ISO 42001 — Definición IT
Norma internacional que define los requisitos de un sistema de gestión de la inteligencia artificial (AIMS), publicada en diciembre de 2023.
La norma ISO/IEC 42001:2023, publicada en diciembre de 2023, define los requisitos de un sistema de gestión de la inteligencia artificial (AI Management System, AIMS). Es la primera norma certificable en el mundo dedicada a la gobernanza de la IA — el equivalente para la IA de lo que ISO 27001 es para la seguridad de la información o ISO 9001 para la calidad.
El desafío es doble: responder a las exigencias regulatorias emergentes (notablemente el AI Act europeo, en vigor desde 2024) y dar a las organizaciones un marco auditable para gobernar sus sistemas IA.
¿Para quién?
ISO 42001 se dirige a toda organización que desarrolle, despliegue o use sistemas IA:
- •Los editores SaaS que integran IA en sus productos.
- •Las grandes empresas que industrializan la IA generativa y los agentes IA.
- •Los organismos sometidos al AI Act (banca, salud, RH, educación, justicia).
- •Las ESN y consultorías que intervienen en proyectos IA.
Estructura de la norma
ISO 42001 retoma la estructura alta común a las normas ISO de gestión:
- •Contexto de la organización: .
- •Liderazgo: política IA, roles y responsabilidades.
- •Planificación: objetivos IA, evaluación de los riesgos y oportunidades.
- •Soporte: recursos, competencias, comunicación, documentación.
- •Realización operativa: diseño, desarrollo, despliegue, retiro de los sistemas IA.
- •Evaluación del rendimiento: .
- •Mejora: .
El anexo A detalla 38 controles organizados en 9 dominios.
ISO 42001 vs. AI Act
Los dos textos son complementarios:
- •El AI Act es un reglamento europeo vinculante que clasifica los sistemas IA por nivel de riesgo.
- •ISO 42001: es una norma voluntaria que proporciona el sistema de gestión.
Una organización certificada ISO 42001 dispone de una prueba estructurada de conformidad movilizable frente a las autoridades de control europeas.
Los beneficios de un proceso ISO 42001
- •Conformidad regulatoria: pruebas estructuradas para el AI Act, el RGPD, NIS2, DORA.
- •Confianza de los clientes: .
- •Control del riesgo: identificación sistemática de los riesgos IA (sesgos, alucinaciones, seguridad, derechos humanos).
- •Gobernanza interna: .
- •Lucha contra el [Shadow IA](/es/glossary/shadow-ai): .
- •Compatibilidad con otras normas: alineación con ISO 27001, ISO 9001, ISO 27701.
Implementar ISO 42001
El proceso se desarrolla en 6 a 12 meses para una organización de tamaño medio:
- Diagnóstico inicial: cartografiar los sistemas IA existentes (incluido Shadow IA).
- Política IA.
- Evaluación de los riesgos.
- Diseño de los controles.
- Documentación y formación.
- Auditorías internas.
- Certificación: auditoría por un organismo acreditado (Bureau Veritas, AFNOR, BSI, LRQA).
Inventario IA: requisito previo indispensable
Ningún proceso ISO 42001 es posible sin un inventario actualizado de los sistemas IA en uso en la organización — incluidos los usos no declarados. Kabeen revela automáticamente los usos GenAI, LLM y agentes IA en el SI.
Preguntas frecuentes
¿Qué es ISO 42001?
+
ISO/IEC 42001:2023 es la primera norma internacional certificable dedicada a la gobernanza de la inteligencia artificial. Publicada en diciembre de 2023, define los requisitos de un sistema de gestión de la IA (AIMS) que cubre estrategia, riesgo, conformidad, transparencia, despliegue y mejora continua. Es el equivalente IA de ISO 27001 para la seguridad o ISO 9001 para la calidad.
¿Diferencia entre ISO 42001 y el AI Act?
+
El AI Act es un reglamento europeo vinculante que clasifica los sistemas IA por nivel de riesgo (prohibido, alto riesgo, limitado, mínimo) e impone obligaciones específicas. ISO 42001 es una norma voluntaria que proporciona el sistema de gestión que permite responder a estas obligaciones. Los dos son complementarios: la certificación ISO 42001 es una prueba estructurada de conformidad movilizable frente a las autoridades europeas.
¿Quién está afectado por ISO 42001?
+
Toda organización que desarrolle, despliegue o use sistemas IA: editores SaaS integrando IA en sus productos, grandes empresas industrializando la GenAI y los agentes IA, organismos sometidos al AI Act (banca, salud, RH, educación, justicia), ESN y consultorías. Más ampliamente, toda organización que desee demostrar una gobernanza IA madura a sus clientes o reguladores.
¿Cómo prepararse a una certificación ISO 42001?
+
En seis etapas en 6 a 12 meses: (1) diagnóstico inicial con cartografía de los sistemas IA, incluido Shadow IA, (2) política IA y compromiso de la dirección, (3) evaluación de los riesgos por sistema, (4) despliegue de los 38 controles del anexo A, (5) documentación y formación, (6) auditorías internas luego certificación por un organismo acreditado. Un inventario IA actualizado es el requisito previo no negociable.
Todos los términos
Método de las 5R
Una estrategia utilizada durante la racionalización de aplicaciones para determinar el mejor enfoque de gestión.
Método de las 8R
Una versión extendida del método 5R utilizada en la gestión del portafolio de aplicaciones y estrategias de migración.
Aplicación
Un programa informático o conjunto de programas diseñados para agilizar las operaciones comerciales.
Arquitectura
Se refiere a la estructura y comportamiento de los sistemas de TI, procesos e infraestructura dentro de una organización.
¿Necesita ayuda para mapear su panorama TI?
Kabeen le ayuda a inventariar, analizar y optimizar su portafolio de aplicaciones.