Para leer y citar con claridad.

Cláusula de ISO/IEC 17021-1 vinculada a imparcialidad y conflictos de interés en organismos de certificación de sistemas de gestión. La separación entre consultoría, implementación y auditoría de certificación debe gestionarse estrictamente, incluyendo restricciones temporales cuando correspondan.

También: Cláusula 5.2 · §5.2 · Separación auditor implementador

Acción destinada a eliminar la causa de una no conformidad y evitar que se repita. Corregir el efecto inmediato no alcanza cuando la causa permanece dentro del sistema.

Sistema documentado de procesos, recursos y responsabilidades para que una organización gestione la inteligencia artificial que desarrolla, provee o usa. Su estructura está definida por ISO/IEC 42001:2023.

También: Sistema de gestión de IA · AIMS

Límite claro de una pieza: qué cubre y qué deja fuera. Sin ese límite, el lector no sabe hasta dónde puede usar el texto.

Listado normativo de controles que acompaña a ISO/IEC 27001. La versión 2022 contiene 93 controles agrupados en cuatro categorías. La organización debe justificar la inclusión o exclusión de cada control en su declaración de aplicabilidad (SoA).

Profesional competente para auditar un sistema de gestión de IA dentro de un alcance definido. La experiencia en otros sistemas de gestión aporta método, pero no demuestra por sí sola competencia sobre IA, datos o impactos algorítmicos.

Proceso independiente y documentado para obtener evidencia y compararla con criterios definidos. En serio: método, criterio e independencia.

Auditoría que sigue el ritmo del sistema, no solo el calendario. No significa auditar más por costumbre: significa mirar cuando el sistema cambia.

Causa que explica por qué el sistema permitió una no conformidad, más allá de su manifestación inmediata. Puede haber varias causas concurrentes; el análisis debe sostenerlas con evidencia.

También: Root cause · RCA

Confianza que no depende solo de la reputación. Se apoya en pruebas, límites claros y alguien que responde por lo que afirma.

Período de restricción entre un servicio de consultoría o implementación y una auditoría de certificación sobre el mismo sistema. Protege la imparcialidad del proceso cuando existe riesgo de revisar trabajo propio o interés previo.

También: Período de enfriamiento

Inversión productiva privada que deja de ocurrir en jurisdicciones percibidas como corruptas. La magnitud varía según el país y el método; las estimaciones con fuente están reunidas en el informe sobre corrupción y costo económico.

Texto breve firmado por Fernando Arrieta. Sirve para ordenar una discusión difícil sobre auditoría, evidencia, gobernanza o instituciones.

Evaluación previa del impacto que una operación de tratamiento puede producir sobre la protección de datos personales. El artículo 35 del RGPD la exige cuando el tratamiento probablemente implique un alto riesgo para los derechos y libertades de las personas.

También: Data Protection Impact Assessment · Evaluación de impacto en privacidad

Principio útil para auditar: el documento representa la operación, pero no la agota. Auditar es mirar la distancia entre lo escrito y lo que ocurre.

También: Distinción mapa-territorio

Criterio explícito y documentado con el que se mide el desempeño de una organización. Si cambia o aparece después de observar los resultados, la comparación deja de ser reproducible.

Reglamento europeo que establece prohibiciones, obligaciones para determinados sistemas de alto riesgo y deberes de transparencia. Su aplicación es escalonada; el alcance concreto depende del sistema, el uso y el papel que ocupa cada organización.

También: Reglamento europeo de IA · Reglamento UE 2024/1689

Información cuya veracidad puede demostrarse mediante observación, medición, registros u otros medios. El auditor evalúa su pertinencia, suficiencia y relación con el criterio aplicable.

Prueba que nace de la operación real, no de papeles preparados para una auditoría. Una entrega fechada puede ser evidencia; un procedimiento sin uso, no.

Acto de poner el nombre propio detrás de una afirmación técnica. Quien firma no solo aparece: responde por lo que dijo.

Idea corta y citable que resume el centro de una pieza sin volverla fría.

Organización internacional de acreditación que desde el 1 de enero de 2026 integra las funciones previamente desarrolladas por IAF e ILAC. Su nombre oficial es Global Accreditation Cooperation Incorporated y su acrónimo oficial es Global ACI; la denominación de trabajo GLOBAC, usada durante la transición, fue reemplazada por la marca oficial en abril de 2026. Su MRA (Multilateral Recognition Arrangement) busca mantener el reconocimiento internacional de resultados acreditados de evaluación de conformidad.

También: Global Accreditation Cooperation Incorporated · Global ACI · Global ACI MRA · Multilateral Recognition Arrangement · GLOBAC

Conjunto de prácticas, controles, responsabilidades y mecanismos de verificación con que una organización gobierna los sistemas algorítmicos que desarrolla, provee o usa. Su diseño debe seguir el ritmo real de cambio del sistema.

Resultado de comparar evidencia contra un criterio. Un hallazgo dice qué requisito aplica, qué se encontró y cuál es la brecha. No necesita adjetivos.

Diseño en el que una persona interviene dentro del flujo de decisión de un sistema de IA. La supervisión es efectiva cuando existe autoridad real para actuar, información suficiente y trazabilidad de la intervención.

También: HITL · Humano en el bucle · Supervisión humana

Acuerdo multilateral histórico del International Accreditation Forum. Desde el 1 de enero de 2026 debe leerse como referencia transicional integrada en la arquitectura Global ACI / MRA, que unifica las funciones antes desarrolladas por IAF e ILAC.

También: International Accreditation Forum Multilateral Recognition Arrangement

Es transparencia más gestión activa del conflicto de interés. Un auditor declara sus vínculos y los gestiona explícitamente. ISO/IEC 17021-1 ordena esa exigencia para organismos que auditan y certifican sistemas de gestión.

Capacidad de una organización pública o privada para sostener consistencia entre lo declarado, lo decidido y lo operado. Se observa en la evidencia disponible, la trazabilidad y la rendición de cuentas.

Norma internacional de directrices para auditar sistemas de gestión. La edición vigente es ISO 19011:2026 (4.ª edición, publicada en mayo de 2026). Mantiene y refuerza el enfoque basado en riesgos que ya figuraba entre los principios de la edición 2018, y actualiza la guía para contextos como auditorías remotas y ubicaciones virtuales. Es una guía; no impone por sí sola obligaciones de certificación.

Norma internacional para sistemas de gestión antisoborno. La edición vigente ISO 37001:2025 aplica a organizaciones públicas, privadas y sin fines de lucro. Su efectividad depende de la calidad de la implementación, no de la existencia del certificado.

También: ISO 37001:2025 · ISO 37001:2016 · Antisoborno

Norma internacional para sistemas de gestión de calidad. Define los requisitos para que una organización pueda demostrar su capacidad de proporcionar productos y servicios que satisfagan los requisitos del cliente y los aplicables.

También: ISO 9001:2015 · Gestión de calidad

Norma que contiene principios y requisitos para la competencia, consistencia e imparcialidad de organismos que auditan y certifican sistemas de gestión. Es la base para evaluar cómo un organismo gestiona independencia, conflictos de interés y rigor de certificación.

Norma internacional de requisitos para sistemas de gestión de seguridad de la información (SGSI). La edición 2022 contiene 93 controles de referencia en su Anexo A, agrupados en temas organizacionales, de personas, físicos y tecnológicos.

También: ISO 27001 · ISO/IEC 27001:2022 · SGSI

Norma de sistema de gestión de información de privacidad (PIMS). En su edición ISO/IEC 27701:2025 es autónoma y certificable por sí sola: ya no se describe como una extensión de ISO/IEC 27001, aunque se integra bien con un SGSI existente. Los certificados emitidos bajo la edición 2019 transicionan hacia la 2025.

También: ISO 27701 · Privacy Information Management

Primera norma internacional para sistemas de gestión de inteligencia artificial (AI Management System, AIMS), publicada en diciembre de 2023. Permite certificar un sistema de gestión de IA dentro de un alcance definido; no certifica la madurez general de la IA ni la responsabilidad de cada modelo individual.

También: ISO 42001 · AIMS · AI Management System

Revisión firmada de un tema técnico. Dice qué se miró, con qué fuentes y qué queda fuera. No es sentencia: ayuda a decidir mejor.

Parte donde una pieza dice qué no cubre. No es un trámite legal: es una forma de no afirmar más de lo que se puede sostener.

Principio central del sitio: una afirmación seria necesita actor, fecha, criterio, alcance y vigencia. Cuando esos elementos faltan, la declaración pierde trazabilidad.

Marco de lectura sobre madurez documental, declarativa, parcial, operativa y sistémica. Mide la distancia entre lo certificado y lo realmente operativo.

Capacidad de un sistema de IA de cambiar su comportamiento o su evidencia relevante después de una evaluación. Puede surgir por actualizaciones del modelo, ajustes de configuración, nuevos datos o deriva en la población usuaria.

También: Mutabilidad algorítmica · Model mutability

Marco voluntario del National Institute of Standards and Technology de Estados Unidos para gestionar riesgos de IA. Organiza el trabajo en cuatro funciones: gobernar, mapear, medir y gestionar.

También: NIST AI Risk Management Framework

Clasificación operativa para una no conformidad que compromete la capacidad del sistema de alcanzar sus resultados previstos. El criterio exacto y su efecto sobre una certificación dependen de la norma, el esquema y las reglas aplicables.

También: NC mayor

Clasificación operativa para una no conformidad acotada que no compromete por sí sola la capacidad global del sistema. También exige tratamiento; sus plazos y efectos dependen del esquema aplicable.

También: NC menor

Práctica de explicar decisiones, responsables, criterios y resultados mediante evidencia documentada. Permite revisar qué se decidió y con qué fundamento.

Persona concreta, con nombre y rol, que puede explicar una afirmación, una decisión o un sistema. Lo contrario de esconder todo detrás de "la organización".

Posibilidad de que un modelo produzca resultados inadecuados y genere consecuencias relevantes. Su evaluación considera datos, desempeño, contexto de uso, cambios en producción y capacidad humana de intervención.

Registro de las actividades de tratamiento de datos personales bajo responsabilidad de un responsable o encargado. El artículo 30 del RGPD define su contenido y contempla excepciones que deben evaluarse en cada caso.

También: Record of Processing Activities · Registro de actividades de tratamiento

Sistema de gestión hecho para sostener un certificado, no para ayudar a trabajar mejor. Puede verse ordenado y fallar cuando la operación lo pone a prueba.

También: Certificado-teatro

Sistema cuya salida queda determinada por la entrada y las reglas configuradas: bajo las mismas condiciones, produce el mismo resultado. Muchos sistemas generativos son estocásticos y requieren otro enfoque de evaluación.

Sistema armado con plantillas o documentos copiados de otra organización. Puede pasar una auditoría inicial, pero falla cuando aparece un problema real.

También: Plantilla genérica de implementación

Diferencia injustificada entre el precio pagado en una contratación pública y una referencia comparable de mercado. Para sostenerla deben compararse especificaciones, cantidades, condiciones, fecha y costos asociados.

Brecha entre el nivel de servicio público comprometido y el efectivamente entregado. Puede tener causas presupuestarias, operativas o de integridad; atribuirla exige evidencia específica, no solo percepción.

Registros que el sistema genera mientras funciona y que un auditor puede revisar sin esperar la visita anual.

Sistema de gestión armado desde la forma real de trabajar de una organización. La documentación ordena lo que ya ocurre o lo que debe ocurrir ahí, no en una empresa imaginaria.

También: Sistema de gestión a medida · Implementación contextual

Publicación estructurada y trazable de datos de ejecución presupuestaria. Su calidad depende de la actualidad, granularidad, integridad y posibilidad de relacionar cada dato con una decisión o transacción.

Práctica profesional que contrasta una afirmación mediante fuentes independientes, como registros, observación y entrevistas. La cantidad y combinación necesarias dependen del riesgo y del objeto auditado.

También: Triangulación de evidencia · Verificación cruzada

Verificación que se activa cuando cambia algo importante: modelo, datos, proveedor o regla de uso. Cambia la lógica de calendario por lógica de evento.

También: Verificación basada en evento

Comprobación documentada de que una acción correctiva produjo el resultado esperado y redujo la posibilidad de recurrencia. Cerrar una tarea no demuestra, por sí solo, que el sistema cambió.

Persona que sigue siendo responsable aunque use una máquina como ayuda. El modelo asiste; el humano revisa, decide y firma.