ISO 42001.
Organizar la responsabilidad sobre IA, los riesgos y las decisiones operativas en un sistema de gestión y comprender los límites de su acreditación.
- ISO/IEC 42001:2023
- Por Jonathan Bezdek
- Actualizado: 22/10/2026
- Tiempo de lectura: 8 min.
Respuesta breve.
ISO 42001 es la norma internacional de requisitos de sistemas de gestión de IA, o AIMS. ISO/IEC 42001:2023 se dirige a organizaciones que desarrollan, ofrecen o utilizan IA. Ordena responsabilidades, riesgos y mejora continua. Una certificación voluntaria independiente evalúa el sistema dentro de su ámbito definido; no autoriza de forma general todas las aplicaciones de IA.
ISO 42001 y el sistema de gestión de IA.
Un sistema de gestión de IA conecta objetivos organizativos con decisiones fiables sobre el uso de inteligencia artificial. El AIMS describe quién responde, qué información necesita una decisión y cómo la experiencia genera mejoras. ISO/IEC 42001:2023 es la primera edición internacional, de diciembre de 2023; el registro público de publicaciones de ISO sigue presentándola como publicada.
La norma examina la organización y su gestión de la IA. Esto distingue un AIMS de una prueba individual de un modelo, una autorización de producto o un examen exclusivo del código fuente. Un buen resultado de prueba puede apoyar una decisión; además, debe seguir siendo trazable quién responde del uso bajo qué condiciones y cómo se evalúan los cambios.
La explicación pública de ISO sobre ISO 42001, apartado 3, distingue el apoyo al cumplimiento de obligaciones legales de su cumplimiento real. Un sistema de gestión crea procedimientos para ello, pero no sustituye el examen del marco jurídico concreto. Además, las adopciones europeas o nacionales con otro año deben distinguirse de la edición internacional básica.
A quién se dirige ISO 42001.
ISO 42001 también se dirige a organizaciones que adquieren IA de otros proveedores. Las descripciones públicas de ISO e IEC mencionan desarrollo, suministro y uso con independencia del tamaño o sector. Por ello, un prestador de servicios con herramientas de IA adquiridas puede establecer un AIMS sin entrenar un modelo fundacional propio.
El ámbito adecuado se deriva de las actividades reales. Aclare, por ejemplo, qué servicios, equipos, sedes y decisiones se examinarán y qué dependencias existen de modelos externos. Un comienzo acotado facilita organizar el trabajo; aun así, deben ser visibles las interfaces y los efectos fuera de ese límite.
Los clientes pueden esperar un alcance de certificación determinado. Pregunte pronto si la acreditación debe cubrir el desarrollo de un servicio, su operación o el uso interno. El nombre de la organización en un certificado por sí solo todavía no explica qué actividad de IA se evaluó realmente.
Los requisitos de ISO 42001 de un vistazo.
Los requisitos conectan dirección y objetivos con el trabajo de riesgos de IA, los procedimientos operativos y la mejora. Los seis ámbitos siguientes son una orientación editorial basada en la explicación pública de ISO, no una reproducción completa de la norma ni de sus anexos.
Aclarar el mandato y la responsabilidad.
La dirección orienta el trabajo de IA y asigna responsabilidades. Para la implantación práctica, las áreas funcionales, desarrollo, compras y funciones de control deben poder identificar qué decisiones pueden tomar y cuándo deben participar otros. Un coordinador central no sustituye la responsabilidad funcional de cada participante.
Conectar los objetivos y las expectativas.
El sistema de gestión necesita una relación trazable con los objetivos de la organización y las expectativas de las partes afectadas. Describa para el uso elegido qué resultado se pretende y qué límites se aplican. Así, los responsables podrán evaluar después si un cambio sigue ajustándose a la finalidad aprobada.
Valorar los riesgos y los impactos.
El trabajo de riesgos de IA también considera las posibles consecuencias para personas y grupos. La descripción pública de la norma complementaria ISO/IEC 42005:2025 aclara esta perspectiva durante el ciclo de vida. En la práctica, ayuda separar los daños operativos de los impactos en los afectados, para que los buenos indicadores de rendimiento no oculten perjuicios relevantes.
Gestionar datos, proveedores y ciclo de vida.
La responsabilidad se extiende más allá de la primera implantación. Documente las fuentes de datos, los servicios externos y las vías de cambio relevantes para su uso, de modo que las decisiones posteriores se basen en la versión correcta. Una actualización de un modelo adquirido puede requerir nuevas evaluaciones u otros límites de uso.
Proporcionar competencia e información.
Los participantes necesitan información acorde con su tarea. Un equipo de compras necesita fundamentos de decisión distintos de los de quienes evalúan resultados de IA durante la operación. Documente de forma comprensible las responsabilidades, los límites conocidos y las vías de escalado, y compruebe si esta información llega al uso real.
Evaluar y mejorar.
Un AIMS solo sigue siendo sólido si la experiencia y las desviaciones detectadas conducen a decisiones verificables. Por ello, examine la operación y la eficacia de sus procedimientos. Para cada mejora, debe poder identificarse quién responde, qué resultado se espera y sobre qué se basará la evaluación posterior.
Establecer un sistema de gestión de IA.
Delimitar los casos de uso.
Como primer paso práctico, registre un servicio concreto de IA con su finalidad, participantes y dependencias importantes, en lugar de limitarse a enumerar los nombres de modelos adquiridos.
Definir las facultades de decisión.
Designe responsables del uso, los cambios técnicos y la evaluación y acuerde qué decisiones toman conjuntamente la dirección, las áreas funcionales y las funciones de control.
Examinar riesgos y consecuencias.
Evalúe, según el contexto real de uso, los posibles efectos adversos y los grupos afectados, y determine qué información adicional falta para tomar una decisión sólida.
Operar procedimientos y evidencias.
Implante medidas adecuadas y conecte aprobaciones, pruebas, información de proveedores y observaciones operativas con el servicio y la versión evaluados en cada caso.
Evaluar internamente.
Examine la implantación con suficiente distancia respecto al propio trabajo y documente qué desviaciones, decisiones pendientes y mejoras se abordarán antes de la siguiente aprobación.
Mantener la operación y la acreditación.
Planifique reevaluaciones periódicas y, en su caso, una certificación independiente, y reaccione también entre las fechas previstas ante cambios en modelos, tareas o impactos.
Qué acredita la certificación ISO 42001.
Una certificación ISO 42001 confirma la conformidad evaluada del AIMS dentro de su ámbito indicado. Según la explicación pública de ISO, apartado 7, es voluntaria y la realizan organismos de certificación independientes. ISO desarrolla la norma, pero no emite certificados.
La competencia del organismo evaluador es una cuestión propia. Según la descripción pública de ISO, ISO/IEC 42006:2025 complementa los requisitos de los organismos que auditan y certifican sistemas de gestión de IA. Al seleccionarlos, examine el alcance de actividad adecuado y el estado de acreditación, como recomienda la página de ISO sobre certificación.
Una acreditación presentada debe ajustarse a la decisión actual. Compruebe ámbito, organismo emisor, estado y datos indicados de validez. Los registros operativos y las evaluaciones técnicas siguen siendo necesarios para valorar aplicaciones concretas de IA; un certificado AIMS no les otorga una autorización general de seguridad o legalidad.
ISO 42001 y otros marcos.
ISO 27001 organiza la seguridad de la información y puede aportar procedimientos existentes al trabajo de IA. NIST AI RMF apoya el análisis de riesgos de IA según el contexto, mientras que el Reglamento de IA de la UE establece funciones y obligaciones legales propias. ISO 9001 ofrece otro contexto de sistema de gestión para procedimientos comunes de control de procesos y mejora; se mantiene el objeto especializado de evaluación de cada marco.
- ISO 27001Entender los requisitos de gestión de seguridad de la información.
- NIST AI RMFComprender el trabajo voluntario de riesgos de IA en su contexto de uso.
- Reglamento de IA de la UEExaminar por separado las funciones jurídicas, la clasificación y las obligaciones aplicables.
- ISO 9001Entender la gestión de la calidad y los procedimientos comunes de gestión.
En Secani.
Secani incluye un catálogo editorial de trabajo sobre ISO/IEC 42001:2023. Los datos del perfil recogen, entre otros, la función de proveedor o usuario, modelos externos, datos personales de IA y posibles impactos. Las decisiones justificadas de aplicabilidad ayudan a vincular el trabajo al contexto descrito. El catálogo es una herramienta y no sustituye ni el acceso legal a la norma, ni la evaluación especializada, ni la certificación independiente.
Siguiente paso.
Elija un caso de uso de IA y reúna su finalidad, persona responsable, dependencias significativas y aprobación existente. Examine después si otra persona puede identificar sobre qué base se autorizó el uso y cuándo debe reevaluarse la decisión. Así se obtiene un comienzo concreto para el sistema de gestión.
Preguntas frecuentes.
Sí. El ámbito general también incluye organizaciones que utilizan productos o servicios de IA de otros proveedores. Son decisivas la actividad propia y el ámbito definido del sistema de gestión.
No. La certificación evalúa el sistema de gestión de IA dentro de su ámbito. La seguridad e idoneidad de aplicaciones concretas siguen necesitando evaluaciones técnicas y funcionales adecuadas.
No. El AIMS puede apoyar la organización de evidencias, pero no sustituye el examen jurídico de funciones y aplicabilidad. Los procedimientos de evaluación exigidos por ley deben seguir respetándose por separado.
No. La certificación es una decisión voluntaria e independiente. Una organización puede establecer y mejorar su responsabilidad sobre IA y sus procedimientos operativos antes de una evaluación externa.
Organizar la responsabilidad sobre IA de forma trazable.
Hable con Secani sobre cómo conectar contexto, decisiones y evidencias.
Esta página presenta la norma en términos generales. Son determinantes la versión vigente de la norma y los requisitos del marco jurídico y de evaluación correspondiente.