ISO 42001:2023 es el primer estándar de Sistema de Gestión de IA (AIMS): gobernanza, ética y vía directa al compliance del EU AI Act.
¿Qué incluye un Sistema de Gestión de IA ISO 42001?
Diez componentes. (1) Política de IA aprobada por dirección. (2) Análisis de contexto y partes interesadas (stakeholders impactados por la IA). (3) Evaluación de impacto sobre derechos fundamentales (FRIA). (4) Identificación y clasificación de sistemas IA por riesgo. (5) Gestión del ciclo de vida (diseño, datos, entrenamiento, despliegue, monitoreo, retirada). (6) Supervisión humana operativa. (7) Transparencia y explicabilidad. (8) Datos de entrenamiento y validación (calidad, sesgo, gobernanza). (9) Gestión de proveedores IA. (10) Mejora continua + revisión por dirección.
¿Cuál es la relación entre ISO 42001 y el EU AI Act?
Son complementarios. EU AI Act es obligatorio (regulación UE); ISO 42001 es voluntario. ISO 42001 ofrece el cómo implantar el sistema de gestión que el AI Act exige. Para sistemas de alto riesgo (Anexo III) del AI Act, ISO 42001 cubre el ~80 % de las obligaciones organizativas. La auditoría externa ISO 42001 es prueba documental sólida ante una inspección AESIA.
¿Cuánto cuesta certificarse ISO 42001 en 2026?
Mercado naciente en España. Pyme 20-50 emp: consultoría 10.000-18.000 € + auditoría externa 3.500-6.500 € + mantenimiento 3.000-5.500 €/año. Pyme 50-200 emp: consultoría 18.000-30.000 € + auditoría 5.500-9.500 € + mantenimiento 5.500-9.000 €/año. Plazo implantación 5-8 meses. Por ser estándar joven, ser una de las primeras empresas españolas certificadas tiene valor comercial alto (RFP de cliente exigente).
Caso real: una consultora tecnológica se certifica ISO 42001
Una consultora de desarrollo de software con sede en Valencia, 70 empleados y 6,2 M€ de facturación, integró modelos de IA en tres productos propios: un asistente de atención al cliente, un motor de scoring documental y una herramienta de análisis predictivo para clientes del sector retail. Dos de sus mayores cuentas, ambas multinacionales, empezaron a exigir en sus RFP evidencias de gobernanza de IA. La dirección decidió certificarse en ISO 42001 para no quedar fuera de futuras licitaciones.
El proyecto se presupuestó en 34.500 €: 21.000 € de consultoría para diseñar el Sistema de Gestión de IA (política, análisis de contexto, evaluación de impacto sobre derechos fundamentales, procedimientos de ciclo de vida); 5.800 € de auditoría externa de certificación con una entidad acreditada; 4.200 € en herramientas de monitorización de modelos y gestión de sesgos; y 3.500 € en formación del equipo de producto y del comité de IA. La implantación duró 6 meses, con la certificación obtenida en el séptimo.
El resultado fue medible. La consultora ganó una licitación de 480.000 € en la que ISO 42001 era requisito eliminatorio, redujo el tiempo de respuesta a los cuestionarios de seguridad de clientes de 3 semanas a 4 días al disponer de evidencia documental estructurada, y resolvió de paso cerca del 80 % de las obligaciones organizativas que le exigirá el EU AI Act para su motor de scoring, clasificable como sistema de alto riesgo. La dirección estimó que el coste de no certificarse equivalía a renunciar a un pipeline comercial de más de 1,2 M€ en cuentas que ya pedían gobernanza de IA verificable.
Fases del SGIA, controles y relación con el EU AI Act
La implantación de un Sistema de Gestión de IA (SGIA) bajo ISO 42001 sigue el ciclo PHVA común a las normas ISO. Esta tabla relaciona cada fase con sus controles principales (basados en el Anexo A de la norma) y su correspondencia con el EU AI Act.
| Fase SGIA | Controles clave (Anexo A) | Relación con el EU AI Act |
|---|---|---|
| Planificar | Política de IA, análisis de contexto, objetivos, evaluación de impacto sobre derechos fundamentales | Cubre la FRIA exigida para sistemas de alto riesgo del Anexo III |
| Gestión del riesgo | Identificación y clasificación de sistemas IA por riesgo, tratamiento del riesgo | Soporta el sistema de gestión del riesgo del art. 9 del AI Act |
| Hacer | Gestión del ciclo de vida, datos de entrenamiento, supervisión humana, transparencia | Equivale a gobernanza de datos, supervisión humana y transparencia (arts. 10, 13, 14) |
| Verificar | Monitoreo de modelos, auditoría interna, gestión de incidentes IA | Apoya la vigilancia poscomercialización y el registro de eventos |
| Actuar | Revisión por dirección, mejora continua, gestión de proveedores IA | Refuerza la documentación técnica y el sistema de calidad del proveedor |
ISO 42001 cubre aproximadamente el 80 % de las obligaciones organizativas del EU AI Act, pero no sustituye la conformidad legal: requisitos como el marcado CE, la declaración de conformidad o la inscripción en la base de datos europea son obligaciones jurídicas que la certificación voluntaria acompaña, pero no reemplaza.
Checklist de implantación de ISO 42001
Hoja de ruta de 12 pasos para una empresa que desarrolla o usa IA y quiere certificarse:
- Obtener el compromiso de la dirección y constituir un comité de gobernanza de IA con responsabilidades claras.
- Inventariar todos los sistemas de IA en uso o desarrollo, propios y de terceros.
- Definir el alcance del SGIA: qué unidades, productos y procesos quedan cubiertos por la certificación.
- Analizar el contexto y las partes interesadas afectadas por el uso de IA en la organización.
- Redactar y aprobar la política de IA y los objetivos del sistema de gestión.
- Clasificar cada sistema de IA por nivel de riesgo y cruzarlo con la clasificación del EU AI Act.
- Realizar la evaluación de impacto sobre derechos fundamentales (FRIA) de los sistemas relevantes.
- Documentar los procedimientos de ciclo de vida: diseño, datos, entrenamiento, validación, despliegue, monitoreo y retirada.
- Establecer los mecanismos de supervisión humana, transparencia y explicabilidad.
- Implantar la gestión de proveedores de IA y la evaluación de la cadena de suministro de modelos y datos.
- Ejecutar una auditoría interna y una revisión por dirección antes de la auditoría de certificación.
- Contratar la auditoría externa con una entidad de certificación acreditada y planificar la mejora continua.
5 errores comunes al implantar ISO 42001
- Pensar que ISO 42001 sustituye al EU AI Act. La norma es voluntaria y cubre el plano organizativo; las obligaciones legales del AI Act (marcado CE, registro, conformidad) siguen siendo exigibles. Consecuencia: falsa sensación de cumplimiento y exposición ante la AESIA.
- No inventariar los sistemas de IA de terceros. Muchas empresas solo consideran sus modelos propios y olvidan la IA embebida en herramientas SaaS. Consecuencia: zonas grises de riesgo no gestionadas y alcance del SGIA incompleto.
- Saltarse la evaluación de impacto sobre derechos fundamentales. La FRIA es uno de los controles más exigentes y se subestima por falta de metodología. Consecuencia: hallazgo mayor en auditoría y retraso de la certificación.
- Tratar la gobernanza de datos como un asunto puramente técnico. La calidad, el sesgo y la trazabilidad del dato de entrenamiento requieren políticas y responsables, no solo pipelines. Consecuencia: modelos sesgados sin control y no conformidad en el ciclo de vida.
- Certificar y olvidar. Sin monitoreo de modelos ni revisión por dirección, el SGIA se degrada y la recertificación falla. Consecuencia: pérdida del certificado y del valor comercial asociado.
Fuentes oficiales
Autoría: Ángel Ortega Castro · consultor independiente en estrategia, calidad y el proceso de digitalización para PYMEs.