Inventario incompleto
Sistemas de IA en uso, propios o de terceros, que no figuran en el alcance ni tienen responsable asignado.
Pre-auditoría · ISO/IEC 42001:2023
Pre-auditoría ISO/IEC 42001: demostrá cómo gobernás tu IA.
Reviso si tu organización puede demostrar quién autoriza cada sistema de IA, cómo evalúa su impacto y qué controles lo supervisan. Recibís por escrito qué se sostiene, qué es débil y qué conviene corregir primero.
Este WhatsApp lo recibe el equipo de G-CERTI. Pedí coordinar una reunión con Fernando Arrieta; enviar el mensaje no confirma una cita ni solicita certificación.
- Primera reunión para definir alcance
- Sin enviar documentos al inicio
- Conclusiones por escrito
Lo que está en juego
Dónde suele quedar expuesta la gobernanza de IA.
Impacto sin evaluar
Decisiones que afectan a personas sin una evaluación de impacto documentada ni criterios de aceptación.
Supervisión sin registro
Revisiones humanas, cambios de modelo o incidentes que ocurren sin dejar evidencia verificable.
03 / La decisión
¿Podés demostrar quién responde por cada decisión de tu IA?
Un sistema de gestión de IA no se demuestra con una política de uso responsable. Se demuestra con responsables identificables, evaluaciones de impacto documentadas y registros de supervisión.
Primera certificación de IA
Organizaciones que implementaron ISO/IEC 42001 y quieren comprobar su evidencia antes de la auditoría.
Proveedores de tecnología
Empresas que desarrollan o integran IA y deben responder a clientes que exigen gobernanza demostrable.
Directorios y comités
Órganos de decisión que necesitan una lectura técnica antes de ampliar el uso de IA.
Qué reviso
Lo declarado, frente a lo demostrable.
Alcance y roles
Qué sistemas de IA abarca el sistema de gestión y quién los autoriza, opera y supervisa.
Riesgos y evaluación de impacto
Si la organización identifica y documenta los efectos de sus sistemas de IA sobre personas y grupos.
Controles y registros
Si los controles seleccionados del Anexo A funcionan y dejan evidencia a lo largo del ciclo de vida.
ISO/IEC 42001:2023 y, cuando corresponda, la guía de riesgos ISO/IEC 23894:2023, según el alcance que acordemos.
Datos de la norma
Lo que conviene saber de la norma.
Norma de requisitos para IA
ISO/IEC 42001:2023, publicada en diciembre de 2023, especifica requisitos para establecer, implementar, mantener y mejorar un sistema de gestión de inteligencia artificial.
Certificable
Es una norma de requisitos con estructura de sistema de gestión, por lo que puede auditarse y certificarse como ISO 9001 o ISO/IEC 27001.
Evaluación de impacto
Exige evaluar las consecuencias potenciales de los sistemas de IA para personas, grupos y la sociedad, además del riesgo para la organización.
Qué recibís
Conclusiones que podés examinar. Por escrito.
Qué se sostiene, qué es débil y qué corregir primero. Los límites y la evidencia disponible quedan explícitos.
- 01 / Caso
Exponés la decisión
Revisamos si el encargo corresponde. Acordamos alcance y confidencialidad antes de recibir documentos.
- 02 / Evidencia
Leo lo que respalda el caso
Contrasto registros y afirmaciones con los criterios acordados. Lo que no se puede comprobar se declara.
- 03 / Dictamen
Recibís una lectura firmada
Una conclusión técnica con hallazgos, fundamentos y límites para decidir prioridades dentro del alcance acordado.
Trabajo en auditoría de sistemas de gestión, seguridad de la información, inteligencia artificial y calidad. Podés conocer mi trayectoria profesional, mis ámbitos de trabajo y los análisis que publico antes de consultar un encargo.
Ver trayectoria →Antes de escribir
¿Tiene sentido un dictamen ahora?
Respondé cuatro preguntas y recibí una orientación preliminar: qué miraría primero un tercero y cuál sería un primer paso. Es automática, tarda unos segundos y no se guarda.
Independencia y límites
El alcance no se presume.
La pre-auditoría es una evaluación técnica previa. No reemplaza la auditoría del organismo de certificación, no garantiza su resultado ni emite certificados.
La aceptación de cada encargo queda sujeta a revisar relaciones institucionales, participación previa, sistema y alcance. En la primera conversación se debe declarar cualquier auditoría, consultoría, implementación o formación previa relevante. Un conflicto incompatible con el alcance impide aceptar el encargo en esos términos; la lectura de evidencia no se presenta como certificación ni como implementación del sistema.
El dictamen aporta una evaluación técnica. Cuando el requisito exige una certificación, su emisión corresponde al organismo certificador dentro del proceso aplicable.
Antes de avanzar
Preguntas de alcance.
¿Qué revisa una pre-auditoría ISO 42001?
El alcance del sistema de gestión de IA, los roles, la evaluación de riesgos e impacto y la evidencia de los controles seleccionados, según el alcance acordado.
¿Sirve si usamos IA de terceros?
Sí. La norma abarca sistemas que la organización desarrolla, provee o utiliza; el alcance concreto se define en la reunión.
¿Me asegura la certificación?
No. Es una lectura técnica previa de tu evidencia. La decisión de certificación corresponde al organismo.
¿Qué envío en la primera consulta?
Solo una descripción general de la decisión, el plazo y cómo contactarte. No envíes credenciales, datos sensibles ni documentación interna. Si corresponde, acordamos confidencialidad antes de compartir evidencia.
Criterio y fuentes
Leé el fundamento.
Otras decisiones de alta exigencia
Otros escenarios del Dictamen técnico.
Próximo paso
Revisemos tu gobernanza de IA.
Escribí por WhatsApp qué sistemas de IA usa tu organización y qué decisión tenés por delante. El equipo de G-CERTI recibe el pedido para coordinar una reunión con Fernando Arrieta.
Este WhatsApp lo recibe el equipo de G-CERTI. Pedí coordinar una reunión con Fernando Arrieta; enviar el mensaje no confirma una cita ni solicita certificación.
Pedí tu reunión de alcance
Describí la situación, la decisión que tienen que tomar y para cuándo. Primero reviso si el encargo corresponde; después acordamos alcance y confidencialidad antes de recibir documentación.
- 1Leo tu mensaje personalmente.
- 2Te digo con franqueza si un dictamen corresponde o si conviene otra vía.
- 3Si corresponde, acordamos alcance y confidencialidad antes de recibir documentos.
Reserva profesional y acuerdo de confidencialidad
Toda consulta se trata bajo secreto profesional. Si tu organización requiere un acuerdo de confidencialidad, indicalo en el mensaje: se firma antes de compartir cualquier documentación interna.
¿Preferís no usar el formulario? Escribí directo a contact@fernandoarrieta.org.