Análisis de brechas ISO 42001: cómo medir dónde está su sistema de gestión de IA
El análisis de brechas ISO 42001 (o diagnóstico inicial) compara lo que la organización ya hace con lo que pide ISO/IEC 42001:2023 para un sistema de gestión de inteligencia artificial (SGIA). Se revisa cada requisito de las cláusulas 4 a 10 y cada control del Anexo A, se marca si está implementado, parcial, no implementado o no aplica, se anota la evidencia actual y la acción que falta, y el resultado es un porcentaje de avance por cláusula y una lista priorizada de brechas que se convierte en el plan del proyecto. La norma no lo exige, pero es la forma más rápida de saber desde dónde parte.
¿El análisis de brechas es obligatorio en ISO 42001?
No. Ninguna cláusula de ISO/IEC 42001:2023 pide un análisis de brechas, y un auditor de certificación no lo exigirá como información documentada. Aun así, casi todos los proyectos lo hacen al inicio por tres motivos: dimensiona el trabajo (cuántos requisitos faltan y de qué tipo), permite priorizar con criterio y deja una línea base para mostrar el avance a la dirección.
Si la organización ya tiene ISO 27001, el diagnóstico suele mostrar que buena parte de las cláusulas 4 a 10 (contexto, liderazgo, información documentada, auditoría interna, revisión por la dirección, mejora) se puede ampliar en vez de crear desde cero. Las brechas grandes suelen estar en lo propio de la IA: evaluación de impacto de los sistemas de IA (6.1.4 y 8.4), ciclo de vida, datos y relación con terceros.
Qué se revisa: 27 requisitos y 38 controles
El diagnóstico del kit NexoDocs (AIMS-GAP-01) divide la norma en dos hojas. Los títulos y resúmenes son redacción propia: la norma se cita por número de cláusula y de control, no se copia.
| Parte de la norma | Qué incluye | Filas en el diagnóstico |
|---|---|---|
| Cláusula 4 · Contexto | Contexto y roles respecto de la IA, partes interesadas, alcance, sistema de gestión | 4 |
| Cláusula 5 · Liderazgo | Compromiso de la dirección, política de IA, roles y autoridades | 3 |
| Cláusula 6 · Planificación | Riesgos y oportunidades, evaluación y tratamiento de riesgos de IA, evaluación de impacto, objetivos, cambios | 6 |
| Cláusula 7 · Apoyo | Recursos, competencia, toma de conciencia, comunicación, información documentada | 5 |
| Cláusula 8 · Operación | Control operacional y ejecución de la evaluación de riesgos, el tratamiento y la evaluación de impacto | 4 |
| Cláusula 9 · Evaluación del desempeño | Seguimiento y medición, auditoría interna, revisión por la dirección | 3 |
| Cláusula 10 · Mejora | Mejora continua, no conformidades y acciones correctivas | 2 |
| Anexo A (A.2 a A.10) | Políticas, organización interna, recursos, evaluación de impactos, ciclo de vida, datos, información para partes interesadas, uso de la IA y terceros | 38 controles en 9 grupos |
El grupo más grande del Anexo A es el ciclo de vida del sistema de IA (A.6, 9 controles), seguido de recursos (A.4) y datos (A.7), con 5 controles cada uno. Son también los que más tiempo toman cuando la organización desarrolla o entrena modelos propios.
Kit ISO 42001: documentación para su sistema de gestión de IA
30 documentos Word · 31 herramientas Excel · 38 controles del Anexo A
Ver el kit de documentación ISO 42001Cómo hacer el análisis de brechas paso a paso
- Defina un alcance provisorio: qué sistemas de IA, procesos y sedes entran. Sin alcance, el diagnóstico mezcla cosas que después quedarán fuera.
- Reúna a las personas que conocen la práctica real: responsable del SGIA, quien desarrolla o compra los sistemas de IA, datos, legal o cumplimiento, seguridad de la información.
- Para cada requisito y control, elija uno de cuatro estados: implementado, implementado parcialmente, no implementado o no aplica.
- Anote la evidencia actual (documento, registro, herramienta). Si no hay evidencia, el estado no es «implementado», aunque la práctica exista de palabra.
- Escriba la acción necesaria en una frase verificable y asigne un responsable.
- Revise el tablero: avance por cláusula y por grupo de controles, cantidad de no implementados y de filas sin evaluar.
- Convierta las brechas en tareas del plan del proyecto, empezando por las cláusulas 4 a 6, porque de ellas dependen el resto.
Cómo se puntúa el avance
En la plantilla, cada fila suma un puntaje según su estado y el porcentaje de cada cláusula es el promedio de sus filas:
| Estado | Puntaje | Cuándo usarlo |
|---|---|---|
| Implementado | 100 % | Se hace, está documentado cuando corresponde y hay evidencia |
| Implementado parcialmente | 50 % | Se hace en parte, sin documento o sin registros suficientes |
| No implementado | 0 % | No se hace o no hay ninguna evidencia |
| No aplica | Fuera del promedio | Solo para controles del Anexo A excluidos con justificación (por ejemplo, la organización no desarrolla modelos) |
Ejemplo de cálculo: si en la cláusula 7 (5 requisitos) hay 2 implementados, 2 parciales y 1 no implementado, el avance es (100 + 100 + 50 + 50 + 0) / 5 = 60 %. Las cláusulas 4 a 10 no admiten «no aplica»: son obligatorias para cualquier organización que quiera certificarse. Las exclusiones del Anexo A se justifican después en la Declaración de Aplicabilidad.
Qué hacer con el resultado
- Priorice por dependencia, no por facilidad: sin contexto (4.1), alcance (4.3) y política de IA (5.2) no se pueden hacer bien los riesgos ni la evaluación de impacto.
- Agrupe las brechas en paquetes de trabajo (gobierno, riesgos e impacto, ciclo de vida y datos, proveedores, evaluación y mejora) y llévelos al plan del proyecto con fechas.
- Use el diagnóstico como insumo del inventario de sistemas de IA y de la evaluación de riesgos, no como reemplazo de ellos.
- Repita la autoevaluación cada trimestre: el mismo archivo muestra el avance a la dirección sin informes adicionales.
- Antes de la auditoría de certificación, contrástelo con una auditoría interna (9.2): el diagnóstico es una autoevaluación y tiende a ser optimista.
Errores comunes en el diagnóstico
- Marcar «implementado» porque «se hace», sin evidencia que lo muestre.
- Usar «no aplica» en cláusulas 4 a 10, que no admiten exclusiones.
- Hacerlo solo desde cumplimiento, sin las personas que desarrollan o compran los sistemas de IA.
- Confundir la evaluación de riesgos de IA (6.1.2) con la evaluación de impacto del sistema de IA (6.1.4): la primera mira a la organización, la segunda a las personas y grupos afectados.
- Dejar el diagnóstico en un cajón: si no se convierte en plan con responsables y fechas, no sirve.
Plantilla: el diagnóstico de brechas del kit ISO 42001
El kit ISO 42001 de NexoDocs incluye la autoevaluación de brechas AIMS-GAP-01: un Excel sin macros con los 27 requisitos de las cláusulas 4 a 10 y los 38 controles del Anexo A ya cargados con resúmenes propios, lista desplegable de estados con colores, cálculo automático del puntaje y un tablero con el avance por cláusula y por grupo de controles. Se conecta con el plan del proyecto con diagrama de Gantt (AIMS-PRJ-01), donde el diagnóstico es la segunda tarea, y con la guía de implementación del mismo kit. Si quiere empezar por la parte más propia de la IA, puede descargar gratis la plantilla de evaluación de impacto de sistemas de IA.
Siguiente paso
Pruebe gratis o vaya directo a la solución completa.
Kit ISO 42001: documentación para su sistema de gestión de IA
30 documentos Word · 31 herramientas Excel · 38 controles del Anexo A
Ver el kit de documentación ISO 42001
Muestra gratis
Descargue gratis una versión reducida de la matriz de riesgos del kit (Excel, 10 escenarios, mapa de calor). Vea cómo calcula el nivel y la categoría antes de decidir.
Descargar la muestra gratisPreguntas frecuentes
¿Cuánto toma un análisis de brechas ISO 42001?
Depende del tamaño y de cuántos sistemas de IA entran en el alcance. En una organización pequeña o mediana, con las personas correctas en la sala, suele bastar con dos o tres sesiones de trabajo y la revisión de la evidencia existente.
¿Puedo usar el análisis de brechas de ISO 27001 para ISO 42001?
Sirve para las cláusulas 4 a 10, que tienen la misma estructura en ambas normas, pero no cubre los controles del Anexo A de ISO 42001 ni la evaluación de impacto de los sistemas de IA. Conviene un diagnóstico propio para la IA.
¿Qué diferencia hay entre análisis de brechas y auditoría interna?
El análisis de brechas es una autoevaluación para planificar, sin formato obligatorio. La auditoría interna (cláusula 9.2) es obligatoria, la hacen personas objetivas e imparciales con un programa definido y sus hallazgos se registran como no conformidades u observaciones.
¿Cada cuánto se repite?
Al inicio del proyecto y luego cada trimestre durante la implementación. Una vez operando el SGIA, el seguimiento pasa a los indicadores, la auditoría interna y la revisión por la dirección.
¿Un 100 % en el diagnóstico garantiza la certificación?
No. La certificación la decide un organismo certificador después de su auditoría; el diagnóstico es una autoevaluación que ordena el trabajo y muestra el avance.
Guías relacionadas
¿Qué es ISO/IEC 42001? El sistema de gestión de inteligencia artificial
Qué es ISO/IEC 42001:2023, a quién le sirve, sus cláusulas 4 a 10, los 38 controles del Anexo A y cómo se relaciona con ISO 27001 y el Reglamento europeo de IA.
Leer la guía →Documentos obligatorios de ISO 42001 (sistema de gestión de IA)
Información documentada que exige ISO/IEC 42001:2023 para un sistema de gestión de IA, con la cláusula de cada documento y los registros que pide el auditor.
Leer la guía →Plantilla de evaluación de impacto de sistemas de IA (ISO 42001): Excel gratis con cálculo automático
Plantilla gratis de evaluación de impacto de sistemas de IA (ISO 42001) en Excel: preevaluación, impactos con cálculo automático, impacto residual y aprobación.
Leer la guía →Actualizado: 2026-10-29