La ISO/IEC 42001 sirve para gestionar de forma responsable el desarrollo, la provisión o el uso de sistemas de inteligencia artificial: definir políticas, evaluar riesgos e impactos, asignar responsables y controlar el ciclo de vida de cada sistema. El certificado muestra que un tercero lo verificó; el valor está en poder demostrar cómo se decide.
- 01PlanificarContexto, riesgos, objetivos y responsables.
- 02HacerOperar los procesos con criterios conocidos.
- 03VerificarMedir, auditar y revisar con la dirección.
- 04ActuarCorregir causas y mejorar el sistema.
Qué ordena la norma
La ISO/IEC 42001, publicada en 2023, es la primera norma internacional certificable de sistemas de gestión de inteligencia artificial (AIMS). Sigue la misma estructura que otras normas de gestión, lo que permite integrarla con la ISO/IEC 27001 o la ISO 9001.
Pide evaluar riesgos de IA y el impacto de los sistemas sobre personas y sociedad, y trae un anexo de controles de referencia sobre datos, ciclo de vida, transparencia, uso responsable y relación con terceros.
Para qué sirve en la práctica
- Inventario: la organización sabe qué sistemas de IA usa y para qué.
- Responsables identificables: cada sistema tiene alguien que responde por él.
- Impacto evaluado: se analiza a quién puede afectar una decisión automatizada.
- Supervisión humana: se definen límites y puntos de intervención.
- Respuesta regulatoria: ordena la evidencia que piden marcos como la Ley de IA de la Unión Europea.
Lo que la ISO 42001 no resuelve
La norma no certifica que un modelo sea preciso, justo o seguro en sí mismo, ni reemplaza la validación técnica. Tampoco equivale al cumplimiento de una ley: ayuda a ordenarlo, pero cada regulación tiene sus propios requisitos.
Si el inventario de sistemas excluye las herramientas que la gente usa de verdad, el sistema de gestión queda desconectado de la realidad.
Cómo saber si el sistema funciona
Hay un inventario vivo de sistemas de IA, evaluaciones de impacto con fecha y responsable, registros de datos y de cambios en los modelos, incidentes tratados y una dirección que revisa y decide sobre esos riesgos.
Preguntas frecuentes
¿Es obligatorio certificar ISO 42001?
No. Es voluntaria. Puede pedirla un cliente, una licitación o servir para ordenar la evidencia que exigen regulaciones de IA.
¿La ISO 42001 sirve para organizaciones chicas?
Sí. Los requisitos se aplican según el tamaño, el contexto y los riesgos de cada organización; cambia el nivel de formalidad, no el principio.
¿Quién otorga el certificado ISO 42001?
Un organismo de certificación independiente, después de una auditoría de tercera parte. Quien asesora o implementa el sistema no debería certificarlo.
Para seguir leyendo
- ISO 42001 · Glosario
- Lo que no es una certificación
- Antes de delegar decisiones críticas en la IA
- Revisión independiente ISO 42001
La misma pregunta, en otras normas