Las organizaciones latinoamericanas ya operan inteligencia artificial a una velocidad que su propia gobernanza no alcanza. La norma ISO/IEC 42001:2023, publicada en diciembre de 2023, estableció el primer marco internacional para sistemas de gestión de IA (ISO, 2023). Este informe ordena el estado del campo con corte de evidencia declarado — mayo de 2026, actualizado con la adopción final del Digital Omnibus por el Consejo de la UE el 29 de junio de 2026 — y explica los tres marcos que todo directorio va a encontrar sobre la mesa.
Datos del campo
Tres procesos simultáneos quebraron el modelo clásico de gobernanza tecnológica.
La actualización constante
Los modelos en producción consumen actualizaciones permanentes · modelos base nuevos, ajustes finos, datasets actualizados. La cadencia exacta varía por proveedor y por trimestre — se verifica en las notas de versión públicas de cada proveedor, sin estadística ajena. Un sistema certificado en enero puede ser operativamente irreconocible en abril.
El despliegue automático
Los proveedores despliegan cambios sin intervención del cliente. Lo que hoy corre en producción es el sistema que fue auditado más la deriva acumulada desde la última revisión — y esa deriva no lleva la firma de nadie dentro de la organización.
La cadena invisible
La cadena de suministro tecnológica introduce vectores de cambio que la organización hereda sin verlos. El proveedor del proveedor del proveedor cambia algo, y la organización auditada carga ese cambio sin saberlo.
El registro de daños corre en paralelo a las tres señales: la base pública de incidentes de inteligencia artificial sumó 346 entradas en 2025 y acumula más de 1.360 desde su creación (AI Incident Database, 2026).
Los tres marcos. El cuadro que ordena el campo
Tres marcos coexisten en la práctica y cada uno responde una pregunta distinta. El error de lectura más frecuente del campo es tratarlos como sustitutos. ISO/IEC 42001 ordena el sistema de gestión; el EU AI Act regula sistemas alcanzados por su ámbito de aplicación; el NIST AI RMF aporta un vocabulario técnico de riesgo. Una organización puede necesitar combinarlos según sus roles, casos de uso, contratos y jurisdicciones; ninguno se vuelve obligatorio por la sola existencia de los otros.
| Marco | Naturaleza | Alcance | Vigencia | A quién obliga |
|---|---|---|---|---|
| ISO/IEC 42001:2023 | Norma internacional de sistema de gestión · certificable bajo organismos acreditados | El sistema de gestión que vigila los modelos (AIMS) · contexto, liderazgo, riesgos, controles, mejora | Publicada en diciembre de 2023 · acreditaciones de organismos de certificación verificables en operación | Voluntaria · obliga a quien la adopta o la asume por contrato |
| EU AI Act · Reglamento (UE) 2024/1689 | Regulación europea cuyo alcance incluye ciertos supuestos fuera de la UE | Sistemas y actores comprendidos por el reglamento, clasificados por rol y nivel de riesgo | Escalonada · calendario sujeto al texto aplicable y a la entrada en vigor del Digital Omnibus (ver cronología) | A proveedores, responsables del despliegue y otros actores solo cuando encuadran en su ámbito de aplicación |
| NIST AI RMF | Framework voluntario de gestión de riesgos | Vocabulario y prácticas de riesgo técnico durante el ciclo de vida del sistema | Versión 1.0 publicada en 2023 (NIST, 2023) · referencia técnica norteamericana | A nadie por ley · obliga por contrato o por adopción interna |
El reloj regulatorio europeo · cronología post-Omnibus
El 29 de junio de 2026 el Consejo de la UE dio luz verde final al Digital Omnibus sobre IA. El texto adoptado fija nuevas fechas para la transparencia de contenido generado y para los sistemas de alto riesgo. El propio comunicado oficial indicó que el acto se publicaría luego en el Diario Oficial y entraría en vigor al tercer día de esa publicación. Por eso, una decisión de cumplimiento debe verificar el texto publicado y su fecha efectiva, no apoyarse solo en el anuncio.
| Obligación | Fecha | Estado a julio de 2026 |
|---|---|---|
| Prohibiciones absolutas | Febrero de 2025 | Vigente y aplicable |
| Modelos de propósito general (GPAI) | Agosto de 2025 | Vigente y aplicable |
| Transparencia de contenido generado | 2 de diciembre de 2026 | Fecha del texto adoptado · verificar publicación y entrada en vigor |
| Alto riesgo · Anexo III | 2 de diciembre de 2027 | Fecha del texto adoptado · verificar publicación y entrada en vigor |
| Alto riesgo · Anexo I | 2 de agosto de 2028 | Fecha del texto adoptado · verificar publicación y entrada en vigor |
La lectura auditora de la cronología cabe en una frase: la ley de IA más ambiciosa del mundo tuvo que frenar antes de aplicarse, mientras el registro público de incidentes sigue creciendo. La brecha entre el ritmo del sistema y el ritmo de la gobernanza también alcanza a los reguladores.
La cadena de acreditación ya llegó a la IA
ISO/IEC 42001 comparte la estructura armonizada de ISO 9001, ISO/IEC 27001 e ISO 14001, lo que permite integrarla con sistemas de gestión existentes. La cadena que vuelve verificable la certificación también opera: ANAB publica el programa de acreditación correspondiente y BSI informó en marzo de 2026 acreditaciones de ANAB, UKAS y RvA para certificar bajo ISO/IEC 42001. Sobre la cantidad mundial de certificados emitidos circulan estimaciones sin fuente primaria consolidada; este informe se abstiene de citarlas. Lo verificable hoy son los alcances de acreditación y los datos de adopción regional que la pieza 17 ordena con fuentes declaradas.
Dos errores se repiten en las organizaciones que inician el proceso. Primero · confundir certificación con cumplimiento técnico del modelo. ISO 42001 certifica el sistema de gestión que vigila el modelo; el desempeño del modelo se demuestra por otra vía. Segundo · trasladar el equipo auditor de seguridad de la información directamente a IA sin formación específica. La superposición conceptual es real; la equivalencia técnica, todavía no.
Lo que cambia para el auditor
La práctica auditora necesita tres componentes que el modelo clásico no tenía · telemetría auditable, revisiones independientes de frecuencia variable y verificación basada en cambio, no en calendario. La patología temporal completa — por qué la visita anual deja de capturar la operación y qué evidencia genera cada componente — tiene pieza propia: el informe 04 de esta serie, que aplica el Criterio 09.
Lo que permanece es la pregunta de siempre del oficio. Cómo se demuestra lo que se declara. Qué evidencia sostiene cada afirmación técnica. Quién firma cada decisión crítica.
El certificado emitido sin telemetría auditable de fondo es un certificado vencido el día que se firma.