Respuesta rápida · 5.2
¿Qué debe contener una política ISO 42001?
La alta dirección debe establecer una política que cubra estos ocho puntos:
- Encajar con el propósito de la organización.
- Dar un marco para definir los objetivos de IA.
- Asumir el cumplimiento de los requisitos aplicables.
- Asumir la mejora continua del sistema de gestión de IA.
- Mantenerse como información documentada.
- Incluir referencias a otras políticas cuando sean pertinentes.
- Comunicarse dentro de la organización.
- Estar disponible para las partes interesadas según corresponda.
ISO/IEC 42001 no prescribe una plantilla universal ni una extensión concreta para la política.
No necesitas desarrollar modelos de IA para necesitar una política de IA. También sirve para gobernar el uso de herramientas de terceros. El alcance y los compromisos deben ajustarse a tus actividades y riesgos.
Si empiezas desde cero, consulta la guía completa de ISO/IEC 42001: explica el sistema de gestión, los capítulos 4–10 y los 38 controles del Anexo A. Para situar tu punto de partida, utiliza la checklist ISO 42001.
Tres piezas que encajan
Una política de IA expresa la dirección que toma tu organización: para qué utiliza o desarrolla IA, qué compromisos asume y cómo gobierna sus decisiones. Sirve de referencia para los objetivos y los procedimientos que hacen esos compromisos operativos.
Los requisitos
Qué debe establecer la dirección y cómo debe estar disponible la política.
Los controles
Documentar la política, alinearla con otras políticas y revisarla.
La implementación
Cómo llevar esos controles a la práctica en tu contexto.
El objetivo de A.2 es dar dirección y respaldo de gestión a los sistemas de IA de acuerdo con las necesidades del negocio. Sus controles son A.2.2 (política), A.2.3 (alineamiento) y A.2.4 (revisión).
Los ocho puntos que debes cubrir en 5.2
Resumen en lenguaje práctico. La última columna propone evidencias útiles; no prescribe un formato documental obligatorio.
| Punto | Qué hacer | Cómo evidenciarlo |
|---|---|---|
| Conectar con el propósito5.2 a | Explica para qué aporta valor la IA en tu organización, dentro del alcance definido. | Propósito y alcance adaptados al negocio. |
| Dar marco a los objetivos5.2 b | Define compromisos de los que puedan salir objetivos de IA concretos. | Relación política → objetivo → indicador → responsable. |
| Comprometer el cumplimiento5.2 c | Incluye expresamente el compromiso de atender los requisitos aplicables. | Compromiso y referencia al proceso que identifica y mantiene esos requisitos. |
| Comprometer la mejora continua5.2 d | Expresa la mejora continua del sistema de gestión de IA, además de la mejora técnica de los sistemas. | Compromiso conectado con revisiones y acciones de mejora. |
| Documentar5.2 | Mantén la política disponible como información documentada. | Versión vigente identificable y accesible. |
| Referenciar otras políticas5.2 | Incluye las referencias a otras políticas de la organización cuando sean pertinentes. | Referencias identificables a seguridad, privacidad u otras políticas aplicables. |
| Comunicar internamente5.2 | Haz llegar la política a las personas de la organización. | Comunicación, incorporación o formación con evidencia proporcionada. |
| Facilitarla a las partes interesadas5.2 | Determina a quién corresponde facilitarla y por qué canal. | Criterio de disponibilidad y canal. Publicarla íntegra en internet no es una exigencia general de 5.2. |
Una política útil debería generar decisiones
Conecta la dirección que establece 5.2 con los objetivos de 6.2 y con evidencias que puedas revisar.
- Compromiso
- Objetivo
- Indicador
- Responsable
- Evidencia
Ejemplo para adaptar: revisión humana de entregas con IA → revisar todas las entregas antes de enviarlas → porcentaje con revisión registrada → dirección de operaciones → registro de entregas y revisiones. No es una cadena documental ni una meta impuesta por ISO.
Redáctala en ocho pasos
En cada paso encontrarás dos casos: una empresa que usa IA para agilizar la selección de candidatos y otra que usa ChatGPT para redactar. Son ejemplos para adaptar, no requisitos adicionales de ISO ni una validación de esos usos. Si desarrollas o suministras sistemas, adapta también los compromisos a esas actividades y a su ciclo de vida.
Sitúa la IA en tu negocio5.2 a · B.2.2
Antes de redactar, reúne a quien conoce el negocio, los usos de IA y sus riesgos. Responde: ¿usamos, desarrollamos o suministramos IA?, ¿en qué procesos?, ¿qué personas pueden verse afectadas? Ten a mano la estrategia, los valores, la disposición a asumir riesgos, las evaluaciones de riesgo e impacto y los requisitos legales y contractuales.
1. IA para selección de candidatos
Una empresa utiliza IA para resumir currículos y ordenar candidaturas según los requisitos del puesto. Busca agilizar la selección, sin delegar la decisión en una puntuación. RR. HH. delimita las tareas asistidas, los datos utilizados, el proveedor, las personas afectadas y los riesgos de errores o trato desigual.
2. ChatGPT para redacción
Una empresa utiliza ChatGPT para preparar borradores de artículos, correos y propuestas comerciales. Busca reducir el tiempo de redacción, manteniendo la calidad y la confidencialidad. Delimita quién puede usarlo, para qué contenidos, con qué información de entrada y quién revisa cada texto.
Te llevas: Una ficha con propósito, alcance, roles respecto a la IA, usos y riesgos relevantes.
Convierte tus principios en compromisos5.2 b–d · B.2.2
Incluye el cumplimiento de los requisitos aplicables y la mejora continua del sistema de gestión de IA. Añade principios adecuados a tu contexto: supervisión humana, transparencia, seguridad, privacidad o trato equitativo. Explica qué decisión cambia cada principio. La lista concreta y su desarrollo dependen de los usos y riesgos.
1. IA para selección de candidatos
En lugar de «seleccionaremos con IA responsable»: «Las recomendaciones de IA se contrastarán con los requisitos del puesto y la documentación de la candidatura antes de decidir. La persona responsable podrá corregirlas o rechazarlas; no se descartarán candidatos únicamente por una puntuación automática». Es un compromiso de ejemplo, no una garantía de ausencia de sesgos.
2. ChatGPT para redacción
En lugar de «redactaremos con IA responsable»: «Los textos preparados con ChatGPT se revisarán antes de enviarlos o publicarlos. Una persona comprobará los hechos, las fuentes, el tono y la ausencia de información que no deba divulgarse, y tendrá autoridad para corregirlos o rechazarlos».
Te llevas: Compromisos claros, asumibles y conectados con decisiones reales.
Conecta política, objetivos y evidencias5.2 b · 6.2
La política proporciona el marco; el plan de objetivos concreta qué se conseguirá, con qué recursos, quién responde, cuándo y cómo se evaluará. Mantén las cifras cambiantes en ese plan para poder gestionarlas sin reescribir toda la política. En 6.2, los objetivos deben ser medibles si es factible.
1. IA para selección de candidatos
Compromiso: decisiones de selección con revisión humana documentada. Objetivo de ejemplo: desde el próximo trimestre, registrar esa revisión en el 100 % de las decisiones apoyadas en IA. Indicador: decisiones con revisión registrada / decisiones apoyadas en IA. Responsable: dirección de RR. HH. Evidencia: registro de selección y muestreo de revisiones. Medir también errores y reclamaciones: marcar una casilla no demuestra una revisión eficaz.
2. ChatGPT para redacción
Compromiso: revisar antes de publicar. Objetivo de ejemplo: desde el próximo trimestre, que el 100 % de los textos externos elaborados con ChatGPT tengan una revisión registrada. Indicador: textos revisados / textos externos asistidos por ChatGPT. Responsable: dirección de comunicación. Evidencia: historial de versiones y aprobación editorial. Se comparan además tiempos de preparación y correcciones posteriores.
Te llevas: Un primer objetivo por compromiso prioritario, con indicador, responsable y plazo.
Encájala con las políticas que ya existen5.2 · A.2.3 · B.2.3
Revisa los cruces con seguridad, privacidad, calidad, seguridad de las personas, compras y recursos humanos cuando sean pertinentes. Detecta contradicciones y decide qué documento se actualiza. Usa referencias concretas a documentos vigentes; comprueba que los destinatarios puedan consultarlos.
1. IA para selección de candidatos
La política de IA remite a las políticas de selección, igualdad, privacidad, seguridad y compras. RR. HH. y las funciones de privacidad y seguridad revisan qué datos pueden tratarse, quién accede a las candidaturas y cómo se evalúa al proveedor. Si el uso previsto contradice una regla vigente, resuelven el conflicto antes de autorizarlo.
2. ChatGPT para redacción
La política de IA remite a las reglas de confidencialidad, seguridad y comunicación editorial. Se concreta qué información puede introducirse en ChatGPT y qué revisión requiere un texto externo. Disponer de una licencia no equivale a tener autorización para cargar documentos de clientes o datos personales.
Te llevas: Una tabla de políticas relacionadas, cruces detectados, cambios y responsables.
Define cómo actuar ante excepciones y desviacionesB.2.2
Distingue una excepción solicitada antes de actuar de una desviación detectada después. Para una excepción interna, registra motivo, alcance, riesgos, medidas, autoridad aprobadora, caducidad y revisión. Una excepción a una regla interna no autoriza incumplir la ley o un contrato. Si aparece una desviación, contiene sus efectos, informa y evalúa las acciones necesarias.
1. IA para selección de candidatos
RR. HH. solicita probar una nueva herramienta de preselección aún no aprobada. La excepción interna propuesta limita el piloto a dos semanas, con candidaturas sintéticas y sin decisiones sobre personas reales. Se registran alcance, riesgos, responsable y cierre. Si se detecta un descarte no revisado en el proceso habitual, se contiene el uso afectado, se comunica y se reevalúa la decisión.
2. ChatGPT para redacción
Comunicación solicita probar con ChatGPT un nuevo flujo de redacción aún no aprobado. La prueba utiliza información pública, no publica automáticamente y caduca a las dos semanas. Si alguien introduce por error un documento confidencial, se activa el canal de incidentes, se evalúa la exposición y se aplican las medidas previstas; no se regulariza el hecho mediante una aprobación retroactiva.
Te llevas: Un canal y un circuito de decisión que el equipo conozca.
Haz que la dirección la establezca y apruebe5.2 · B.2.4 · 7.5
La alta dirección establece la política. Asigna además un responsable de elaborarla, revisarla y evaluar su eficacia, con el respaldo de la dirección. Identifica versión, fecha, alcance, propietario y aprobación. La aprobación documentada es una forma práctica de evidenciar la decisión; 5.2 no exige una firma manuscrita ni un número de páginas.
1. IA para selección de candidatos
La dirección general establece y aprueba la política con revisión previa de RR. HH., privacidad, seguridad y las funciones pertinentes. Designa a un responsable del sistema de gestión de IA para mantenerla y a RR. HH. para aplicar los compromisos de selección. El acta identifica versión, alcance, responsabilidades y recursos.
2. ChatGPT para redacción
La dirección general establece y aprueba la política y asigna su mantenimiento al responsable del sistema de gestión de IA. Comunicación revisa los compromisos editoriales y seguridad y privacidad los relativos a la información. Queda identificado quién autoriza el uso de ChatGPT y quién aprueba los textos externos.
Te llevas: Política vigente y evidencia de aprobación, con un responsable de mantenimiento.
Comunícala y ponla a disposición5.2 · A.2.2
Acompaña la publicación interna de una explicación sobre qué cambia en el trabajo diario y dónde resolver dudas. Integra la política en la incorporación de personas y en los procesos pertinentes. Determina las partes interesadas a las que corresponde facilitarla: por ejemplo, un cliente que la solicita o un proveedor afectado por sus compromisos.
1. IA para selección de candidatos
La empresa publica la política vigente en la intranet y forma a quienes seleccionan personal con tres situaciones: una recomendación incorrecta, una candidatura omitida y una petición de revisión. Explica dónde consultar la documentación y comunicar incidencias. Define también quién facilita la política a candidatos o proveedores cuando corresponda, sin confundirla con los avisos específicos del proceso de selección.
2. ChatGPT para redacción
La empresa publica la política en el espacio de trabajo de comunicación y la incorpora a la formación de quienes redactan con ChatGPT. Explica qué información no debe introducirse, cómo verificar un borrador y quién aprueba su publicación. Conserva el material y la evidencia de comunicación, y define cómo atender solicitudes de clientes sobre sus compromisos de uso de IA.
Te llevas: Canal de acceso, evidencia de comunicación y criterio para solicitudes externas.
Programa la revisión y activa los cambiosA.2.4 · B.2.4
Fija un intervalo acorde con tu contexto y revisa también cuando sea necesario. Valora cambios del negocio, del entorno técnico y legal, incidentes, resultados de objetivos y revisiones de la dirección. Comprueba si la política sigue siendo apropiada, suficiente y eficaz. Documenta la decisión incluso si concluyes que no necesita cambios.
1. IA para selección de candidatos
La empresa elige una revisión semestral y revisiones adicionales si cambia el proveedor, el criterio de ordenación, los puestos cubiertos o aparecen errores o reclamaciones relevantes. RR. HH. aporta resultados, incidencias y calidad de las revisiones humanas. Se documenta si deben cambiar la política, el proceso o ambos. El intervalo es una decisión del ejemplo, no una exigencia universal de ISO.
2. ChatGPT para redacción
La empresa elige una revisión anual y revisiones adicionales si cambia el servicio contratado, se conectan nuevas fuentes de información, se automatiza la publicación o se detectan errores o incidentes de confidencialidad. Comunicación revisa los indicadores y las correcciones posteriores. Se registra la decisión de mantener o modificar la política. La periodicidad anual no viene impuesta por ISO.
Te llevas: Calendario, desencadenantes de revisión y registro de decisiones y mejoras.
Gratis · Word editable · Versión 1.2
Descarga la plantilla de política de IA
Avanza con una estructura redactada, campos para completar y ejemplos que puedes adaptar a tu organización.
- Política editable: propósito, compromisos, principios y responsabilidades.
- Cinco anexos para objetivos, alineamiento, excepciones, revisión y comprobación.
- Notas de adaptación y campos destacados. Sin macros.
Envía tu solicitud a ACBSEC y descarga el archivo aquí mismo. El email es opcional: solo lo necesito si quieres que te contacte.
Comprueba tu borrador antes de aprobarlo
Marca lo que ya tienes resuelto. Esta lista es una ayuda de trabajo; no es una evaluación de conformidad. Se reinicia al recargar y tus respuestas no se envían.
0 / 10 puntos revisados
Preguntas frecuentes
¿Basta con copiar y firmar la plantilla?
No. Hay que adaptarla al propósito, alcance, usos, riesgos y requisitos de la organización; aprobarla, comunicarla y aplicar los compromisos. La plantilla ayuda a redactar, pero no acredita conformidad ni certificación.
¿Tengo que desarrollar IA para necesitar una política?
La norma contempla el desarrollo y el uso de sistemas de IA. Una organización que solo utiliza servicios de terceros también debe adaptar la política a su papel y al alcance de su sistema de gestión.
¿La norma exige un comité de IA o una revisión anual?
Estos apartados no imponen un comité con ese nombre ni una frecuencia anual fija. Piden decisiones y responsabilidades; A.2.4 prevé revisión planificada y adicional cuando sea necesario.
¿La política debe contener todas las herramientas autorizadas?
Puede remitir a un catálogo o procedimiento actualizado. Separar los compromisos de dirección de los detalles que cambian con frecuencia facilita el mantenimiento. Es una recomendación de diseño documental.
¿Debo publicar la política completa en la web?
5.2 exige disponibilidad para las partes interesadas según corresponda. Define destinatarios, acceso y canales de forma adecuada; no equivale a una obligación general de publicación íntegra en internet.
¿Quieres adaptarla a tu organización?
Podemos trabajar el alcance, los compromisos y las evidencias para que la política encaje con tus usos de IA y con el resto de tu sistema de gestión.
Elaboración propia sobre ISO/IEC 42001:2023, apartados 5.2, A.2 y B.2, con apoyo en 6.1.3, 6.2 y 7.5. La referencia española vigente es UNE-EN ISO/IEC 42001:2026, de 8 de abril de 2026, que sustituye a UNE-ISO/IEC 42001:2025. AENOR declara su equivalencia técnica idéntica con la norma internacional de 2023. AENOR · BOE · ISO/IEC 42001:2023.
Los ejemplos, la checklist y la plantilla son propuestas de aplicación, no el texto oficial ni una garantía de certificación. Consulta la norma para verificar sus requisitos completos.