ISO/IEC 42001: qué es, cómo se estructura y qué significa gestionar la inteligencia artificial

La inteligencia artificial entra en las empresas más deprisa que sus mecanismos de gobierno. Primero aparece ChatGPT, Microsoft Copilot o una función integrada en el software corporativo. Después llegan automatizaciones, modelos de clasificación, asistentes internos o decisiones apoyadas por IA. La pregunta deja de ser «¿usamos inteligencia artificial?» y pasa a ser «¿quién controla cómo la usamos?».

ISO/IEC 42001 responde a esa segunda pregunta. No prescribe un modelo concreto ni ofrece una lista universal de tecnologías seguras. Establece un sistema para gobernar de forma repetible los riesgos, impactos, datos, responsabilidades, proveedores y decisiones asociados a la IA.

¿Qué es exactamente ISO/IEC 42001?

ISO/IEC 42001:2023 es la primera norma internacional de sistemas de gestión dedicada a la inteligencia artificial. Especifica requisitos para establecer, implementar, mantener y mejorar continuamente un Artificial Intelligence Management System o AIMS.

En España, UNE-EN ISO/IEC 42001:2026 es la adopción nacional, vigente desde el 8 de abril de 2026 e idéntica a ISO/IEC 42001:2023 según AENOR. Sustituye a UNE-ISO/IEC 42001:2025, como recoge el BOE. Puede certificarse por un tercero, igual que otros sistemas de gestión, aunque implantar la norma y certificarse son decisiones distintas.

¿A quién se aplica?

La norma está pensada para organizaciones de cualquier tamaño y sector que desarrollen, proporcionen o utilicen productos o servicios basados en IA. Por tanto, no es solo para fabricantes de modelos.

Una empresa que contrata una herramienta generativa, integra un modelo de un tercero o utiliza IA para apoyar decisiones internas también necesita entender su papel. Según el sistema, puede actuar como proveedor, desarrollador, operador, implantador, usuario, integrador, proveedor de datos o cliente, e incluso combinar varios roles.

Ese papel cambia las responsabilidades. Por eso el punto de partida no es comprar controles: es saber qué IA existe, para qué se usa, quién la proporciona, quién decide y quién puede verse afectado.

¿Por qué la IA necesita un sistema de gestión específico?

El software tradicional ya exige seguridad, calidad y privacidad, pero la IA añade incertidumbres propias: decisiones difíciles de explicar, dependencia de datos, resultados probabilísticos, sesgos, cambios de rendimiento, aprendizaje continuo y efectos sobre personas que pueden aparecer sin un fallo técnico clásico.

Un sistema puede estar disponible, no haber sufrido un ataque y no haber perdido información, pero seguir produciendo resultados injustos, poco fiables o utilizados fuera de su propósito. ISO 42001 incorpora esas cuestiones al gobierno ordinario del negocio mediante un enfoque basado en riesgo y mejora continua.

Cómo se estructura ISO 42001

La norma puede entenderse en tres capas. Esta separación evita el error frecuente de reducir ISO 42001 a su Anexo A.

Requisitos de los capítulos 4 a 10

Capítulo 4: contexto y alcance

La organización identifica cuestiones internas y externas, partes interesadas, requisitos aplicables y el alcance del AIMS. En IA hay dos preguntas decisivas: cuál es el propósito previsto de cada sistema y qué papel desempeña la organización respecto a él.

En la práctica, hace falta un inventario que conecte sistemas, usos, propietarios, proveedores, datos, personas afectadas y jurisdicciones. Sin esa vista no puede justificarse el alcance ni evaluarse el riesgo con consistencia.

Capítulo 5: liderazgo

La alta dirección debe integrar la gestión de IA en el negocio, aprobar una política, establecer objetivos, asignar responsabilidades y aportar recursos. No basta con señalar a «la persona que sabe de IA»: debe estar claro quién autoriza un uso, quién acepta un riesgo, quién supervisa resultados y quién puede detener el sistema.

Para aterrizar el requisito 5.2, consulta nuestra guía para crear una política de IA según ISO/IEC 42001, con una plantilla Word gratuita y editable y cinco anexos de trabajo.

Capítulo 6: planificación

Aquí se diseñan los procesos de evaluación y tratamiento del riesgo, se fijan objetivos y se planifican cambios. La organización define criterios de aceptación y analiza consecuencias para ella misma, para las personas y para la sociedad.

Capítulo 7: apoyo

El sistema necesita recursos, competencias, concienciación, comunicación e información documentada. La evidencia importa: una práctica que solo vive en el conocimiento informal de una persona es difícil de repetir, auditar y mejorar.

Capítulo 8: operación

Los criterios y controles pasan del papel a la actividad real. Las evaluaciones de riesgo e impacto deben repetirse a intervalos planificados y cuando se propongan cambios significativos: modelo, proveedor, datos, versión, funcionalidad, población, contexto o propósito.

Capítulo 9: evaluación del desempeño

La organización decide qué medir, cómo analizarlo y cuándo revisar los resultados. La auditoría interna comprueba tanto la conformidad como la implantación eficaz; la revisión por la dirección eleva los problemas y decisiones al nivel de gobierno adecuado.

Capítulo 10: mejora

Las no conformidades se corrigen, se analiza su causa, se valora si pueden repetirse y se comprueba la eficacia de las acciones. El objetivo no es obtener una fotografía perfecta para una auditoría, sino disponer de un sistema capaz de detectar y corregir sus debilidades.

Riesgo e impacto: relacionados, pero no idénticos

ISO 42001 exige un proceso de evaluación del riesgo de IA y otro de evaluación del impacto de los sistemas de IA. Sus resultados se conectan, pero responden a preguntas diferentes.

Un modelo puede funcionar como fue diseñado y aun así perjudicar sistemáticamente a un grupo. Esa posibilidad explica por qué la evaluación no puede limitarse a disponibilidad, precisión o ciberataques.

Tratamiento del riesgo y Declaración de Aplicabilidad

Después de evaluar los riesgos, la organización decide cómo tratarlos y qué controles necesita. A continuación compara esa selección con el Anexo A para comprobar que no ha omitido controles necesarios.

El resultado se documenta en una Declaración de Aplicabilidad: controles necesarios, justificación de su inclusión, estado de implantación y razones para excluir controles del Anexo A. También pueden añadirse controles propios.

Los 38 controles del Anexo A

Los controles de referencia se agrupan en nueve áreas. No son 38 controles de ciberseguridad: combinan gobierno, datos, transparencia, impacto, ciclo de vida, uso responsable y terceros.

El Anexo B ofrece orientación para implantar estos controles. El Anexo C amplía posibles objetivos y fuentes de riesgo —equidad, privacidad, robustez, transparencia o impacto ambiental, entre otros— y el Anexo D ayuda a integrar el AIMS con sistemas como ISO/IEC 27001, ISO/IEC 27701 o ISO 9001.

Qué evidencias debería poder mostrar una organización

La documentación exacta depende del alcance y del riesgo, pero un sistema defendible suele conectar, como mínimo, estas piezas:

• Inventario y contexto: sistemas, propósitos, roles, propietarios, proveedores, partes afectadas y requisitos.
• Gobierno: política, objetivos, órganos de decisión, responsabilidades, escalado y aceptación de riesgos.
• Riesgo e impacto: método, criterios, evaluaciones, decisiones y usos inadecuados previsibles.
• Datos y ciclo de vida: procedencia, calidad, transformaciones, requisitos, validación, despliegue, registros y cambios.
• Personas y transparencia: competencias, supervisión humana, información a usuarios y canales para comunicar impactos.
• Terceros: diligencia previa, responsabilidades contractuales, cambios, incidentes y capacidad de seguimiento.
• Mejora: métricas, auditorías, revisión por la dirección, no conformidades y acciones correctivas.

Cómo empezar a implantar ISO 42001

Una implantación proporcionada no empieza redactando decenas de procedimientos. Empieza delimitando decisiones y evidencias.

1. Patrocinio y objetivo: aclarar por qué se implanta y qué resultado espera la dirección.
2. Inventario inicial: localizar usos de IA, incluidos los contratados como servicio o incorporados de forma informal.
3. Roles y alcance: definir el papel de la organización y qué unidades, procesos y sistemas entran en el AIMS.
4. Análisis de brechas: comparar prácticas existentes con los capítulos 4 a 10 y el Anexo A.
5. Riesgos e impactos: aplicar criterios repetibles a los sistemas incluidos.
6. Tratamiento y aplicabilidad: seleccionar controles, responsables, plazos y evidencias.
7. Operación: integrar controles en compras, desarrollo, cambios, uso, supervisión e incidentes.
8. Comprobación: medir, auditar, revisar y corregir antes de plantear una certificación.

ISO 42001 y el AI Act: qué relación tienen

ISO 42001 puede ayudar a estructurar gobierno, riesgo, competencias, documentación, proveedores y mejora. Son capacidades útiles para gestionar obligaciones del Reglamento de IA, especialmente cuando la organización necesita conectar múltiples sistemas y evidencias.

Pero conviene ser preciso: la certificación ISO 42001 no equivale automáticamente a cumplir el AI Act. El artículo 40 del Reglamento reserva la presunción de conformidad a normas armonizadas —o partes de ellas— cuyas referencias se hayan publicado en el Diario Oficial de la Unión Europea, y solo respecto de los requisitos que cubran.

Además, la norma gestiona una organización; el AI Act impone obligaciones según el rol, el sistema, su clasificación y el caso de uso. Por eso hacen falta un mapeo requisito por requisito y un análisis jurídico y técnico específico.

Lo que ISO 42001 no es

• No es una lista de herramientas de IA permitidas.
• No certifica que cada salida de un modelo sea correcta o justa.
• No sustituye evaluaciones técnicas, jurídicas, de seguridad o de protección de datos.
• No obliga a desplegar sin criterio todos los controles del Anexo A.
• No elimina la responsabilidad de una organización por contratar IA como servicio.
• No es un proyecto que termina al obtener un certificado: exige mejora continua.

Preguntas frecuentes sobre ISO 42001

¿Qué es ISO/IEC 42001?

Es una norma internacional certificable que establece los requisitos para crear, implementar, mantener y mejorar continuamente un sistema de gestión de inteligencia artificial.

¿A quién se aplica ISO 42001?

A cualquier organización, de cualquier tamaño o sector, que desarrolle, proporcione o utilice productos o servicios basados en inteligencia artificial.

¿ISO 42001 es obligatoria?

No por sí misma. Es una norma voluntaria, aunque un contrato, una política de compras o un requisito sectorial puede exigirla.

¿Certificarse en ISO 42001 demuestra cumplir el AI Act?

No. ISO 42001 puede ayudar a organizar procesos y evidencias, pero la certificación no sustituye el análisis jurídico ni demuestra por sí sola el cumplimiento del AI Act.

¿Hay que implantar los 38 controles del Anexo A?

No necesariamente. La organización selecciona controles a partir de su contexto y sus riesgos, justifica inclusiones y exclusiones y puede añadir controles propios.

La aportación más valiosa de ISO 42001 no es una lista concreta de controles. Es convertir la gobernanza de IA en un proceso continuo: saber qué sistemas existen, quién decide, a quién pueden afectar, qué evidencias respaldan su uso y cuándo toca cambiar de rumbo.

La pregunta ya no es solo si la IA funciona. Es si la organización está preparada para decidir cuándo utilizarla, bajo qué condiciones y con qué responsabilidad.