ISO 27090 frente a ISO 42001: diferencias explicadas
Jonathan BezdekCTO
5 Min. de lectura
ISO 27090 orienta el trabajo de seguridad de la IA. ISO 42001 establece los requisitos de un sistema de gestión de la inteligencia artificial (SGIA). Las organizaciones pueden utilizarlas conjuntamente para conectar las prácticas de seguridad con una gobernanza de la IA más amplia. Fuentes: ficha de publicación de ISO 27090, ficha de publicación de ISO 42001.
ISO 27090 frente a ISO 42001 de un vistazo
| Comparación | ISO 27090 | ISO 42001 |
|---|---|---|
| Finalidad principal | Proteger los sistemas de IA frente a amenazas de seguridad | Organizar el desarrollo y el uso responsables de la IA |
| Tipo de norma | Directrices de seguridad | Requisitos de un sistema de gestión de la IA |
| Pregunta práctica | ¿Cómo podría verse comprometido este sistema de IA? | ¿Cómo gobernamos la IA de forma coherente en toda la organización? |
| Enfoque principal | Amenazas a los datos, modelos y flujos de trabajo de IA | Políticas, responsabilidades, riesgos, objetivos y mejora en materia de IA |
| Ejemplos de preocupaciones | Envenenamiento de datos, robo de modelos y ataques relacionados | Seguridad, protección, transparencia, sesgo y otros riesgos de la IA |
| Certificación | Directrices; no establece una vía de certificación de un SGIA | Certificación voluntaria del SGIA de la organización |
| Quién puede utilizarla | Organizaciones que desarrollan o utilizan IA | Organizaciones que desarrollan, suministran o utilizan IA |
| Edición vigente | ISO/IEC 27090:2026 | ISO/IEC 42001:2023 |
| Primera publicación | 14 de octubre de 2026 | 18 de diciembre de 2023 |
Fuentes: ficha de publicación de ISO 27090, ficha de publicación de ISO 42001 y explicación de ISO 42001 por ISO.
Sus ámbitos se solapan. ISO 42001 incluye la seguridad de la IA entre otras preocupaciones organizativas más amplias. ISO 27090 también aborda la gobernanza en el contexto de la seguridad de la IA. Sus distintas finalidades explican cómo pueden complementarse. Fuentes: explicación de ISO 42001 por ISO, explicación de ISO 27090 por ISO.
Certificación ISO 27090 e ISO 42001
La certificación ISO 42001 evalúa si el sistema de gestión de la IA de una organización cumple los requisitos de la norma. La certificación la realizan organismos de certificación independientes; ISO no certifica organizaciones. Cada aplicación de IA sigue necesitando su propia evaluación de seguridad. Fuente: explicación de ISO 42001 por ISO.
Cuando encargue un trabajo basado en ISO 27090, defina la revisión de seguridad que necesita: qué sistemas, qué escenarios de ataque y qué evidencias respaldarán las conclusiones. Así la evaluación tendrá un alcance concreto y un resultado útil.
Qué norma debe utilizar
Elija en función del problema que necesita resolver. Esta tabla es una guía práctica para decidir.
| Su situación | Dónde centrarse | Siguiente paso recomendado |
|---|---|---|
| El uso de la IA no tiene responsables ni reglas claros | ISO 42001 | Establecer la rendición de cuentas, una política y un proceso de revisión |
| Un modelo o una aplicación se enfrenta a riesgos de ataque concretos | ISO 27090 | Analizar los escenarios de ataque y seleccionar las salvaguardas que se probarán |
| Un cliente solicita la certificación del sistema de gestión de la IA | ISO 42001 | Definir el alcance de la certificación y evaluar el grado de preparación |
| Existe gobernanza de la IA, pero las evidencias de seguridad son débiles | Añadir las directrices de ISO 27090 | Conectar los riesgos de seguridad con los controles y los resultados de las pruebas |
| Está lanzando un servicio de IA y construyendo la gobernanza | Utilizar ambas conjuntamente | Coordinar las responsabilidades de gestión y el trabajo de seguridad en un único programa |
Un problema urgente de seguridad de una aplicación merece atención inmediata. Un programa de gobernanza más amplio puede desarrollarse en paralelo al trabajo necesario para abordar esa exposición.
Cómo utilizar ISO 27090 e ISO 42001 conjuntamente
Por ejemplo, una empresa que introduce un asistente de soporte basado en IA podría coordinar su trabajo de la siguiente manera. Se trata de decisiones de implementación a modo ilustrativo.
| Actividad | Cómo puede estructurar el trabajo ISO 42001 | Cómo puede orientar ISO 27090 el trabajo de seguridad |
|---|---|---|
| Planificar el servicio | Asignar un responsable y acordar su finalidad | Identificar los activos sensibles y las vías de ataque |
| Revisar a los proveedores | Registrar las responsabilidades y los criterios de revisión | Examinar la exposición a través de modelos, datos y dependencias |
| Aprobar la puesta en producción | Registrar las decisiones sobre riesgos y quién las aprueba | Probar los ataques pertinentes y las salvaguardas de la aplicación |
| Gestionar los cambios | Revisar los resultados y decidir mejoras | Volver a evaluar la seguridad cuando cambien los modelos, los datos o las integraciones |
Mantenga un único registro por sistema de IA, con enlaces a sus responsables, riesgos, controles, pruebas y decisiones. Reutilice las evidencias cuando sean pertinentes y registre qué criterios de evaluación respaldan.
Por ejemplo, una prueba de seguridad puede mostrar si se bloqueó una acción restringida. El registro de revisión asociado puede mostrar quién evaluó ese resultado y decidió si el sistema estaba listo para su puesta en producción. Ambos registros son útiles y responden a preguntas distintas.
Para saber cómo se relaciona ISO 42001 con el NIST AI RMF y el Reglamento de IA de la UE, consulte ISO 42001, NIST AI RMF y el Reglamento de IA: conecte sus funciones.
Preguntas frecuentes
¿Sustituye ISO 27090 a ISO 42001?
No. Tienen finalidades distintas: directrices de seguridad de la IA y requisitos de un sistema de gestión de la IA.
¿Pueden aplicarlas las organizaciones que utilizan IA de terceros?
Sí. Ambas normas se dirigen a organizaciones que utilizan IA.
¿Demuestra la certificación ISO 42001 que todas las aplicaciones de IA son seguras?
No. Evalúa el SGIA. La seguridad de las aplicaciones sigue necesitando su propia evaluación.
Fuentes: explicación de ISO 27090 por ISO y explicación de ISO 42001 por ISO.
Conecte la gobernanza de la IA con las evidencias de seguridad
Empiece por el resultado que necesita: una rendición de cuentas más clara sobre la IA, una mayor seguridad de las aplicaciones o una combinación de ambas. Asigne un responsable al trabajo y decida qué evidencias demostrarán el progreso.
Secani conecta requisitos, riesgos, controles, evidencias, responsables y decisiones de revisión en un único espacio de trabajo. Hable con Secani para organizar su trabajo de gobernanza y seguridad de la IA.
Crea flujos de cumplimiento auditables
Secani conecta Scopes, evidencias, tareas y agentes de IA en un espacio de trabajo compartido.
Artículos relacionados
Todos los artículosGobernanza de IA
ISO 27090 explicada para equipos de seguridad de la IA
Una guía práctica sobre la nueva norma de ciberseguridad para la IA, los ataques que aborda y las evidencias que pueden utilizar los equipos de seguridad.
Gobernanza de IA
ISO 42001, NIST AI RMF y el Reglamento de IA: conecte sus funciones
Utilice los sistemas de gestión de la IA y los marcos de riesgo para organizar la gobernanza, y evalúe por separado los requisitos jurídicos del Reglamento de IA.
Gobernanza de IA
Reglamento de IA de la UE: clasifique sus casos de uso y planifique las evidencias
Un enfoque actualizado y basado en roles para prepararse para el Reglamento de IA, que incluye el calendario revisado de la Comisión, la evaluación del alto riesgo y una gobernanza con responsables claros.