La ISO 42001 es la primera norma internacional certificable para gestionar la IA en una empresa. Publicada en 2023 como ISO/IEC 42001, define los requisitos de un sistema de gestión de IA y permite que una entidad acreditada lo audite. Es voluntaria, y ahí está su interés: sirve para demostrar control sobre la IA antes de que el Reglamento europeo lo exija.
Lo esencial
- ISO/IEC 42001:2023 es el primer estándar internacional de sistemas de gestión de inteligencia artificial, y es certificable por tercera parte.
- En España existe como UNE-ISO/IEC 42001:2025, la versión traducida y publicada por UNE.
- ISO/IEC 42006:2025 fija los requisitos que deben cumplir las entidades que auditan y certifican estos sistemas, que es lo que hace creíble al certificado.
- No es obligatoria y no sustituye al Reglamento de IA, pero cubre buena parte de lo que este exige documentar: análisis de riesgo, gobernanza, supervisión humana y trazabilidad.
- Su valor real hoy es comercial y probatorio: sirve para responder a pliegos y a clientes que preguntan qué haces con la IA.
¿Qué es la ISO 42001 y para qué sirve?
La ISO 42001 especifica los requisitos para establecer, implantar, mantener y mejorar un sistema de gestión de inteligencia artificial dentro de una organización. Dicho de forma práctica: convierte el uso de la IA en un proceso con dueño, con criterios escritos, con evidencias y con revisión periódica, en lugar de en una colección de herramientas que cada departamento contrató por su cuenta.
Sigue la estructura armonizada común a todas las normas ISO de sistemas de gestión, así que si tu organización ya tiene ISO 27001 o ISO 9001, el esqueleto te resultará familiar: contexto, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora. Lo que cambia son los controles, que aquí giran alrededor de riesgos propios de la IA: sesgo, explicabilidad, calidad de los datos, supervisión humana y uso previsto frente a uso real.
¿En qué se diferencia la ISO 42001 del Reglamento de IA?
Se diferencian en lo más importante: una es voluntaria y la otra obligatoria. Y se diferencian en el objeto: la ISO 42001 certifica que tienes un sistema de gestión, el Reglamento de IA exige requisitos concretos sobre sistemas concretos según su nivel de riesgo. Tener el certificado no te exime de cumplir el reglamento.
| ISO/IEC 42001 | Reglamento (UE) 2024/1689 | |
|---|---|---|
| Naturaleza | Norma voluntaria | Norma obligatoria de aplicación directa |
| Objeto | El sistema de gestión de la organización | Los sistemas de IA concretos, clasificados por riesgo |
| Quién verifica | Entidad de certificación acreditada | Autoridades de vigilancia del mercado, la AESIA en España |
| Consecuencia de no tenerlo | Ninguna legal. Se pierden contratos que lo piden | Sanción, hasta 35 millones o el 7 % de la facturación mundial |
| Alcance | Toda la IA de la organización | Solo lo que cae dentro de su ámbito y su nivel de riesgo |
La relación entre ambas es de complemento, no de sustitución. El reglamento te dice qué tienes que conseguir; la ISO 42001 te da un método reconocido para organizarte y, sobre todo, para dejar constancia. Buena parte del trabajo que exige el reglamento, como el inventario de sistemas, el análisis de riesgo y la supervisión humana, es trabajo que la ISO 42001 ya te obliga a estructurar. Si quieres el mapa de obligaciones legales, está en la guía del Reglamento de IA y lo que exige a tu empresa.
¿Qué exige la ISO 42001 en la práctica?
Exige siete bloques, y en una auditoría real la certificación se juega en tres: el análisis de riesgos de IA, la evaluación de impacto sobre las personas y la evidencia de que el sistema se revisa. El resto son necesarios, pero es en esos tres donde aparecen las no conformidades mayores.
- Contexto y alcance. Qué sistemas de IA entran, con qué finalidad se usan y qué esperan de ello las partes interesadas.
- Política de IA y gobernanza. Compromiso de la dirección, criterios de uso aceptable y una función responsable con autoridad real.
- Análisis de riesgos de IA. No es el análisis de riesgos de seguridad de la información. Aquí se valoran sesgo, precisión, explicabilidad, robustez y consecuencias de un error del sistema.
- Evaluación de impacto sobre personas y sociedad. Requisito propio de esta norma, y el que más se parece a lo que pide el reglamento europeo para alto riesgo.
- Gestión del ciclo de vida. Desde la decisión de adoptar un sistema hasta su retirada, pasando por los datos con los que funciona y los cambios de versión.
- Competencia y concienciación. Que quien usa la IA sepa lo que está usando. Enlaza directamente con el deber de alfabetización del artículo 4 del reglamento.
- Auditoría interna, revisión por la dirección y mejora. Con registros, porque sin historial no hay certificación.
¿Cómo se certifica y cuánto tarda?
La certificación la emite una entidad acreditada tras una auditoría en dos fases, igual que el resto de normas de sistemas de gestión, y el certificado dura tres años con auditorías de seguimiento anuales. La fase uno revisa el diseño documental del sistema. La fase dos comprueba sobre el terreno que lo escrito se aplica y deja rastro.
El plazo realista en una empresa mediana que parte de cero va de seis a doce meses, y el cuello de botella no suele ser técnico. Es el inventario: descubrir qué herramientas de IA se están usando ya en la organización, muchas veces contratadas por áreas de negocio sin pasar por compliance ni por sistemas. Hasta que esa lista no está cerrada, no hay nada que analizar.
Un dato que conviene conocer antes de elegir certificadora: la ISO/IEC 42006:2025 fija los requisitos que deben cumplir los organismos que auditan y certifican sistemas de gestión de IA. Es lo que separa un certificado con valor de un papel bonito, así que merece la pena preguntar a la entidad por su acreditación bajo esa norma.
¿Le interesa la ISO 42001 a una empresa que solo usa IA de terceros?
Sí, y probablemente más de lo que parece. La norma no está pensada solo para quien desarrolla modelos. Está pensada para cualquier organización que tome decisiones apoyándose en IA, y ahí entra la empresa que usa un cribador de currículums, un motor de puntuación de riesgo o un asistente que redacta comunicaciones a clientes.
El argumento de compra suele ser externo. Cada vez más pliegos públicos y más contratos con grandes clientes incorporan preguntas sobre gobernanza de la IA, y responder «tenemos una política» ya no basta cuando el de enfrente pide evidencia. Es la misma dinámica que llevó a las pymes a certificar ISO 27001 sin estar obligadas a ello: no lo pedía la ley, lo pedía el cliente.
¿Cómo encaja con lo que ya tienes certificado?
Encaja bien y ese es uno de sus argumentos más sólidos. Comparte estructura con ISO 27001, con ISO 9001 y con la ISO 37301 de sistemas de gestión de compliance, así que el contexto, el liderazgo, la auditoría interna y la revisión por la dirección se integran en lugar de duplicarse.
La superposición más útil es con ISO 27001. Si ya tienes un sistema de seguridad de la información maduro, tienes hecha la parte de clasificación de activos, control de accesos y gestión de incidentes, y lo que añade la 42001 son los controles específicamente de IA. La superposición menos evidente, y la más valiosa a medio plazo, es con la protección de datos: casi todo sistema de IA que decide sobre personas trata datos personales, así que el trabajo se cruza con el del delegado de protección de datos desde el primer día.
¿Qué errores hacen que un proyecto de ISO 42001 se atasque?
Cuatro, y ninguno es técnico. Los cuatro tienen que ver con tratar la IA como un asunto de sistemas cuando es un asunto de decisiones de negocio.
- Inventariar por proveedor en lugar de por caso de uso. Pedir a sistemas la lista de licencias contratadas deja fuera la mitad de la IA en uso, porque buena parte entró dentro de suites que ya tenías o por iniciativa de un área concreta. La unidad correcta es la decisión, no el software.
- Copiar el análisis de riesgos de la ISO 27001. Comparten estructura, no contenido. Aquí se valoran sesgo, precisión, explicabilidad y consecuencias de un error del modelo, que no aparecen en un análisis de seguridad de la información por bueno que sea.
- Dejar la supervisión humana en el papel. Designar a alguien que valida todo lo que sale del sistema sin criterio ni autoridad para llevar la contraria no es supervisión, y un auditor lo detecta con dos entrevistas.
- Certificar antes de tener historial. La fase dos comprueba que el sistema opera, no que está diseñado. Sin varios meses de registros reales, la auditoría se convierte en una lista de no conformidades.
El antídoto de los cuatro es el mismo: empezar por el inventario de casos de uso y dejar que el resto se construya encima. Es también el punto donde más ayuda tener soporte de herramienta en lugar de hojas de cálculo, que es lo que abordamos desde nuestra área de ética y cumplimiento.
Preguntas frecuentes sobre la ISO 42001
¿La ISO 42001 es obligatoria?
No. Es una norma voluntaria. Lo que puede volverla exigible en la práctica es un pliego de contratación o un contrato con un cliente que la requiera a sus proveedores.
¿Certificarse en ISO 42001 me exime de cumplir el Reglamento de IA?
No. Son cosas distintas y el certificado no sustituye a la obligación legal. Lo que sí hace es dejarte la mayor parte del trabajo documental hecho y demostrar diligencia ante una autoridad, que no es poco.
¿Existe la norma en español?
Sí. UNE publicó la versión española como UNE-ISO/IEC 42001:2025. Es la referencia que conviene citar en documentación interna y en respuestas a pliegos en castellano.
¿Cuánto cuesta certificarse?
Tiene dos partidas independientes: el proyecto de implantación, que depende del tamaño y de la madurez previa de la organización, y la auditoría de certificación, que la entidad acreditada tarifica por jornadas de auditor según empleados y emplazamientos. Conviene pedirlas por separado para poder comparar ofertas.
¿Puede una pyme certificarse en ISO 42001?
Sí. El sistema se dimensiona según el perfil de riesgo y la complejidad de la organización. En una pyme el inventario de sistemas de IA es corto y la gobernanza simple, lo que reduce bastante el esfuerzo frente a una gran empresa.
¿Por dónde se empieza?
Por el inventario de sistemas de IA y su clasificación por riesgo. Es el paso común a la ISO 42001 y al Reglamento europeo, sirve para las dos cosas y es el único que no se puede saltar: sin saber qué tienes, no hay ni sistema de gestión ni cumplimiento posible.
Fuentes
- ISO/IEC 42001:2023, AI management systems (ISO)
- Sistemas de gestión de la IA (ISO)
- UNE publica en español el estándar global de IA para las empresas (UNE)
- Reglamento (UE) 2024/1689, Reglamento de Inteligencia Artificial (EUR-Lex)
