ISO/IEC 27090, EN 18286 e IEEE 2863: las 3 nuevas normas de gobernanza de la IA de 2026 de un vistazo

Tres normas en tres días: por qué octubre de 2026 es clave para la gobernanza de la IA

Entre el 14 y el 16 de octubre de 2026 entraron en juego a la vez tres normas de gobernanza de la IA: ISO/IEC 27090:2026 se publicó el 14 de octubre, EN 18286:2026 se citó ese mismo día en el Diario Oficial de la UE como primera norma armonizada del Reglamento de IA, e IEEE 2863-2026 le siguió el 16 de octubre. Tres organismos, tres perspectivas y un mismo tema: ¿cómo desarrollan y operan las organizaciones la IA de forma segura, conforme y responsable?

Para las organizaciones que desarrollan o utilizan IA, merece la pena conocer las tres. Abordan niveles distintos –tecnología, regulación y organización– y se complementan en lugar de competir entre sí. Este artículo explica qué contienen las normas, a quién se aplican y qué conviene hacer ahora.

Las tres normas de un vistazo

ISO/IEC 27090:2026: ciberseguridad para sistemas de IA

ISO/IEC 27090:2026 es la primera norma internacional dedicada por completo a las amenazas de seguridad contra los sistemas de IA. Su título completo es Cybersecurity — Artificial intelligence (AI) — Addressing security threats and compromises to AI systems. La ha elaborado ISO/IEC JTC 1/SC 27, el comité responsable de ISO/IEC 27001. Ficha de la norma en ISO

El foco está en proteger los sistemas de IA, no en utilizar la IA para defenderse de otros ataques. La norma describe qué ataques son específicos de los modelos, los datos de entrenamiento y los flujos de trabajo de IA, cómo detectarlos y cómo contrarrestarlos a lo largo de todo el ciclo de vida. Entre ellos:

• Envenenamiento de datos (data poisoning): datos de entrenamiento manipulados que alteran el comportamiento del modelo
• Exfiltración de modelos: extracción de un modelo mediante consultas aparentemente legítimas
• Ataques de evasión, inferencia de pertenencia, inversión de modelos y envenenamiento directo de modelos
• Inyección de prompts, así como salidas del modelo sensibles o dañinas

ISO/IEC 27090 trata además temas transversales como el modelado de amenazas, el red teaming, el modelo de confianza cero, la seguridad de la cadena de suministro, el registro y la monitorización, y cómo envejecen con el tiempo los modelos y las salvaguardas. Su principio rector es la defensa en profundidad: varias capas de protección, porque algunos ataques contra la IA son difíciles de detectar. Explicación de ISO sobre ISO 27090

Una distinción importante: ISO/IEC 27090 es una guía, no una norma de requisitos certificable. Añade aspectos de seguridad propios de la IA a un SGSI existente conforme a ISO/IEC 27001 y a un sistema de gestión de la IA conforme a ISO/IEC 42001. Para los equipos de seguridad, es el punto de partida natural para incorporar los riesgos de la IA a los procesos existentes. Más información en ISO 27090 explicada para equipos de seguridad de la IA y en ISO 27090 frente a ISO 42001: diferencias explicadas.

EN 18286:2026: el sistema de gestión de la calidad para el Reglamento de IA de la UE

EN 18286:2026 es la primera norma armonizada del Reglamento de IA de la UE y, por tanto, la de mayor peso jurídico de las tres. CEN y CENELEC publicaron Artificial intelligence – Quality management system for EU AI Act regulatory purposes en julio de 2026. El 14 de octubre de 2026, la Comisión Europea la citó en el Diario Oficial de la UE mediante la Decisión de Ejecución (UE) 2026/2274.

Esa cita es el paso decisivo. Según el artículo 40 del Reglamento de IA, los proveedores que aplican una norma armonizada publicada en el Diario Oficial se benefician de una presunción de conformidad respecto de los requisitos que esta cubre. En concreto, se trata del artículo 17: los proveedores de sistemas de IA de alto riesgo deben mantener un sistema de gestión de la calidad documentado. Según el calendario actualizado, esta obligación se aplica a partir del 2 de diciembre de 2027 a los sistemas de alto riesgo enumerados en el anexo III y a partir del 2 de agosto de 2028 a los sistemas de alto riesgo integrados en productos regulados del anexo I. Calendario del Reglamento de IA de la Comisión Europea EN 18286 convierte esa obligación en requisitos auditables, entre ellos:

• Controles de diseño y desarrollo
• Gestión de riesgos y gestión de datos
• Documentación y registros
• Vigilancia poscomercialización y gestión de incidentes

Las organizaciones deben tener presentes tres cosas. Primero: aplicar la norma sigue siendo voluntario; la conformidad puede demostrarse por otras vías, aunque sin la presunción. Segundo: la presunción solo abarca los requisitos que la norma trata realmente, no todo el Reglamento de IA. Tercero: ISO/IEC 42001 no es un sustituto. La norma internacional para sistemas de gestión de la IA es certificable, pero no es una norma armonizada y no genera presunción de conformidad. Las organizaciones que ya operan un sistema conforme a 42001 parten de una buena base, pero deben contrastar sus procesos con EN 18286. Nemko Digital sobre EN 18286

Hay otras normas armonizadas en preparación sobre gestión de riesgos, calidad de los datos, transparencia, supervisión humana y ciberseguridad, pero todavía no se han citado. Hoy por hoy, EN 18286 es la única referencia del Reglamento de IA en el Diario Oficial. Para saber cómo clasificar sus casos de uso de IA conforme al Reglamento, lea Reglamento de IA de la UE: clasifique sus casos de uso y planifique las evidencias.

IEEE 2863-2026: gobernanza organizativa de la IA

IEEE 2863-2026 se sitúa un nivel más arriba: en la cuestión de cómo gobierna una organización en su conjunto la IA de forma responsable. La IEEE Standards Association publicó la IEEE Recommended Practice for Organizational Governance of Artificial Intelligence el 16 de octubre de 2026, tras más de seis años de desarrollo (inicio del proyecto en febrero de 2020, aprobación por el consejo en junio de 2026). Página de la norma en IEEE SA

La norma se dirige al órgano de gobierno de la organización –la alta dirección, el consejo de administración o el consejo de supervisión– y se articula en tres bloques:

1. Principios de gobernanza que el órgano debe priorizar
2. Procesos que llevan esos principios a la práctica
3. Casos prácticos de aplicaciones concretas de IA que muestran cómo los procesos aplican los principios, incluida la forma de resolver conflictos entre principios

Los temas clave que señala IEEE van desde la rendición de cuentas, la transparencia, la explicabilidad y la supervisión humana, pasando por la privacidad, la seguridad y la no discriminación, hasta la sostenibilidad y el bienestar. En el plano de los procesos incluyen la auditoría, el red teaming, la respuesta a incidentes, la supervisión del ciclo de vida, la gestión de la cadena de valor, el desarrollo de competencias y la participación de las partes interesadas.

Como Recommended Practice, IEEE 2863 formula recomendaciones, no requisitos certificables. Su valor reside en tender un puente entre principios éticos abstractos y procesos de decisión concretos en el nivel directivo. También describe cómo deben tratar las organizaciones los instrumentos de gobernanza externos: la regulación, las normas profesionales, los códigos de conducta y las expectativas públicas sobre una IA responsable.

Cómo encajan las tres normas

Las tres normas abordan tres niveles que en la práctica se solapan:

ISO/IEC 42001 es una base común natural. El sistema de gestión de la IA aporta la estructura en la que pueden encajarse los principios de gobernanza (IEEE 2863), los requisitos regulatorios del sistema de gestión de la calidad (EN 18286) y las medidas de seguridad (ISO/IEC 27090). EN 18286 está alineada estructuralmente con ISO/IEC 42001 sin sustituirla; ISO/IEC 27090 remite a 42001 como marco de gestión; IEEE 2863 describe el nivel de gobernanza que está por encima. Quien trata las tres normas por separado construye los mismos procesos tres veces; quien las trata como capas de un único sistema ahorra esfuerzo y evita contradicciones.

Qué deben hacer ahora las organizaciones

Las prioridades dependen de su papel en la cadena de valor de la IA:

• Proveedores de IA de alto riesgo en la UE: adquieran EN 18286 y realicen un análisis de brechas frente a su sistema de gestión de la calidad actual. Si ya trabajan conforme a ISO 9001, ISO 13485 o ISO/IEC 42001, pueden integrar los elementos del Reglamento de IA, pero deben documentar la correspondencia.
• Equipos de seguridad: inventaríen los sistemas de IA, incluidos los que proceden de terceros. Aclaren de dónde vienen los datos y los modelos, amplíen el modelado de amenazas a los ataques específicos de la IA y comprueben cómo se detectaría y gestionaría un comportamiento sospechoso de un modelo. ISO/IEC 27090 ofrece la lista de comprobación.
• Alta dirección y consejos de supervisión: utilicen IEEE 2863 como marco para un mandato de gobernanza de la IA: fijen principios, asignen responsabilidades, definan las líneas de reporte y decidan de forma explícita los compromisos entre objetivos.
• Todos: estén atentos a nuevas normas armonizadas. EN 18286 es solo el comienzo; seguirán normas sobre gestión de riesgos, ciberseguridad y registro.

ISO/IEC 27090 y EN 18286 son de pago: ISO/IEC 27090 a través de la ISO Store, EN 18286 a través de los organismos nacionales de normalización (en Alemania, DIN Media). IEEE 2863 está disponible gratuitamente a través del IEEE GET Program, o puede adquirirse o consultarse mediante suscripción a través de IEEE SA.

Conclusión

Octubre de 2026 marca el paso de la gobernanza de la IA de los principios a las normas auditables. ISO/IEC 27090 concreta la seguridad de la IA, EN 18286 da al Reglamento de IA de la UE su primera norma armonizada con presunción de conformidad e IEEE 2863 ancla la gobernanza de la IA en el nivel directivo. Quien conoce las tres puede tratar la seguridad, el cumplimiento y la rendición de cuentas como un único sistema, en lugar de como tres proyectos separados.

Fuentes

• ISO/IEC 27090:2026: ficha del catálogo y ISO/IEC 27090 explained (ISO)
• Decisión de Ejecución (UE) 2026/2274 (EUR-Lex)
• EN 18286: EU AI Act Cites New Harmonized QMS Standard (Nemko Digital, 16 de octubre de 2026)
• IEEE 2863-2026: página de la norma (IEEE SA)