Cómo montar la ISO 42001 sobre un SGSI que ya funciona

Sí, se integran, y conviene hacerlo: la ISO/IEC 42001 comparte con la ISO/IEC 27001 la estructura armonizada de las normas de sistemas de gestión, así que los capítulos 4 a 10 (contexto, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora) se escriben una sola vez para los dos sistemas. Lo que no se reutiliza es el núcleo: el inventario de sistemas de IA, la evaluación de impacto sobre las personas afectadas y el control del ciclo de vida de los modelos no existen en un SGSI, por bien montado que esté. La integración bien hecha ahorra la mitad burocrática del proyecto y deja intacta la mitad técnica, que es donde está el trabajo real.

Esta guía asume que tienes un SGSI vivo, certificado o en camino, y que alguien (un cliente, un pliego, tu propio consejo) te ha pedido gobernanza de IA. Si aún estás decidiendo qué marco te toca primero, la herramienta para decidir entre ISO 27001 y ENS resuelve el orden en unos minutos. Si lo que buscas es la norma de IA por separado, la tienes explicada en la guía de la ISO 42001.

Qué comparten de verdad los dos sistemas

Las dos normas siguen la estructura armonizada de alto nivel que ISO aplica a sus estándares de sistemas de gestión: mismos números de capítulo, mismos títulos y buena parte del texto común, algo que la versión española de la norma de IA (UNE-ISO/IEC 42001:2025) declara de forma explícita. Puedes ampliar estos elementos en lugar de duplicarlos:

• Análisis del contexto y partes interesadas. El apartado que ya tienes se amplía con los grupos afectados por tus sistemas de IA, que rara vez coinciden con los interesados en la seguridad de la información: usuarios finales, personas sobre las que se decide, colectivos vulnerables.
• Liderazgo y política. Puedes mantener una política marco del sistema integrado con un anexo específico de IA, o dos políticas separadas que compartan el mismo acuerdo de aprobación por dirección. Las dos opciones son auditables; la primera envejece mejor.
• Roles y responsabilidades. El comité de seguridad se convierte en comité de seguridad y de IA, con dos o tres perfiles nuevos (producto, datos, legal) y las mismas actas.
• Competencia, formación y concienciación. Un solo plan de formación con módulos distintos. Además, la obligación de alfabetización en IA del Reglamento europeo se documenta con estas mismas evidencias.
• Información documentada, comunicación, no conformidades y acciones correctivas. Un procedimiento, un repositorio, un esquema de versiones. Cambian los disparadores, no el método.
• Auditoría interna y revisión por la dirección. Un solo programa anual y una sola acta, con apartados diferenciados. Si ya tienes rodado el ciclo de auditoría interna ISO, esto es extender el alcance del plan, no montar otro.

Quien haya pasado por un sistema integrado de gestión con 9001, 14001 y 45001 reconocerá el patrón: el esqueleto es común y lo específico vive en la operación y en los anexos de controles.

Qué no se reutiliza: lo que la 42001 añade de verdad

Aquí está el motivo por el que la integración no es un copiar y pegar. En un SGSI, el riesgo se mide sobre la confidencialidad, la integridad y la disponibilidad de la información de la organización. En un sistema de gestión de IA hay un segundo eje: el impacto que el sistema causa en las personas y en la sociedad. Un modelo seguro, cifrado y disponible puede seguir discriminando a un colectivo, y el SGSI no tiene forma de detectarlo. De ahí salen los cuatro bloques que hay que construir desde cero:

El inventario de sistemas de IA

No es el inventario de activos. Incluye los modelos propios, los de terceros y —esta es la trampa que más veces se ve— la IA embebida en el software que ya usas: el asistente del CRM, el resumen automático del gestor documental, el filtro del correo. Cada entrada necesita finalidad, datos que consume, decisiones que influye, proveedor y persona responsable.

La evaluación de impacto del sistema de IA

La norma pide valorar las consecuencias para individuos y grupos, no solo para el negocio. No es la evaluación de impacto relativa a los derechos fundamentales del artículo 27 del Reglamento (UE) 2024/1689, que es una obligación legal con un ámbito mucho más estrecho: alcanza a los responsables del despliegue que sean organismos de Derecho público o entidades privadas que presten servicios públicos, y a quienes desplieguen los sistemas del anexo III, punto 5, letras b) y c), y deja fuera el anexo III, punto 2. Son documentos parientes, no el mismo documento.

La gestión del ciclo de vida del modelo

Diseño, datos de entrenamiento y validación, pruebas, despliegue, seguimiento del comportamiento en producción, reentrenamiento y retirada. Un SGSI cubre el control de cambios del software; no cubre la deriva de un modelo que sigue funcionando pero decide cada vez peor.

Transparencia, supervisión humana y proveedores de IA

Qué se le cuenta a la persona afectada, quién puede parar o revertir una decisión automática y qué garantías te da quien te vende el modelo. En las diferencias entre el AI Act y la ISO 42001 para pymes está desarrollado el reparto entre obligación legal y norma voluntaria.

En cuanto a los anexos, los números marcan la distancia: la 27001 lleva 93 controles agrupados en cuatro temas y la 42001 trae 38 controles repartidos en nueve objetivos, más anexos informativos de orientación para la implantación, de objetivos y fuentes de riesgo, y de aplicación por dominios. Se solapan en gobernanza de datos, gestión de proveedores y gestión de incidentes; en todo lo demás, no.

La ruta de integración, paso a paso

1. Decide el alcance conjunto antes de tocar nada. El alcance del SGSI casi nunca sirve tal cual. Si tu certificado cubre «los servicios de desarrollo y soporte de la plataforma X» y la IA vive en tres productos, dos de ellos fuera de ese alcance, tienes que elegir entre ampliar el SGSI o declarar un alcance distinto para el sistema de IA. Los dos caminos son legítimos, el segundo complica la auditoría integrada y decidirlo tarde cuesta dinero.
2. Levanta el inventario de sistemas de IA. Antes que la política, antes que nada. Sin inventario no hay clasificación de riesgo, y sin clasificación no sabes qué parte del Reglamento europeo te aplica. Rastrea la IA de terceros con entrevistas por área y revisión de contratos SaaS: esa segunda pasada suele duplicar la primera lista.
3. Fusiona el análisis de riesgos en dos ejes. Mantén tu metodología. Si ya haces análisis de riesgos ISO 27001 con activos, amenazas y salvaguardas, añade una segunda dimensión de valoración para el impacto en las personas, con su escala y sus criterios de aceptación. Una matriz, dos ejes, un comité que la aprueba. El Reglamento de IA respalda esta forma de trabajar: su artículo 9, apartado 10, permite que los aspectos de gestión del riesgo de la IA formen parte de los procedimientos de gestión de riesgos ya establecidos por otra normativa de la Unión, o se combinen con ellos.
4. Dos declaraciones de aplicabilidad, un solo formato. No mezcles los 93 controles con los 38 en una tabla única: los auditores los revisan por separado y el mantenimiento se vuelve ingobernable. Replica el formato de tu declaración de aplicabilidad del SGSI en un documento gemelo para la IA, con la misma estructura de justificación de inclusión y exclusión. Cuando un control sea idéntico en los dos anexos, referéncialo en lugar de reescribirlo.
5. Integra la documentación operativa con criterio. Fusiona lo genérico, separa lo específico; el reparto está en la tabla siguiente.
6. Ensaya con una auditoría interna conjunta antes de llamar a la certificadora. Es el filtro que detecta lo que falta cuando todavía sale barato arreglarlo. Los hallazgos habituales en esta primera pasada son el inventario incompleto y la ausencia de evidencias de supervisión humana.

Documentación: qué fusionar y qué mantener aparte

Si ya recorriste la lista de documentos obligatorios de la ISO 27001, la disciplina es la misma: nada de documentos que nadie usa, todo con dueño y fecha de revisión.

La auditoría integrada, y una comprobación que casi nadie hace

Desde 2025 existe la norma ISO/IEC 42006, que fija los requisitos para los organismos que auditan y certifican sistemas de gestión de IA: es el equivalente de la 27006 en el mundo de la seguridad de la información. Su efecto práctico es que la certificación de IA deja de improvisarse. La certificadora necesita auditores con competencia acreditada en IA y tiempos de auditoría propios, que no salen gratis dentro de la visita del SGSI.

De ahí la comprobación que conviene hacer antes de firmar nada: pide a la entidad su alcance de acreditación por escrito y compruébalo en el buscador de acreditados de ENAC.

A 31 de julio de 2026, la ISO/IEC 27001 aparecía entre los esquemas de certificación de sistemas de gestión que ENAC describe en su web y la ISO/IEC 42001 no figuraba en esa descripción. Eso no significa que no se pueda certificar: significa que un certificado de IA puede estar emitido bajo la acreditación de otro organismo nacional, o sin acreditación, y que la diferencia importa cuando el cliente que te lo exige lea la letra pequeña. Es un dato que cambia rápido, así que compruébalo tú en el buscador antes de decidir, no lo des por bueno de esta guía; es el mismo cuidado que se aplica en el ENS, donde certificar solo lo puede hacer una entidad acreditada por ENAC.

La auditoría conjunta se planifica como una visita con dos alcances, un solo equipo auditor cuando la certificadora dispone de perfiles con las dos competencias, y un informe con apartados separados. El ahorro está en los desplazamientos, en las entrevistas comunes (dirección, personas, compras) y en la preparación interna, que se hace una vez.

Qué te resuelve esto frente al Reglamento europeo de IA (y qué no)

Un sistema de gestión de IA bien montado cubre buena parte de las obligaciones organizativas del Reglamento (UE) 2024/1689, y el propio texto invita a integrarlo: el artículo 17, apartado 3, permite a los proveedores sujetos a obligaciones de sistemas de gestión de la calidad por otra normativa sectorial de la Unión incluir en ellos los aspectos que exige ese artículo. La Comisión debe publicar directrices sobre la aplicación práctica de esos mecanismos de integración (artículos 8.2, 9.10 y 17.3) a más tardar el 1 de agosto de 2027.

Tres precisiones que cambian el plan de proyecto:

1. Las fechas se movieron. Tras el Reglamento (UE) 2026/1744, el capítulo III, secciones 1, 2 y 3, donde viven los requisitos de alto riesgo y el sistema de gestión de la calidad del artículo 17, se aplica desde el 2 de diciembre de 2027 para los sistemas de alto riesgo del artículo 6.2 y el anexo III, y desde el 2 de agosto de 2028 para los del artículo 6.1 y el anexo I. Hay margen, y es justo el que pide una integración hecha sin prisas.
2. Las pymes tienen una vía simplificada. Ese mismo Reglamento sustituyó el apartado 1 del artículo 63: cumplir de manera simplificada determinados elementos del sistema de gestión de la calidad, antes reservado a las microempresas, se extiende ahora a las pymes, incluidas las empresas emergentes, siempre que no tengan empresas asociadas o vinculadas en el sentido de la Recomendación 2003/361/CE. El nuevo artículo 17.2 las menciona además de forma expresa, junto a las pequeñas empresas de mediana capitalización, al exigir que la aplicación sea proporcional al tamaño de la organización.
3. Certificarse no da presunción de conformidad. La presunción del artículo 40 solo la otorgan las normas armonizadas cuyas referencias se publiquen en el Diario Oficial de la Unión Europea. La norma europea que desarrolla el sistema de gestión de la calidad del artículo 17 es la EN 18286, elaborada en el comité CEN-CENELEC JTC 21, y a 31 de julio de 2026 no constaba citada en el Diario Oficial, que es lo que decide jurídicamente. Comprueba ese punto antes de apoyarte en él, porque el estado de la norma avanza más deprisa que su publicación como armonizada. En cualquier caso, un certificado ISO 42001 es prueba documental sólida ante un cliente o una inspección; no sustituye al marcado CE, a la declaración de conformidad ni al registro cuando sean exigibles.

Cuánto trabajo extra supone de verdad

No hay una cifra honesta que valga para todos, porque el coste no lo marca la norma sino tres variables: cuántos sistemas de IA entran en el alcance, si desarrollas modelos propios o solo consumes IA de terceros, y cómo de vivo esté tu SGSI. Quien solo usa IA embebida en herramientas de terceros concentra el esfuerzo en el inventario, la evaluación de impacto y la gestión de proveedores. Quien entrena modelos propios sobre datos de clientes se enfrenta al ciclo de vida completo, que es un proyecto de ingeniería y no de documentación.

Partir de un SGSI certificado recorta calendario frente a empezar de cero, porque el esqueleto documental y la dinámica de auditoría ya existen, pero ese ahorro solo se materializa si integras de verdad: dos sistemas paralelos, con dos manuales, dos comités y dos auditorías, cuestan más que la suma de sus partes.

Cinco errores que se repiten en estas integraciones

1. Copiar la política de seguridad y cambiar «información» por «IA». Un auditor lo ve en la primera lectura: no dice nada sobre uso responsable, supervisión ni transparencia.
2. Meter los 38 controles de IA en la declaración de aplicabilidad del SGSI. Ahorra un documento y complica todos los ciclos siguientes.
3. Dejar fuera del inventario la IA de terceros. Es el hallazgo número uno. El asistente que resume las incidencias de atención al cliente es un sistema de IA en producción, aunque no lo compraras como tal.
4. Suponer que el comité de seguridad puede gobernar la IA sin perfiles nuevos. Las decisiones sobre sesgo, datos de entrenamiento o supervisión humana no las toma en solitario un responsable de sistemas.
5. Confundir la evaluación de impacto de la norma con la del artículo 27 del Reglamento. Ni el ámbito ni la naturaleza jurídica coinciden, y dar por cubierta la segunda con la primera deja un agujero a quienes sí están obligados.

Si además tratas datos personales con esos modelos, el siguiente movimiento es la extensión de privacidad ISO 27701 sobre el SGSI: las tres normas comparten esqueleto y se auditan juntas. El mapa completo está en el área de cumplimiento ISO.

Preguntas frecuentes

Fuentes

• Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial), artículos 9.10, 17, 27, 40, 42 y 43. Texto consolidado en EUR-Lex.
• Reglamento (UE) 2026/1744, por el que se modifica el Reglamento (UE) 2024/1689: nueva redacción de los artículos 11.1, 17.2, 43.3, 63.1 y 113, párrafo tercero.
• UNE · El estándar global de IA para las empresas, disponible en español (UNE-ISO/IEC 42001:2025), revista UNE n.º 80.
• ISO/IEC 42006:2025, requisitos para los organismos que auditan y certifican sistemas de gestión de inteligencia artificial.
• ENAC · Certificación de sistemas de gestión y buscador de entidades acreditadas (consultado el 31 de julio de 2026).
• CEN-CENELEC JTC 21 · programa de trabajo de normalización en apoyo del Reglamento de IA; estado de EN 18286.