Documentos obligatorios de ISO 42001 (sistema de gestión de IA)
ISO/IEC 42001:2023 exige como información documentada, entre otros: el alcance del sistema de gestión de IA (4.3), la política de IA (5.2), los procesos y resultados de la evaluación y el tratamiento de riesgos de IA (6.1.2, 6.1.3, 8.2 y 8.3), la Declaración de Aplicabilidad (6.1.3), la evaluación de impacto de los sistemas de IA (6.1.4 y 8.4), los objetivos de IA (6.2) y los registros de competencia, seguimiento, auditoría interna, revisión por la dirección y acciones correctivas.
Documentos exigidos por cláusula
| Documento | Cláusula | Para qué sirve |
|---|---|---|
| Alcance del sistema de gestión de IA | 4.3 | Define qué sistemas, procesos y roles frente a la IA quedan cubiertos |
| Política de IA | 5.2 | Compromisos de la dirección y marco para los objetivos |
| Proceso de evaluación de riesgos de IA | 6.1.2 | Criterios para identificar, analizar y valorar riesgos |
| Proceso de tratamiento de riesgos de IA | 6.1.3 | Cómo se eligen controles y se aprueban riesgos residuales |
| Declaración de Aplicabilidad | 6.1.3 | Controles necesarios del Anexo A, justificación y estado de implementación |
| Proceso de evaluación de impacto del sistema de IA | 6.1.4 | Cómo se evalúan las consecuencias para personas, grupos y sociedad |
| Objetivos de IA | 6.2 | Metas medibles y planes para lograrlas |
| Evidencia de competencia | 7.2 | Formación y experiencia de quienes trabajan con los sistemas de IA |
| Información para la operación | 8.1 | Lo necesario para confiar en que los procesos se ejecutan según lo planificado |
| Resultados de la evaluación de riesgos | 8.2 | Registro de riesgos actualizado |
| Resultados del tratamiento de riesgos | 8.3 | Plan de tratamiento y su avance |
| Resultados de la evaluación de impacto | 8.4 | Evaluaciones de impacto de cada sistema |
| Resultados de seguimiento y medición | 9.1 | Indicadores y su análisis |
| Programa y resultados de auditoría interna | 9.2 | Plan, informes y hallazgos |
| Resultados de la revisión por la dirección | 9.3 | Decisiones y acciones de la dirección |
| No conformidades y acciones correctivas | 10.2 | Qué falló, causa, acción y resultado |
La cláusula 7.5.1 agrega la información documentada que la propia organización considere necesaria para la eficacia del sistema, y varios controles del Anexo A piden documentar decisiones del ciclo de vida, de los datos y de la información entregada a usuarios.
Registros que suele pedir el auditor además de la lista
- Inventario de sistemas de IA con su propósito, rol de la organización y personas afectadas.
- Registro de proveedores de IA y de las responsabilidades acordadas con ellos.
- Evidencias de capacitación y de alfabetización en IA del personal.
- Registro de incidentes o inquietudes reportadas sobre sistemas de IA.
- Control de versiones y aprobaciones de los documentos del sistema.
Errores frecuentes
- Copiar la Declaración de Aplicabilidad de ISO 27001: ISO 42001 tiene su propio Anexo A de 38 controles.
- Evaluar riesgos para la organización y olvidar la evaluación de impacto en las personas afectadas por el sistema.
- Tener una política de IA sin objetivos medibles ni indicadores que la sigan.
- No registrar el rol de la organización frente a cada sistema (por ejemplo, proveedor o usuario).
- Documentos sin dueño ni fecha de revisión.
Cómo ordenar la documentación
Una estructura práctica separa: documentos de gobierno (alcance, política, roles), planificación (metodología de riesgos, registro de riesgos, evaluación de impacto, Declaración de Aplicabilidad, objetivos), operación (procedimientos del ciclo de vida, datos y proveedores) y evaluación y mejora (indicadores, auditoría, revisión por la dirección y acciones correctivas). Si la organización ya tiene ISO 27001, los documentos de gestión comunes pueden ampliarse en vez de duplicarse.
Preguntas frecuentes
¿Cuántos documentos obligatorios tiene ISO 42001?
No hay un número fijo: la norma pide información documentada en varias cláusulas (alcance, política, riesgos, impacto, Declaración de Aplicabilidad, objetivos y registros de operación, evaluación y mejora). Además, cada organización agrega lo que considere necesario.
¿La evaluación de impacto es obligatoria?
Sí. La cláusula 6.1.4 pide un proceso de evaluación de impacto de los sistemas de IA y la cláusula 8.4 pide conservar sus resultados.
¿Puedo reutilizar documentos de ISO 27001?
Sí, en las partes comunes del sistema de gestión (control documental, auditoría interna, revisión por la dirección, acciones correctivas). Los documentos específicos de IA deben elaborarse aparte.
¿En qué formato deben estar los documentos?
La norma no exige un formato. Pueden ser documentos de texto, planillas o registros en una herramienta, siempre que estén controlados, disponibles y protegidos.
Guías relacionadas
- Declaración de Aplicabilidad (SoA) ISO 27001: qué es y cómo hacerla
- Documentos obligatorios de ISO 27001:2022: lista por cláusula
- ¿Qué es ISO/IEC 42001? El sistema de gestión de inteligencia artificial
Actualizado: 2026-10-20