Las organizaciones latinoamericanas adoptan sistemas de inteligencia artificial a una velocidad operativa que ya excede la capacidad humana de gobernanza. La norma ISO/IEC 42001:2023, publicada en diciembre de 2023, establece el primer marco internacional para sistemas de gestión de IA. Este informe ordena el estado del campo y describe la brecha temporal donde el oficio auditor se vuelve crítico.

Datos del campo

Tres procesos simultáneos quebraron el modelo clásico de gobernanza tecnológica.

Primero · los modelos en producción consumen actualizaciones constantes. Modelos base nuevos, ajustes finos, datasets actualizados. Un sistema certificado en enero puede ser operativamente irreconocible en abril.

Segundo · los proveedores tecnológicos despliegan cambios automáticos. El sistema que está hoy en producción no es el sistema que fue auditado. Es el sistema más la deriva acumulada desde la última revisión.

Tercero · la cadena de suministro tecnológica introduce vectores de cambio invisibles. El proveedor del proveedor del proveedor cambia algo, y la organización auditada hereda ese cambio sin saberlo.

El certificado anual seguía teniendo sentido cuando la realidad esperaba al auditor. Hoy la realidad no espera. Se mueve.

El marco normativo internacional

ISO/IEC 42001:2023 se construye sobre la misma estructura de alto nivel (HLS) que ISO 9001, ISO 27001 e ISO 14001. Esto permite integración natural con sistemas de gestión ya existentes. La norma define requisitos para establecer, implementar, mantener y mejorar continuamente un sistema de gestión de inteligencia artificial (AIMS) en organizaciones que desarrollan, proveen o usan IA.

Tres marcos coexisten en la práctica:

El error frecuente consiste en tratar los tres como sustitutos. No lo son. ISO 42001 ordena el sistema de gestión. EU AI Act regula el producto puesto en mercado. NIST RMF aporta vocabulario técnico de riesgo. Una organización que opere en múltiples jurisdicciones necesita los tres.

Lo que cambia para el auditor

El oficio auditor necesita instalar tres componentes que el modelo clásico no tenía. Telemetría auditable · capacidad de observar el sistema en operación, no solo su documentación. Revisiones independientes de frecuencia variable · disparadas por eventos relevantes del sistema, no por calendario. Verificación basada en cambio · evaluar las versiones del modelo, no la fotografía anual.

Lo que no cambia es la pregunta operativa del oficio. Cómo se demuestra lo que se declara. Qué evidencia sostiene cada afirmación técnica. Quién firma cada decisión crítica.

Estado de adopción en Latinoamérica

Las primeras certificaciones bajo ISO/IEC 42001 en la región empiezan a aparecer en 2024–2025, con concentración en sectores financiero, salud y tecnología. La curva de adopción muestra un patrón regional conocido: Argentina, Brasil, Colombia y México concentran la incorporación temprana; el resto de la región avanza con rezago de doce a dieciocho meses.

Persisten dos errores frecuentes en las organizaciones que comienzan el proceso. Primero · confundir certificación con cumplimiento técnico del modelo. ISO 42001 certifica el sistema de gestión que vigila el modelo, no la perfección técnica del modelo. Segundo · trasladar el equipo auditor de seguridad (ISO 27001) directamente a IA sin formación específica. La superposición conceptual es real; la equivalencia técnica no.

Recomendación institucional

Las organizaciones que ya operan modelos de IA en producción deberían — en orden de prioridad — establecer un inventario auditable de los modelos en uso, definir responsables firmantes para cada decisión crítica del sistema, implementar telemetría que permita verificación independiente, y formar auditores específicos antes de buscar certificación.

El certificado emitido sin telemetría auditable de fondo es un certificado vencido el día que se firma.