistema de gestión se reutiliza: control de documentos, auditorías internas, revisión por la dirección, acciones correctivas, competencias y comunicación. Lo nuevo es lo específico de IA: el inventario, la evaluación de impacto, los riesgos de IA y los controles del Anexo A.

La combinación más natural es con ISO 27001. Muchos controles de seguridad de la información, como accesos, proveedores, registros e incidentes, sostienen directamente a los de IA, y las dos normas piden una Declaración de Aplicabilidad. Un sistema integrado evita duplicar procesos y auditorías.

Cómo es el camino a la certificación

1. Inventario y alcance. Relevar los sistemas de IA en uso y en desarrollo, y decidir cuáles entran en el SGIA.
2. Política, roles y criterios de riesgo. La base de gobierno que firma la dirección.
3. Evaluaciones de impacto y de riesgo de cada sistema en alcance.
4. Declaración de Aplicabilidad y plan de tratamiento, con la aprobación formal de los riesgos residuales.
5. Operación y registros durante algunos meses, para tener evidencia real de que el sistema funciona.
6. Auditoría interna y revisión por la dirección.
7. Auditoría de certificación por un organismo acreditado, en dos etapas.

Según el punto de partida, el proceso lleva entre 4 y 10 meses. Una organización con ISO 27001 vigente y pocos sistemas de IA está en el extremo corto. Una que nunca tuvo un sistema de gestión y desarrolla IA propia, en el largo.

Los errores más comunes

• Pensar que no aplica porque "solo usamos herramientas de terceros". El rol de usuario también está alcanzado, y es el más frecuente.
• Confundir evaluación de impacto con análisis de riesgos. El análisis de riesgos mira consecuencias para la organización. La evaluación de impacto mira a las personas y a la sociedad. La norma pide las dos.
• Copiar los 38 controles sin justificar. La Declaración de Aplicabilidad vale por las justificaciones, no por la lista.
• Hacer la evaluación una vez y archivarla. Los modelos cambian, los proveedores actualizan versiones y los usos se amplían. La norma exige repetir las evaluaciones ante cambios significativos.

Cómo lo resolvemos en 6Sigma Certify

Acabamos de incorporar ISO/IEC 42001 a la plataforma, con módulos propios para las piezas que la diferencian: el inventario de sistemas de IA, las evaluaciones de impacto vinculadas a cada sistema y una Declaración de Aplicabilidad que carga los 38 controles del Anexo A en un clic, para que solo tengas que definir la aplicabilidad y la justificación. Todo convive con el resto de tu sistema de gestión: si ya trabajás ISO 9001 o 27001 con nosotros, auditorías, revisiones y acciones correctivas se comparten.

Si querés saber cuánto te falta para certificar, un diagnóstico inicial de brecha es el primer paso: sin compromiso, y con el mapa de qué tenés resuelto y qué falta.

---

Pablo Elgotas Lean Six Sigma & ISO consultant