ISO/IEC 42001: qué montas de verdad cuando implantas un AIMS
ISO/IEC 42001 es la norma internacional que describe cómo se gestiona la inteligencia artificial dentro de una organización de forma sostenida en el tiempo, y desde diciembre de 2023 es certificable. Lo que montas al implantarla se llama AIMS (un sistema de gestión de IA) y tiene piezas concretas: un alcance decidido a partir del contexto y de las partes interesadas, una política con dueño, un proceso de gestión de riesgos e impactos de los sistemas de IA, los 38 controles del Anexo A con una Declaración de Aplicabilidad que justifica cuáles aplicas, y un ciclo de auditoría interna, revisión por la dirección y mejora que lo mantiene vivo. La comparación útil con la regulación cabe en una línea: el EU AI Act te dice qué tienes que poder demostrar, e ISO/IEC 42001 te da la maquinaria organizativa con la que sigues demostrándolo cuando algo cambia. Ahí está su valor real, y también la razón por la que se implanta mal tan a menudo: se aborda como un ejercicio documental cuando lo que pide es un cambio en cómo se decide.
Llevo cinco años operando el gobierno de IA dentro de una aseguradora, construyendo por necesidad buena parte de las piezas que la norma pide: un inventario de sistemas que alguien mantiene, evaluaciones de impacto que se rehacen cuando cambia el uso, roles con dueño y con autoridad para decidir, y una cadencia de revisión que obliga a volver sobre lo que ya se aprobó. Ninguna de esas piezas nace porque esté en una norma. Se crean porque sin ellas el programa deja de funcionar a las pocas semanas. Interpretar la ISO/IEC 42001 desde ahí cambia por completo la experiencia de lectura: reconoces cada cláusula porque ya la has peleado con otro nombre, y distingues sin esfuerzo las que describen trabajo real de las que se pueden dar como completadas con un documento bien redactado.
Desde esa posición sale lo único que le diría a alguien que tuviera que arrancar mañana con la norma: úsala para simplificar lo que ya haces. Su mayor virtud es que te obliga a nombrar, ordenar y poner dueño a cosas que en la mayoría de las organizaciones viven dispersas entre correos, hojas de cálculo y criterios que solo conocen dos personas. Ese ejercicio de ordenación es el premio, y se gana desde el primer mes, mucho antes de que aparezca ningún auditor. Cuando se aborda al revés, superponiendo una capa documental sobre una operación que sigue funcionando exactamente igual que antes, el coste se duplica y el criterio de la organización se queda donde estaba.
El AIMS es un sistema de gestión más que un cuerpo documental
La norma sigue la estructura armonizada de ISO, la misma de ISO 27001 y de ISO 9001: contexto, liderazgo, planificación, soporte, operación, evaluación del desempeño y mejora. Quien viene de un sistema de gestión anterior reconoce el andamiaje en cinco minutos. Y ahí aparece el primer malentendido caro, porque ese reconocimiento invita a resolverla como se resolvieron las otras: generar el juego de documentos, pasar la auditoría, archivar.
Un AIMS funciona cuando produce decisiones distintas. La planificación de la cláusula 6 obliga a determinar riesgos y oportunidades de la IA de la organización y a fijar objetivos medibles. La operación de la cláusula 8 obliga a que esos procesos existan de verdad en el flujo de trabajo, con evidencia de que se ejecutan. La evaluación de la cláusula 9 obliga a auditarte a ti mismo y a llevarlo a una revisión por la dirección donde alguien con autoridad mira los datos y decide. El ciclo se cierra en la cláusula 10 con las no conformidades y su corrección.
Ese circuito (planificar, operar, medir, corregir) es el entregable. Los documentos son el rastro que deja al girar. Cuando se invierte el orden y se empieza por redactar el manual, sale un AIMS que aprueba la auditoría de certificación y no cambia ni una decisión de la organización.
El alcance decide el coste de todo lo demás
La cláusula 4 pide entender el contexto de la organización, identificar a las partes interesadas y determinar el alcance del sistema de gestión. Es la cláusula más corta y la que más dinero mueve.
El alcance define qué unidades, qué procesos y qué sistemas de IA quedan dentro. Todo lo que entra arrastra controles, evidencias, auditoría y mantenimiento anual. Un alcance amplio decidido en una reunión de una hora se paga durante los tres años del ciclo de certificación. Un alcance estrecho de más produce un certificado que el primer cliente que lo lea descartará por irrelevante, porque el sistema de IA por el que pregunta se quedó fuera.
La decisión razonable es deliberada: se elige el alcance que cubre los sistemas de IA con impacto real sobre personas y sobre el negocio, se documenta por qué el resto queda fuera y se planifica su entrada en ciclos posteriores. Y esa decisión pide antes un inventario fiable de sistemas de IA, que es el primer entregable de cualquier programa serio. Delimitar el alcance sin inventario consiste en dibujar la frontera de un territorio que aún no has cartografiado.
Añado una cautela sobre las partes interesadas, porque en un AIMS la lista se sale del perímetro habitual. La norma cuenta entre ellas a las personas afectadas por las decisiones de tus sistemas de IA, que rara vez son tus clientes contractuales y casi nunca están representadas en la sala donde se aprueba el alcance.
El Anexo A es donde la norma se vuelve concreta
Las cláusulas describen el sistema de gestión. El Anexo A baja al terreno con 38 controles agrupados en nueve objetivos: políticas de IA, roles y responsabilidades internas, recursos para los sistemas de IA, evaluación de impacto, ciclo de vida del sistema, datos, información para las partes interesadas, uso responsable y relación con terceros y clientes. El Anexo B explica cómo implantar cada control y el Anexo C recoge fuentes de riesgo y objetivos organizativos que sirven de material de partida.
De ahí sale la Declaración de Aplicabilidad: el documento donde dices qué controles aplicas, cómo, y por qué excluyes los que excluyes. Es la pieza que un auditor lee primero y la que más revela sobre la seriedad del programa.
La trampa está en las exclusiones. Excluir un control porque la organización efectivamente no realiza esa actividad es correcto y esperable: quien solo despliega sistemas de terceros justifica con solvencia varios controles de desarrollo. Excluir un control porque implantarlo daba trabajo produce una justificación que se reconoce a distancia: genérica, escrita en pasiva, sin datos. Cada exclusión mal argumentada es una pregunta que el auditor ya tiene preparada para la etapa 2, y una grieta que reaparece en cada auditoría de seguimiento durante tres años.
La evaluación de impacto es la bisagra con la regulación
El control A.5 y la cláusula 6.1.4 introducen la evaluación de impacto de los sistemas de IA: analizar las consecuencias potenciales sobre las personas, los grupos y la sociedad antes de desplegar, y volver a hacerlo cuando el sistema o su uso cambian. ISO/IEC 42005 desarrolla esa evaluación con detalle, e ISO/IEC 23894 cubre la gestión de riesgos de IA con la que se articula.
Esta es la pieza con más rendimiento por unidad de esfuerzo de toda la norma, por una razón práctica: es la que conecta con casi todo lo demás. Alimenta la categorización de riesgo que exige el EU AI Act, produce el material de la evaluación de impacto sobre derechos fundamentales, se apoya en el análisis de protección de datos cuando hay datos personales y genera la evidencia documental que después reclama el auditor. Un mismo ejercicio, bien montado, sirve a cuatro frentes.
Y también es la que mejor distingue un programa vivo de uno declarado, porque tiene una propiedad incómoda: caduca. Una evaluación de impacto firmada hace dieciocho meses sobre un modelo que se ha reentrenado dos veces y ha cambiado de caso de uso describe un sistema que ya no existe. Mantenerla al día obliga a enterarte de los cambios, y enterarte de los cambios obliga a estar conectado a los equipos que los hacen. La norma acaba forzando esa conexión por la vía de los hechos.
La certificación mide el sistema; el seguimiento mide si sigue vivo
Una certificación de ISO/IEC 42001 la emite un organismo acreditado en dos etapas. La etapa 1 revisa la documentación y confirma que el sistema de gestión existe sobre el papel y que estás en condiciones de auditar. La etapa 2 comprueba la implantación: entrevistas, muestreo de sistemas de IA, evidencias de que los procesos se ejecutan. El certificado dura tres años, con auditorías de seguimiento anuales y una recertificación al final del ciclo.
Lo que mira un auditor es más simple de lo que la mayoría anticipa. Toma tu Declaración de Aplicabilidad, elige controles, y pide ver la evidencia de que funcionan sobre sistemas concretos. Dices que cada sistema de alto impacto pasa por una evaluación de impacto: enséñame las tres últimas. Dices que hay supervisión humana: enséñame el registro. Dices que revisas el inventario trimestralmente: enséñame la última revisión y las que la preceden.
El muestreo es donde se paga tener dos filas del inventario para el mismo sistema, o una fila para dos: cuando el auditor señala uno concreto, hay que poder decir cuál es sin reconstruirlo de memoria. Escribí aparte sobre por qué un inventario es un ejercicio de desambiguación.
De ahí sale la única preparación que rinde. Un programa que genera evidencia como subproducto de funcionar llega a la auditoría con el trabajo hecho. Un programa que reconstruye la evidencia para la ocasión lo nota justo ahí, y lo vuelve a notar cada doce meses cuando llega el seguimiento, que es precisamente el mecanismo con el que la norma verifica que el sistema sigue vivo y no fue un esfuerzo puntual para conseguir el sello.
Dónde termina la norma y empieza tu criterio
ISO/IEC 42001 te dice que gestiones el riesgo de tus sistemas de IA. La decisión de qué nivel de riesgo acepta tu organización sigue siendo tuya. Te dice que definas roles y responsabilidades. Quién se sienta en cada uno y con cuánta autoridad real, lo decides tú. Te dice que evalúes los impactos. Qué haces cuando la evaluación sale mal y hay un área de negocio esperando el despliegue es exactamente el tipo de decisión que ningún marco resuelve, y donde se ve si el gobierno de IA de una organización tiene peso.
Por eso el mejor uso de la norma es como esqueleto. Aporta estructura reconocible, vocabulario compartido con auditores y clientes, y una cadencia que obliga a revisar lo que de otro modo se abandona. Encima de ese esqueleto sigue haciendo falta criterio operativo que ningún framework recoge y órganos que decidan de verdad.
Si ya tienes ISO 27001, el camino corto pasa por integrar: estructura armonizada compartida, un solo sistema documental, una auditoría interna que cubra ambos alcances, una revisión por la dirección con los dos puntos en el orden del día. Duplicar la maquinaria porque la norma es nueva es el error más caro y el más frecuente.
Implantar ISO/IEC 42001 acaba consistiendo en aceptar que el sello certifica un sistema de gestión, y que un sistema de gestión vale lo que valen las decisiones que produce. Ese es también el motivo por el que trato el conjunto como un sistema adaptativo en lugar de como un proyecto con fecha de fin: el certificado tiene tres años de vigencia, y la organización cambia cada semana.
Preguntas frecuentes
¿Qué es ISO/IEC 42001? Es la primera norma internacional certificable para sistemas de gestión de inteligencia artificial (AIMS, por sus siglas en inglés), publicada en diciembre de 2023. Define cómo una organización establece, mantiene y mejora de forma continua la gestión de su IA: contexto y alcance, liderazgo, gestión de riesgos e impactos, controles operativos, evaluación del desempeño y mejora. Sigue la estructura armonizada de ISO, la misma de ISO 27001 e ISO 9001, y añade un Anexo A con 38 controles específicos de IA.
¿Es obligatoria ISO/IEC 42001? Es voluntaria. Ninguna regulación exige certificarse en ISO/IEC 42001, incluido el EU AI Act. Lo que sí ocurre es que cada vez más clientes corporativos, licitaciones públicas y procesos de compra la piden como prueba de madurez, con lo que la voluntariedad legal convive con una presión comercial creciente.
¿Merece la pena certificarse en ISO/IEC 42001? Depende de si alguien fuera de tu organización va a pedirte la prueba. Si vendes a clientes corporativos, concurres a licitaciones o trabajas en un sector donde ya te auditan, el certificado te ahorra repetir la misma conversación en cada proceso de compra y suele pagarse por esa vía. Si nadie te lo está pidiendo, el orden que rinde es el inverso: monta primero el sistema de gestión (inventario, evaluación de impacto, roles con dueño, ciclo de revisión) y decide después si lo certificas. Esas piezas mejoran tus decisiones desde el primer mes; el sello solo acredita ante terceros que las tienes. Certificar sobre una operación que no ha cambiado produce un certificado caro que no mejora nada por dentro.
¿Cuánto se tarda en certificarse en ISO/IEC 42001? En organizaciones con un sistema de gestión previo, normalmente ISO 27001, el rango habitual va de seis a doce meses hasta la auditoría de certificación. El factor que más mueve ese plazo es el estado del inventario de sistemas de IA: si hay que levantarlo desde cero, el calendario se alarga por ahí antes que por la documentación.
¿Se puede integrar ISO/IEC 42001 con ISO 27001? Sí, y es la vía razonable si ya tienes ISO 27001. Ambas comparten la estructura armonizada de ISO, con lo que el análisis de contexto, la gestión documental, la auditoría interna, la revisión por la dirección y el ciclo de mejora se integran en un único sistema de gestión con dos alcances, en lugar de duplicarse.
La relación entre la norma y el reglamento, con las seis piezas que sirven a los dos frentes y con lo que ningún certificado resuelve, está en la comparación entre el EU AI Act e ISO/IEC 42001.