¿Qué es ISO/IEC 42001? El sistema de gestión de inteligencia artificial
ISO/IEC 42001:2023 es la norma internacional que define los requisitos de un sistema de gestión de inteligencia artificial (SGIA): políticas, roles, evaluación de riesgos e impactos, controles y mejora continua para desarrollar, ofrecer o usar sistemas de IA de forma responsable. Se publicó en diciembre de 2023, sigue la misma estructura que ISO 27001 (cláusulas 4 a 10) e incluye un Anexo A con 38 controles de referencia.
¿A quién le sirve ISO 42001?
Sirve a cualquier organización que desarrolle, ofrezca o use sistemas de IA, sin importar su tamaño o sector: desde una empresa que usa un chatbot de atención o una herramienta de preselección de currículos, hasta un proveedor que entrena sus propios modelos.
- Empresas que incorporan IA de terceros en sus procesos y necesitan controlar riesgos y responsabilidades.
- Proveedores de software que integran IA y reciben preguntas de clientes sobre gobernanza.
- Organizaciones que ya tienen ISO 27001 y quieren extender su sistema de gestión a la IA.
- Equipos que deben demostrar gestión responsable de la IA ante clientes, auditores o reguladores.
Estructura de la norma: cláusulas 4 a 10
| Cláusula | Tema | Qué se espera en la práctica |
|---|---|---|
| 4 | Contexto de la organización | Definir el alcance del SGIA, las partes interesadas y el rol de la organización frente a la IA (proveedor, usuario, etc.) |
| 5 | Liderazgo | Compromiso de la dirección, política de IA y asignación de roles y responsabilidades |
| 6 | Planificación | Evaluar y tratar riesgos de IA, evaluar impactos en personas, definir objetivos y elaborar la Declaración de Aplicabilidad |
| 7 | Soporte | Recursos, competencia, toma de conciencia, comunicación e información documentada |
| 8 | Operación | Ejecutar lo planificado: evaluaciones de riesgo e impacto y tratamiento durante el ciclo de vida de los sistemas |
| 9 | Evaluación del desempeño | Indicadores, auditoría interna y revisión por la dirección |
| 10 | Mejora | No conformidades, acciones correctivas y mejora continua |
Anexo A: 38 controles en 9 objetivos
El Anexo A agrupa los controles de referencia en nueve áreas. Igual que en ISO 27001, la organización decide cuáles necesita según sus riesgos y lo justifica en una Declaración de Aplicabilidad.
| Área | Enfoque |
|---|---|
| A.2 | Políticas relacionadas con la IA |
| A.3 | Organización interna: roles, responsabilidades y reporte de inquietudes |
| A.4 | Recursos para los sistemas de IA: datos, herramientas, cómputo y personas |
| A.5 | Evaluación de impactos de los sistemas de IA en personas y sociedad |
| A.6 | Ciclo de vida del sistema de IA: diseño, verificación, despliegue y operación |
| A.7 | Datos para sistemas de IA: calidad, procedencia y preparación |
| A.8 | Información para las partes interesadas: transparencia y documentación |
| A.9 | Uso responsable de los sistemas de IA |
| A.10 | Relaciones con terceros y clientes: proveedores y responsabilidades compartidas |
La norma incluye además el Anexo B (guía de implementación de los controles), el Anexo C (objetivos y fuentes de riesgo de la IA) y el Anexo D (uso del sistema de gestión en distintos sectores).
ISO 42001 frente a ISO 27001
| Aspecto | ISO/IEC 27001:2022 | ISO/IEC 42001:2023 |
|---|---|---|
| Objeto | Seguridad de la información | Desarrollo, oferta y uso responsable de la IA |
| Estructura | Cláusulas 4 a 10 | Cláusulas 4 a 10 (misma estructura) |
| Controles del Anexo A | 93 controles en 4 temas | 38 controles en 9 objetivos |
| Evaluación propia | Riesgos de seguridad | Riesgos de IA y evaluación de impacto del sistema de IA |
| Declaración de Aplicabilidad | Obligatoria | Obligatoria |
Como comparten estructura, una organización con ISO 27001 puede reutilizar su política documental, auditoría interna, revisión por la dirección y gestión de acciones correctivas, y agregar lo específico de la IA.
Relación con el Reglamento europeo de IA
El Reglamento (UE) 2024/1689 sobre inteligencia artificial entró en vigor el 1 de agosto de 2024, y desde el 2 de febrero de 2025 se aplican las prácticas prohibidas y la obligación de alfabetización en IA del personal (artículo 4). ISO 42001 no reemplaza al Reglamento ni equivale por sí sola a cumplirlo, pero ofrece una forma ordenada de inventariar sistemas, evaluar riesgos e impactos, definir responsabilidades y conservar evidencias, que es la base que ese cumplimiento necesita.
Pasos para implementar un SGIA
- Inventariar los sistemas de IA que se desarrollan, ofrecen o usan, y definir el alcance.
- Aprobar una política de IA y asignar roles (incluido quién decide sobre cada sistema).
- Definir criterios y evaluar riesgos de IA y el impacto de cada sistema en las personas.
- Elegir controles y documentar la Declaración de Aplicabilidad con los 38 controles del Anexo A.
- Capacitar al personal, operar los controles y medir con indicadores.
- Hacer auditoría interna y revisión por la dirección, y corregir lo detectado.
Preguntas frecuentes
¿ISO 42001 es certificable?
Sí. Es una norma de requisitos, por lo que una organización puede ser auditada por un organismo de certificación. El resultado depende de cómo se implemente y opere el sistema en cada organización.
¿Cuántos controles tiene ISO 42001?
El Anexo A tiene 38 controles agrupados en 9 objetivos (A.2 a A.10). La organización decide cuáles aplica según sus riesgos y lo justifica en la Declaración de Aplicabilidad.
¿Necesito ISO 27001 para implementar ISO 42001?
No. Son independientes, pero comparten estructura, y quien ya tiene un SGSI puede reutilizar gran parte de su sistema de gestión.
¿ISO 42001 sirve si solo usamos IA de terceros?
Sí. La norma contempla distintos roles frente a la IA, incluido el de usuario de sistemas de otros proveedores, y la relación con terceros tiene su propia área de controles (A.10).
Guías relacionadas
- Declaración de Aplicabilidad (SoA) ISO 27001: qué es y cómo hacerla
- Documentos obligatorios de ISO 42001 (sistema de gestión de IA)
- ¿Qué es un SGSI y cómo se implementa con ISO 27001?
Actualizado: 2026-10-20