Los requisitos de la ISO/IEC 42001 están en las cláusulas 4 a 10 y se completan con los controles del Anexo A. En una auditoría se revisa evidencia: la política de IA, el inventario de sistemas, la evaluación de riesgos y de impacto, la Declaración de Aplicabilidad, los registros del ciclo de vida de los modelos, la gestión de datos y de proveedores, la auditoría interna y la revisión por la dirección.
- 01Contexto (4)rol de la organización frente a la IA: desarrolla, provee o usa.
- 02Liderazgo (5)política de IA y responsables asignados.
- 03Planificación (6)evaluación de riesgos de IA, tratamiento y evaluación de impacto.
- 04Apoyo (7)competencias, recursos de datos, cómputo y herramientas.
- 05Operación (8)controles sobre el ciclo de vida de cada sistema.
- 06Evaluación (9) y mejora (10)seguimiento, auditoría interna, revisión y acciones correctivas.
Cómo leer los requisitos
Cada requisito se traduce en una pregunta verificable: ¿qué registro muestra quién aprobó este sistema, con qué datos se entrenó o configuró y quién supervisa sus resultados?
Requisito por requisito
- Contexto (4): rol de la organización frente a la IA: desarrolla, provee o usa.
- Liderazgo (5): política de IA y responsables asignados.
- Planificación (6): evaluación de riesgos de IA, tratamiento y evaluación de impacto.
- Apoyo (7): competencias, recursos de datos, cómputo y herramientas.
- Operación (8): controles sobre el ciclo de vida de cada sistema.
- Evaluación (9) y mejora (10): seguimiento, auditoría interna, revisión y acciones correctivas.
La evidencia que más se pide
- Inventario de sistemas de IA con propósito y responsable.
- Evaluación de impacto de cada sistema relevante.
- Registros de origen y calidad de los datos.
- Control de versiones y cambios de modelos.
- Criterios de supervisión humana y de intervención.
- Evaluación de proveedores de modelos y servicios de IA.
Dónde suele estar la brecha
La brecha más común es el uso no registrado: herramientas de IA generativa adoptadas por áreas enteras sin aprobación, sin evaluación de impacto y fuera del inventario.
Preguntas frecuentes
¿Cuántos documentos exige la ISO 42001?
La norma pide información documentada concreta, pero no fija una cantidad. Lo que se audita es si los registros muestran que el sistema opera.
¿Sirve una plantilla comprada?
Puede ordenar el trabajo, pero un auditor busca evidencia de la operación real. Un sistema copiado que no describe cómo trabaja la organización suele caer en la etapa 2.
¿Qué es evidencia objetiva?
Información verificable que respalda que algo se cumple: registros, entrevistas, observaciones y datos que un tercero puede comprobar.
Para seguir leyendo
La misma pregunta, en otras normas