ISO/IEC 42001: cómo gobernar la inteligencia artificial en tu empresa

La inteligencia artificial ya está dentro de las empresas: en el chatbot de servicio, en las herramientas que resumen contratos y en el software de los proveedores. El siguiente paso es gobernarla: definir quién decide, con qué reglas y cómo se demuestra. ISO/IEC 42001 es hoy la herramienta más clara para lograrlo.

¿Qué es ISO/IEC 42001?

ISO/IEC 42001:2023 es la primera norma internacional de sistemas de gestión de inteligencia artificial (AIMS, por sus siglas en inglés). Fue publicada por ISO e IEC en diciembre de 2023 y establece los requisitos para implementar, mantener y mejorar continuamente la gestión de la IA en cualquier organización que desarrolle, provea o use sistemas de IA, sin importar su tamaño o sector.

Es una norma voluntaria, sigue el ciclo PDCA (Planificar-Hacer-Verificar-Actuar) y es certificable mediante auditorías de tercera parte. Se complementa con otras normas de la familia: ISO/IEC 22989 (terminología), ISO/IEC 23894 (gestión de riesgos de IA) e ISO/IEC 42006 (requisitos para los organismos de certificación), además del marco NIST AI RMF.

Su alcance es organizacional: ofrece una manera práctica de gestionar los riesgos y oportunidades de la IA en toda la organización, sin entrar en el detalle técnico de cada aplicación. Por eso es útil tanto para quien desarrolla modelos como para quien solo adopta herramientas de terceros.

Entre las ideas clave: es la primera norma de su tipo, aplica a cualquier sector, se integra con ISO/IEC 27001 y puede certificarse por organismos acreditados que, a su vez, se rigen por ISO/IEC 42006:2025.

¿Por qué importa ahora?

• Regulación con fechas concretas: el Reglamento Europeo de IA (UE 2024/1689) entró en vigor el 1 de agosto de 2024 y la mayor parte de sus obligaciones aplica desde el 2 de agosto de 2026. Si una empresa latinoamericana presta servicios a clientes europeos, estas exigencias llegan vía contratos y procesos de debida diligencia.
• Riesgos concretos: sesgos, falta de explicabilidad, fuga de datos y dependencia de terceros.
• Confianza verificable: clientes, juntas directivas y reguladores piden evidencia de un uso responsable de la IA.

Componentes clave de un sistema de gestión de IA

La norma combina siete cláusulas obligatorias (de la 4 a la 10) con un conjunto de controles de referencia:

• Contexto: cuestiones internas y externas, partes interesadas y alcance.
• Liderazgo: compromiso de la alta dirección, política de IA y roles.
• Planificación: evaluación de riesgos e impactos y objetivos.
• Soporte: recursos, competencia, comunicación e información documentada.
• Operación: implementación de procesos y controles.
• Evaluación del desempeño: medición, auditoría interna y revisión por la dirección.
• Mejora: acciones correctivas y mejora continua.

El Anexo A reúne 38 controles de referencia en 9 objetivos, que cada organización selecciona según su análisis de riesgos y documenta en una Declaración de Aplicabilidad. Además, al compartir estructura con ISO/IEC 27001, ambas normas pueden integrarse en un único sistema de gestión.

Hoja de ruta para gobernar la IA

Esta es una secuencia práctica e incremental que puede adaptarse al tamaño y la madurez de cada organización:

1. Inventariar los casos de uso de IA, incluida la «IA en la sombra».
2. Definir el contexto y el alcance.
3. Aprobar una política de IA respaldada por la alta dirección.
4. Asignar roles y responsabilidades.
5. Evaluar riesgos e impactos en la organización y en las personas, apoyándose en ISO/IEC 23894 y el NIST AI RMF.
6. Seleccionar e implementar controles según el riesgo.
7. Formar a las personas: la norma exige competencia y toma de conciencia, y la regulación europea ya pide alfabetización en IA.
8. Monitorear y medir con indicadores.
9. Realizar auditoría interna y revisión por la dirección.
10. Considerar la certificación cuando el sistema esté maduro.

Errores comunes

Estos son los tropiezos más frecuentes al implementar la norma:

• Tratarlo como un proyecto exclusivo de TI: involucra negocio, legal, riesgos y personas.
• Empezar por los documentos y dejar el inventario para después.
• Ignorar la IA de terceros, donde está buena parte de la exposición.
• Implementar los 38 controles sin criterio: el enfoque es basado en riesgos.
• Olvidar el ciclo PDCA y no medir ni auditar.
• Subestimar la formación de las personas.

Preguntas frecuentes

¿ISO/IEC 42001 es obligatoria? No. Es una norma voluntaria, aunque clientes, socios y reguladores pueden pedir evidencia de su aplicación.

¿Aplica si solo uso IA de terceros? Sí. La norma cubre a quienes desarrollan, proveen o usan IA, y la gestión de proveedores es parte central del sistema.

¿Puedo integrarla con ISO/IEC 27001? Sí. Comparten estructura, lógica de riesgos, auditoría interna y revisión por la dirección.

¿Certificarse garantiza cumplir el Reglamento Europeo de IA? No automáticamente, pero ayuda a ordenar procesos y evidencias que respaldan el cumplimiento.

Conclusión

Gobernar la IA con ISO/IEC 42001 le da a la empresa un lenguaje común, un método probado y una forma verificable de generar confianza. Lo más recomendable es empezar por el inventario, involucrar a la dirección y avanzar con disciplina: una IA gobernada con método genera valor sostenible y confianza duradera.

En IT Service, empresa de capacitación y consultoría, acompañamos a las organizaciones en la comprensión e implementación de buenas prácticas y sistemas de gestión. Si quieres conversar sobre cómo aplicarlo en tu organización, déjanos tus datos en el siguiente formulario.

Fuentes: ISO/IEC 42001:2023, ISO/IEC 23894:2023, ISO/IEC 22989:2022 e ISO/IEC 42006:2025.