ISO/IEC 42001: cómo gobernar la IA en tu empresa con un sistema de gestión

¿Qué es ISO/IEC 42001?

ISO/IEC 42001 es la primera norma internacional de sistemas de gestión de IA: define cómo una organización gobierna sus sistemas de IA mediante políticas, objetivos, procesos y controles, dentro del ciclo PDCA.

ISO/IEC 42001:2023 (Information technology — Artificial intelligence — Management system) especifica los requisitos para establecer, implementar, mantener y mejorar continuamente un Sistema de Gestión de Inteligencia Artificial (AIMS, por sus siglas en inglés). La publicaron ISO e IEC en diciembre de 2023, a través del comité conjunto ISO/IEC JTC 1/SC 42, y la propia ISO la presenta como la primera norma de sistemas de gestión de IA del mundo (ficha oficial de ISO/IEC 42001 en ISO).

Su alcance es organizacional. Según ISO, ofrece una manera práctica de gestionar los riesgos y oportunidades de la IA en toda la organización, sin entrar en el detalle técnico de cada aplicación, con la metodología Planificar-Hacer-Verificar-Actuar (PDCA).

Su lugar en la familia de normas de IA

• ISO/IEC 22989:2022 establece la terminología y los conceptos de IA: es el diccionario común (ISO/IEC 22989 en ISO).
• ISO/IEC 23894:2023 orienta la gestión de riesgos específicos de IA (ISO/IEC 23894 en ISO).
• ISO/IEC 42006:2025 fija los requisitos para los organismos que auditan y certifican sistemas de gestión según ISO/IEC 42001 (ISO/IEC 42006 en ISO).
• El NIST AI Risk Management Framework, publicado el 26 de enero de 2023, es un marco voluntario de Estados Unidos que complementa muy bien este enfoque (AI RMF en NIST).

¿Por qué importa ahora?

ISO/IEC 42001 importa ahora porque la regulación de IA ya tiene fechas de aplicación, los riesgos de la IA son concretos y los clientes exigen evidencia de un uso responsable.

Regulación con fechas concretas

El Reglamento Europeo de IA (Reglamento (UE) 2024/1689) es el primer marco legal integral sobre IA del mundo y sigue un enfoque basado en riesgos. Entró en vigor el 1 de agosto de 2024; las prácticas prohibidas y las obligaciones de alfabetización en IA aplican desde el 2 de febrero de 2025, las reglas para modelos de propósito general desde el 2 de agosto de 2025 y la mayor parte del reglamento desde el 2 de agosto de 2026. Para los sistemas de alto riesgo, la Comisión Europea indica el 2 de diciembre de 2027 (casos del Anexo III) y el 2 de agosto de 2028 (productos regulados del Anexo I) (Comisión Europea: AI Act).

Para una empresa latinoamericana esto tiene impacto directo: si vendes o prestas servicios a clientes europeos, o eres proveedor de quien lo hace, estas exigencias llegan vía contratos y procesos de debida diligencia.

Riesgos concretos

La IA trae riesgos que los marcos tradicionales cubrían solo en parte: sesgos, falta de explicabilidad, fuga de datos y dependencia de terceros. Como señala la Comisión Europea, a menudo no es posible saber por qué un sistema tomó una decisión, lo que dificulta evaluar si alguien fue perjudicado, por ejemplo, en una contratación.

Confianza verificable

Clientes, juntas directivas y reguladores piden evidencia del uso responsable de la IA. Un sistema de gestión, y eventualmente una certificación, convierte esa evidencia en algo verificable.

Los componentes clave de un sistema de gestión de IA

Un sistema de gestión de IA según ISO/IEC 42001 combina siete cláusulas obligatorias (de la 4 a la 10) con un conjunto de controles de referencia del Anexo A que se seleccionan según el riesgo.

1. Contexto (cláusula 4): cuestiones internas y externas, partes interesadas y alcance del AIMS.
2. Liderazgo (5): compromiso de la alta dirección, política de IA, roles y responsabilidades.
3. Planificación (6): evaluación y tratamiento de riesgos de IA, evaluación de impacto y objetivos.
4. Soporte (7): recursos, competencia, toma de conciencia, comunicación e información documentada.
5. Operación (8): puesta en práctica de los procesos, las evaluaciones de riesgo e impacto y los controles.
6. Evaluación del desempeño (9): seguimiento, medición, auditoría interna y revisión por la dirección.
7. Mejora (10): no conformidades, acciones correctivas y mejora continua.

El Anexo A: 38 controles en 9 objetivos

El Anexo A (normativo) reúne 38 controles de referencia en 9 objetivos: políticas de IA, organización interna, recursos, evaluación de impactos, ciclo de vida del sistema, datos, información para partes interesadas, uso de los sistemas y relaciones con terceros y clientes (desglose de cláusulas y controles). El Anexo B aporta la guía de implementación. Cada organización selecciona los controles aplicables según su análisis y los documenta en una Declaración de Aplicabilidad, con la justificación de cada exclusión.

La relación con ISO/IEC 27001

Si ya tienes un SGSI bajo ISO/IEC 27001, llevas mucho camino recorrido: ambas normas comparten estructura, lógica de riesgos, Declaración de Aplicabilidad, auditoría interna y revisión por la dirección. Mi recomendación: integra ambas en un único sistema de gestión con alcance ampliado y procesos compartidos.

Hoja de ruta: cómo gobernar la IA paso a paso

Para gobernar la IA con ISO/IEC 42001, una empresa debe inventariar sus usos de IA, definir alcance y política, asignar roles, evaluar riesgos e impactos, implementar controles, formar a las personas, monitorear, auditar y, cuando esté lista, certificarse.

Esta es la secuencia práctica e incremental que propongo a los equipos con los que trabajo.

1. 1Inventario de casos de uso de IA. Identifica qué IA desarrollas, compras y usan tus colaboradores, incluida la «IA en la sombra».
2. 2Define contexto y alcance. Precisa si eres desarrollador, proveedor o usuario de IA, y qué procesos, áreas y sistemas entran en el AIMS.
3. 3Aprueba una política de IA. Firmada por la alta dirección y alineada con tu estrategia, tus valores y tus otras políticas (seguridad, privacidad, ética).
4. 4Asigna roles y responsabilidades. Un comité o responsable de IA, dueños por caso de uso y un canal para reportar inquietudes.
5. 5Evalúa riesgos e impactos. Analiza los riesgos para la organización y el impacto en personas y sociedad. ISO/IEC 23894 y el NIST AI RMF son excelentes guías de apoyo.
6. 6Selecciona e implementa controles. Usa el Anexo A como referencia: gestión de datos, ciclo de vida, supervisión humana, transparencia y proveedores. Documenta tu Declaración de Aplicabilidad.
7. 7Forma a las personas. La norma exige competencia y toma de conciencia, y la regulación europea ya pide alfabetización en IA.
8. 8Monitorea y mide. Define indicadores de desempeño y de riesgo, registros de eventos y revisión de incidentes.
9. 9Haz auditoría interna y revisión por la dirección. Verifica que el sistema funciona y decide las mejoras.
10. 10Certifica cuando estés listo. Una auditoría de tercera parte aporta evidencia independiente a clientes y reguladores.

Errores comunes que veo en las organizaciones

Los errores más frecuentes al implementar ISO/IEC 42001 son tratarla como un proyecto exclusivo de TI, empezar por los documentos, ignorar la IA de terceros y descuidar la medición y la formación.

• Tratarlo como un proyecto de TI. La gobernanza de IA involucra negocio, legal, riesgos y personas.
• Empezar por los documentos y dejar el inventario para después. Una política impecable sobre sistemas que nadie ha identificado aporta poco valor.
• Ignorar la IA de terceros. Buena parte de tu exposición está en el software que compras.
• Implementar los 38 controles sin criterio. El enfoque es basado en riesgos: selecciona y justifica cada control.
• Olvidar el ciclo PDCA. Un AIMS que nadie mide ni audita se convierte en papel en pocos meses.
• Subestimar la formación. La herramienta mejor gobernada falla si las personas desconocen sus límites.

¿Cómo pueden prepararse los profesionales?

Los profesionales se preparan para ISO/IEC 42001 estudiando la norma y su familia, formándose en implementación y auditoría de sistemas de gestión de IA y validando sus conocimientos con una certificación profesional.

Las organizaciones necesitarán personas que entiendan a la vez IA, riesgos, cumplimiento y sistemas de gestión. Si lideras TI, cumplimiento, seguridad o calidad, es un momento estratégico para:

• Leer y comprender la norma y su familia (22989, 23894, 42006), así como el NIST AI RMF.
• Formarte en implementación y auditoría de sistemas de gestión de IA, idealmente con un enfoque práctico.
• Conectar lo que ya sabes: si dominas ISO/IEC 27001, gestión de servicios o privacidad, tienes una base enorme.
• Validar tus conocimientos con una certificación profesional reconocida.

Lo he visto durante años en la industria: la certificación de personas y de organizaciones construye confianza. La primera demuestra que el talento sabe lo que hace; la segunda, que la empresa lo hace de forma sistemática.

Te lo cuento con total transparencia, porque soy CEO de CertiProf: si lideras o quieres liderar la gobernanza de IA en tu organización, te recomiendo revisar esta certificación.

Recomendación

AI Governance Professional Certification (AIGPC™)

Certificación de CertiProf pensada para profesionales de cumplimiento, riesgos y liderazgo que necesitan liderar la gobernanza de la IA en su organización. El examen, 100% en línea, evalúa gobernanza de IA, supervisión ejecutiva, rendición de cuentas y alineación estratégica; al aprobarlo recibes una certificación digital con insignia verificable.

Ver la certificación en CertiProf

Preguntas frecuentes

Estas son las dudas que más escucho sobre ISO/IEC 42001 en conversaciones con líderes de la región.

Conclusión

Gobernar la IA con ISO/IEC 42001 le da a la empresa un lenguaje común, un método probado y una forma verificable de generar confianza.

Mi invitación es sencilla: empieza por el inventario, involucra a la dirección y avanza con disciplina. Una IA gobernada con método genera valor sostenible y confianza duradera.