ISO/IEC 42001: qué es, paraqué sirve y por quéimporta en 2026

ISO/IEC 42001:2023 es la primera norma internacional que establece los requisitos para implementar, mantener y mejorar un sistema de gestión de inteligencia artificial (AIMS, por sus siglas en inglés). Publicada por ISO e IEC en diciembre de 2023, es el primer estándar global certificable dedicado exclusivamente a la gobernanza de la IA.

En un contexto donde la inteligencia artificial se integra en procesos críticos —desde decisiones crediticias hasta diagnóstico médico asistido—, la ausencia de un marco de gestión estructurado genera riesgos operativos, legales y reputacionales. ISO 42001 traduce principios éticos abstractos en políticas verificables, roles definidos y rutinas de monitoreo auditables.

La norma adopta la Estructura de Alto Nivel (HLS) de ISO: comparte la misma arquitectura de 10 cláusulas que ISO 9001, ISO 14001, ISO 27001 y otras normas de sistemas de gestión. Para organizaciones que ya cuentan con alguna certificación ISO, buena parte de la documentación y los procesos resultan reutilizables.

Tres factores convergen. El EU AI Act incorpora obligaciones de conformidad, registro y documentación técnica para sistemas de IA de alto riesgo, con un calendario escalonado: las obligaciones de transparencia del artículo 50 aplican desde el 2 de agosto de 2026, los sistemas de alto riesgo del Anexo III desde el 2 de diciembre de 2027 y los del Anexo I desde el 2 de agosto de 2028. En paralelo, marcos regulatorios de IA avanzan en Brasil, Colombia, Chile y México. Y las cadenas de suministro europeas y norteamericanas empiezan a exigir gobernanza de IA a sus proveedores latinoamericanos.

El EU AI Act es relevante para cualquier empresa que desarrolle, distribuya o utilice sistemas de IA que impacten a ciudadanos de la Unión Europea, sin importar dónde esté domiciliada. ISO 42001 no reemplaza al Reglamento ni constituye por sí sola una presunción de conformidad — no es una norma armonizada europea; esa vía avanza por la norma EN 18286 elaborada en CEN-CENELEC, y solo su citación en el Diario Oficial de la UE otorgará presunción de conformidad —, pero un sistema de gestión bajo ISO/IEC 42001 puede apoyar la demostración de cumplimiento de forma sistemática y auditable.

ISO 42001 sigue las cláusulas 4 a 10 de la HLS: contexto de la organización, liderazgo, planificación, soporte, operación, evaluación del desempeño y mejora. A esto suma dos anexos específicos de IA.

El Anexo A define controles de referencia organizados en dominios que cubren el ciclo de vida de un sistema de IA: políticas de IA, organización interna, recursos, evaluación de impacto, desarrollo y adquisición, operación, relaciones con terceros, datos para sistemas de IA y uso responsable (transparencia, explicabilidad, equidad, supervisión humana). El Anexo B aporta orientación de implementación para cada control.

Para quien ya cuenta con ISO 27001, la lógica resulta familiar: cuerpo principal de cláusulas más Anexo A de controles y Declaración de Aplicabilidad. La diferencia es que los controles se orientan a riesgos propios de la IA —sesgo, explicabilidad, supervisión humana— en lugar de riesgos de seguridad de la información.

El Reglamento Europeo de Inteligencia Artificial (Reglamento 2024/1689) clasifica los sistemas de IA en cuatro niveles de riesgo: inaceptable, alto, limitado y mínimo. Para los sistemas de alto riesgo del Anexo III —IA en recursos humanos, crédito, salud, educación, infraestructura crítica y aplicaciones judiciales— los requisitos de conformidad aplican desde el 2 de diciembre de 2027; para los sistemas de alto riesgo embebidos en productos regulados del Anexo I, desde el 2 de agosto de 2028.

ISO 42001 se alinea con varios requisitos del Reglamento: el sistema de gestión de riesgos del artículo 9 se apoya en la cláusula 6 y en la evaluación de impacto; la gobernanza de datos del artículo 10, en el dominio de datos para sistemas de IA; la documentación técnica del artículo 11, en la cláusula 7.5; la transparencia y la supervisión humana, en el dominio de uso responsable.

El Reglamento sigue siendo la fuente legal; ISO 42001 aporta el marco de gestión auditable que ayuda a evidenciar diligencia. Para organizaciones latinoamericanas que exportan a Europa, ese marco constituye una base sólida para demostrar que existe un sistema de gestión de IA robusto.

ISO 42001 es relevante para cualquier organización que desarrolle, provea o utilice sistemas de IA, con perfiles donde el valor es especialmente claro. Empresas de software latinoamericanas que venden productos con componentes de IA a clientes europeos encuentran en la evidencia de gobernanza una señal de preparación proactiva ante auditorías o due diligence.

Instituciones financieras que usan IA para scoring crediticio, detección de fraude o pricing operan sistemas que califican como alto riesgo bajo el EU AI Act. Lo mismo aplica a organizaciones de salud y farmacéuticas con IA en diagnóstico asistido o análisis de imágenes, donde la gobernanza de IA es requisito regulatorio en múltiples jurisdicciones. Los proveedores de plataformas y servicios de IA la usan para demostrar a sus clientes que operan bajo un marco verificable.

Que ISO/IEC 42001 sea una norma certificable no demuestra que un organismo específico la ofrezca ni que lo haga dentro de un alcance acreditado vigente. Esa condición debe comprobarse en la fuente pública aplicable antes de cualquier comunicación comercial.

Una nota sobre alcance: G-CERTI aborda hoy ISO/IEC 42001 únicamente como formación y contenido técnico orientativo. No presenta una oferta de certificación para esta norma; cualquier cambio de estado exige alcance formal vigente y evidencia pública verificable.

Un sistema de gestión de IA auditado facilita el acceso a mercados regulados, porque demuestra gobernanza ante reguladores europeos, norteamericanos y latinoamericanos. Aporta un marco documentado para responder ante incidentes, auditorías regulatorias o litigios, y reduce así la exposición legal.

También construye confianza: la evidencia verificable de IA responsable diferencia a la organización en licitaciones y procesos de selección de proveedores. Y como comparte estructura con ISO 9001, ISO 27001 e ISO 27701, se integra con sistemas existentes sin duplicar esfuerzos, dejando los procesos de IA documentados, trazables y con mejora continua incorporada.