ISO 42001 y el Reglamento de IA de la UE: qué cubre la norma y qué no
ISO/IEC 42001:2023 es una norma voluntaria para gestionar la inteligencia artificial en una organización; el Reglamento (UE) 2024/1689 (Reglamento de IA) es una ley obligatoria en la UE con deberes según el rol y el nivel de riesgo de cada sistema. No son equivalentes: certificarse en ISO 42001 no demuestra por sí solo la conformidad con el Reglamento. Pero se complementan mucho: el sistema de gestión de ISO 42001 (inventario, riesgos, evaluación de impacto, ciclo de vida, supervisión humana, incidentes) es una forma ordenada de organizar y guardar la evidencia de las obligaciones del Reglamento que le apliquen.
Diferencias de fondo entre ISO 42001 y el Reglamento de IA
| Aspecto | ISO/IEC 42001:2023 | Reglamento (UE) 2024/1689 |
|---|---|---|
| Naturaleza | Norma internacional voluntaria | Ley de la Unión Europea, obligatoria |
| Objeto | El sistema de gestión de IA de la organización (cláusulas 4 a 10 y Anexo A) | Cada sistema o modelo de IA según su riesgo: prohibido, alto riesgo, transparencia, uso general |
| A quién aplica | A quien decida adoptarla, en cualquier país | Proveedores, implementadores, importadores y distribuidores que actúan en el mercado de la UE, aunque estén fuera de ella |
| Cómo se demuestra | Auditoría de un organismo certificador acreditado | Documentación técnica, evaluación de la conformidad, marcado CE y registro (para alto riesgo), supervisión de autoridades |
| Consecuencia de no cumplir | No obtener o perder el certificado | Multas y medidas de las autoridades de vigilancia del mercado |
Por eso la pregunta útil no es «¿ISO 42001 o el Reglamento?», sino «¿qué parte de lo que el Reglamento me pide puedo apoyar con el sistema de gestión?». La respuesta depende de su rol (proveedor que desarrolla o implementador que usa) y de si alguno de sus sistemas es de alto riesgo.
Fechas del Reglamento de IA vigentes (octubre de 2026)
El Reglamento (UE) 2026/1744 (paquete «Ómnibus digital» sobre IA), en vigor desde el 27 de julio de 2026, aplazó las obligaciones de alto riesgo. Según la página oficial de la Comisión Europea sobre el Reglamento de IA (actualizada el 19 de octubre de 2026), el calendario queda así:
| Desde | Qué se aplica |
|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas (art. 5) y alfabetización en IA (art. 4, con la nueva redacción de 2026: adoptar medidas que la promuevan) |
| 2 de agosto de 2025 | Gobernanza y obligaciones de los modelos de IA de uso general |
| Agosto de 2026 | Resto del Reglamento, incluida la transparencia de ciertos sistemas (art. 50), salvo alto riesgo |
| 2 de diciembre de 2027 | Sistemas de alto riesgo del Anexo III (por ejemplo, empleo, educación, migración) |
| 2 de agosto de 2028 | Sistemas de alto riesgo integrados en productos regulados del Anexo I |
El aplazamiento da tiempo, no elimina obligaciones. Un SGIA lleva varios meses de implementación, así que una organización con sistemas del Anexo III que empiece hoy llega con margen a diciembre de 2027. Verifique siempre el texto vigente en EUR-Lex y las directrices de la Comisión: esta guía no es asesoría legal.
Kit ISO 42001: documentación para su sistema de gestión de IA
30 documentos Word · 31 herramientas Excel · 38 controles del Anexo A
Ver el kit de documentación ISO 42001Tabla de correspondencia: 17 obligaciones del Reglamento y su apoyo en ISO 42001
Esta es la correspondencia simplificada del kit NexoDocs (AIMS-REF-02). Las obligaciones están resumidas con redacción propia y la norma se cita por número de cláusula y de control. Es una orientación: la aplicabilidad real depende de su rol y de la clasificación de cada sistema.
| Artículo del Reglamento | Quién | ISO/IEC 42001 relacionada |
|---|---|---|
| Art. 4 · Alfabetización en IA | Proveedores e implementadores | 7.2, 7.3 |
| Art. 5 · Prácticas prohibidas | Todos | 4.1, 6.1, A.9.4 |
| Art. 6 y Anexo III · Clasificación de alto riesgo | Proveedores (e implementadores) | 4.1, 6.1.4 |
| Art. 9 · Sistema de gestión de riesgos | Proveedores | 6.1, 8.2, 8.3 |
| Art. 10 · Datos y gobernanza de datos | Proveedores | A.7.2 a A.7.6 |
| Art. 11 · Documentación técnica | Proveedores | A.6.2.7 |
| Art. 12 · Conservación de registros (logs) | Proveedores | A.6.2.8 |
| Art. 13 · Transparencia e instrucciones de uso | Proveedores | A.8.2 |
| Art. 14 · Supervisión humana | Proveedores | A.9, A.6.2.6 |
| Art. 15 · Precisión, solidez y ciberseguridad | Proveedores | A.6.2.4, A.6.2.6 |
| Art. 17 · Sistema de gestión de la calidad | Proveedores | Cláusulas 4 a 10 |
| Art. 26 · Obligaciones de los implementadores | Implementadores | A.9, A.6.2.6, A.8 |
| Art. 27 · Evaluación de impacto en derechos fundamentales | Ciertos implementadores | 6.1.4, A.5 |
| Art. 50 · Transparencia de ciertos sistemas | Proveedores e implementadores | A.8.2, A.8.5 |
| Art. 53 · Modelos de IA de uso general | Proveedores de esos modelos | A.6, A.8 |
| Art. 72 · Vigilancia poscomercialización | Proveedores | 9.1, A.6.2.6 |
| Art. 73 · Notificación de incidentes graves | Proveedores (e implementadores) | A.8.4 |
En el Excel del kit cada fila trae además la obligación resumida, los documentos del kit que sirven de respaldo (por ejemplo, inventario AIMS-INV-01, evaluación de impacto AIMS-AIA-02, política de supervisión humana AIMS-POL-09, registro de incidentes AIMS-INC-01) y una columna «¿Nos aplica?» con notas.
Dónde ISO 42001 ayuda más
- Inventario y clasificación: la cláusula 4.1 y el inventario de sistemas de IA obligan a saber qué sistemas tiene, quién los provee y para qué se usan; es el primer paso para saber si alguno es de alto riesgo.
- Gestión de riesgos continua: las cláusulas 6.1, 8.2 y 8.3 dan el ciclo de evaluar, tratar y revisar riesgos que el artículo 9 pide para los sistemas de alto riesgo.
- Evaluación de impacto: 6.1.4 y los controles A.5 cubren a las personas y grupos afectados, base útil para la evaluación de impacto en derechos fundamentales del artículo 27.
- Supervisión humana, registros e incidentes: los controles A.9, A.6.2.8 y A.8.4 dejan evidencia del uso responsable, los logs y la comunicación de incidentes.
- Alfabetización: las cláusulas 7.2 y 7.3 (competencia y toma de conciencia) se conectan directo con el artículo 4.
Lo que ISO 42001 no cubre del Reglamento
- La evaluación de la conformidad, el marcado CE, la declaración UE de conformidad y el registro en la base de datos de la UE de los sistemas de alto riesgo.
- Los requisitos técnicos detallados de las normas armonizadas que se publiquen para el Reglamento; ISO 42001 es un sistema de gestión, no una especificación técnica de producto.
- Los plazos y canales concretos para notificar incidentes graves a las autoridades.
- La decisión legal de si una práctica está prohibida o si un sistema es de alto riesgo: eso requiere revisar el texto oficial y, si hay dudas, asesoría jurídica.
- Las obligaciones de otras leyes que se cruzan con la IA, como el RGPD cuando el sistema trata datos personales.
Cómo usar el SGIA para preparar el Reglamento, paso a paso
- Haga el inventario de sistemas de IA y anote su rol en cada uno (proveedor, implementador, importador o distribuidor).
- Clasifique cada sistema: prohibido, alto riesgo (Anexo I o III), transparencia del artículo 50 o riesgo mínimo. Registre la justificación.
- Recorra la tabla de correspondencia y marque qué filas le aplican. Para un implementador sin sistemas de alto riesgo, normalmente quedan pocas: artículos 4, 5, 26 si corresponde y 50.
- Para cada fila aplicable, defina qué documento o registro del SGIA será la evidencia y quién lo mantiene.
- Incluya las obligaciones del Reglamento en el registro de requisitos legales y en la auditoría interna (9.2), para que se revisen cada año.
- Revise el calendario y las directrices de la Comisión al menos cada trimestre: el Reglamento ya cambió una vez en 2026.
Plantilla: la correspondencia del kit ISO 42001
El kit ISO 42001 de NexoDocs incluye la correspondencia con el Reglamento de IA (AIMS-REF-02) en Excel, con las 17 obligaciones ya cargadas, la cláusula o control de ISO 42001 y los documentos del kit que sirven de respaldo, más el registro de requisitos legales (AIMS-CTX-04) y el inventario de sistemas de IA (AIMS-INV-01). Ambos están actualizados con la redacción del artículo 4 del Reglamento (UE) 2026/1744. Si quiere empezar por la parte más cercana al artículo 27, puede descargar gratis la plantilla de evaluación de impacto de sistemas de IA.
Siguiente paso
Pruebe gratis o vaya directo a la solución completa.
Kit ISO 42001: documentación para su sistema de gestión de IA
30 documentos Word · 31 herramientas Excel · 38 controles del Anexo A
Ver el kit de documentación ISO 42001
Muestra gratis
Descargue gratis una versión reducida de la matriz de riesgos del kit (Excel, 10 escenarios, mapa de calor). Vea cómo calcula el nivel y la categoría antes de decidir.
Descargar la muestra gratisPreguntas frecuentes
¿La certificación ISO 42001 equivale a cumplir el Reglamento de IA?
No. Son cosas distintas: la certificación evalúa el sistema de gestión y el Reglamento impone obligaciones legales por sistema y por rol. El SGIA ayuda a organizar la evidencia, pero no reemplaza la evaluación de la conformidad ni las demás obligaciones del Reglamento.
¿ISO 42001 será norma armonizada del Reglamento de IA?
A octubre de 2026, ISO/IEC 42001 no figura como norma armonizada que otorgue presunción de conformidad. Los organismos europeos de normalización preparan normas propias para el Reglamento; revise el estado en la página de la Comisión.
¿Cuándo se aplican las obligaciones de alto riesgo?
Según la Comisión Europea, tras el Reglamento (UE) 2026/1744: desde el 2 de diciembre de 2027 para los sistemas del Anexo III y desde el 2 de agosto de 2028 para los integrados en productos regulados del Anexo I.
Si mi empresa solo usa herramientas de IA de terceros, ¿me sirve ISO 42001?
Sí, en la medida en que necesite ordenar el uso: inventario, política de uso, alfabetización del personal (art. 4), transparencia (art. 50) y, si alguna herramienta es de alto riesgo, las obligaciones de implementador del artículo 26.
¿Una empresa fuera de la UE debe cumplir el Reglamento de IA?
Puede que sí: aplica a proveedores que introducen sistemas en el mercado de la UE y a quienes usan resultados de sistemas de IA en la UE, aunque estén establecidos fuera. Confírmelo con asesoría legal según su caso.
Guías relacionadas
¿Qué es ISO/IEC 42001? El sistema de gestión de inteligencia artificial
Qué es ISO/IEC 42001:2023, a quién le sirve, sus cláusulas 4 a 10, los 38 controles del Anexo A y cómo se relaciona con ISO 27001 y el Reglamento europeo de IA.
Leer la guía →Alfabetización en IA: qué exige el artículo 4 del Reglamento de IA y cómo cumplirlo
Qué exige el artículo 4 del Reglamento de IA de la UE sobre alfabetización en IA del personal, a quién aplica, qué contenidos cubrir y qué evidencia conservar.
Leer la guía →Plantilla de evaluación de impacto de sistemas de IA (ISO 42001): Excel gratis con cálculo automático
Plantilla gratis de evaluación de impacto de sistemas de IA (ISO 42001) en Excel: preevaluación, impactos con cálculo automático, impacto residual y aprobación.
Leer la guía →Actualizado: 2026-10-29