La ISO/IEC 42001 no evalúa si su modelo de IA es bueno. Evalúa si su empresa sabe dónde usa IA, quién responde por cada uso y qué ocurre cuando algo sale mal. Para muchas empresas medianas que ya tienen un chatbot en producción, un modelo de previsión funcionando y a la mitad del equipo usando asistentes generativos por su cuenta, esa segunda pregunta es más difícil de responder que la primera.
ISO e IEC publicaron la norma en diciembre de 2023, y es la primera norma internacional certificable para un sistema de gestión de inteligencia artificial (ISO, 2023). Nuestra posición, después de trabajar con ella en proyectos de gobernanza: para una empresa mediana, certificarse rara vez es el primer paso. Usar la norma como hoja de ruta para ordenarse casi siempre lo es.
Qué pide la norma en la práctica
La 42001 sigue la misma estructura de otras normas de sistemas de gestión que muchas empresas ya conocen, como la ISO 9001 (calidad) y la ISO/IEC 27001 (seguridad de la información). El cuerpo de la norma trata del contexto de la organización, liderazgo, planificación, soporte, operación, evaluación del desempeño y mejora. Si su empresa ya pasó por una auditoría de 27001, el esqueleto le resultará conocido.
La parte específica de IA está en el Anexo A: 38 controles agrupados en nueve objetivos, del A.2 al A.10, que abarcan política de IA, organización interna, recursos, evaluación de impacto, ciclo de vida de los sistemas, datos, información para partes interesadas, uso responsable y relación con terceros (Vanta). La empresa no está obligada a aplicarlos todos. Evalúa sus riesgos, selecciona los controles aplicables, justifica los que excluye y registra esas decisiones en una Declaración de Aplicabilidad.
En el día a día, eso se traduce en cosas muy concretas:
- Un inventario de sistemas de IA: qué existe, quién lo usa, con qué datos y para qué decisión
- Un responsable nombrado para cada sistema, con autoridad para pausarlo
- Una evaluación de impacto antes de pasar algo a producción, sobre todo cuando el sistema afecta a personas
- Criterios documentados para elegir y supervisar a los proveedores de modelos y APIs
- Monitorización después del lanzamiento, con registro de incidentes y de lo que se hizo al respecto
A su alrededor ha crecido una familia de normas. La ISO/IEC 42005:2025 orienta la evaluación de impacto de sistemas de IA, y la ISO/IEC 42006:2025 define requisitos para los organismos que auditan y certifican la 42001. Esto importa a quien compra: el mercado de certificación se está profesionalizando, y un certificado emitido por un organismo acreditado dice hoy más de lo que decía en el primer año de la norma.
Quién ya se ha certificado y por qué le afecta
Los primeros certificados llegaron de los proveedores. AWS anunció en noviembre de 2024 la certificación 42001 para Amazon Bedrock, Amazon Q Business, Amazon Textract y Amazon Transcribe (AWS, 2024). Anthropic, que desarrolla Claude, anunció la suya en enero de 2025, con validez hasta enero de 2028 y auditorías anuales de seguimiento (Anthropic, 2025).
El efecto para su empresa es doble. Gana un criterio objetivo para evaluar proveedores: preguntar si el proveedor del modelo tiene la 42001, y cuál es el alcance exacto del certificado, es una pregunta legítima de compras. Y si vende software o servicios con IA a grandes empresas o sectores regulados, la misma pregunta le llegará a usted en algún cuestionario de due diligence.
El contexto en Brasil y Europa
En Brasil, donde trabajamos, la norma es voluntaria. Pero conecta directamente con tres frentes que ya afectan a las empresas.
La primera es la LGPD, la ley brasileña de protección de datos. El artículo 20 de la Ley 13.709/2018 da al titular el derecho a solicitar la revisión de decisiones tomadas únicamente mediante tratamiento automatizado de datos personales, incluidas las de perfil de consumo y crédito, y obliga al responsable a informar con claridad sobre los criterios utilizados. Si uno de sus modelos deniega crédito, prioriza la atención o clasifica clientes, ya necesita poder explicar cómo decide. El inventario y la evaluación de impacto de la 42001 son la forma ordenada de tener esa respuesta preparada antes de que alguien la pida.
La segunda es la ANPD, la autoridad brasileña de protección de datos. Mantiene un sandbox regulatorio de IA y protección de datos cuyo foco declarado es la transparencia algorítmica (ANPD). Es una señal clara de hacia dónde mirará la supervisión.
La tercera es el marco legal. El proyecto de ley PL 2338/2023, aprobado por el Senado en diciembre de 2024 y en análisis en la Cámara de Diputados, sigue la lógica del AI Act europeo: clasifica los sistemas por nivel de riesgo e impone obligaciones más exigentes, como la evaluación de impacto algorítmico, a los de alto riesgo. El texto final aún puede cambiar, pero la dirección es conocida. Para quien opera en la Unión Europea, el AI Act está en vigor desde agosto de 2024, con obligaciones que se aplican por fases.
Ninguna de estas frentes exige la ISO 42001. Todas resultan más baratas de cumplir cuando la empresa ya tiene lo básico que la norma pide.
Certificarse o solo adoptarla
La certificación tiene un coste real: equipo interno o consultoría para montar el sistema de gestión, auditoría de un organismo acreditado, auditorías anuales de seguimiento y recertificación periódica. También existe el riesgo del cumplimiento de fachada, con una política impecable en la intranet y ningún control funcionando en la operación.
La regla que aplicamos con clientes:
- Tiene sentido certificarse si vende IA como producto o servicio a grandes empresas, opera en un sector regulado (financiero, salud, seguros) o ya se lo han exigido en una licitación
- Tiene sentido adoptarla sin certificarse si la IA es una herramienta interna, los usos todavía son pocos y el mayor riesgo hoy es no saber qué está funcionando
- No tiene sentido ninguna de las dos antes de que exista al menos un sistema de IA en uso real; en ese caso, el trabajo es validar primero un caso de uso
Por transparencia: Cortex IQ no está certificada en ISO 42001. Usamos la norma como referencia de trabajo en proyectos de gobernanza y lo dejamos claro en nuestra página de confianza.
Ejemplo: una distribuidora con tres usos de IA
Este ejemplo es ilustrativo, construido a partir de situaciones habituales en empresas medianas. Una distribuidora tiene un asistente de WhatsApp que informa del estado de los pedidos, un modelo que sugiere cantidades de compra al equipo de aprovisionamiento y comerciales que usan herramientas generativas para redactar propuestas.
Aplicar la lógica de la 42001 aquí no exige certificación ni un proyecto de seis meses. Exige responder cinco preguntas para cada uso:
- ¿Quién es el responsable? El asistente de WhatsApp pertenece al responsable de atención al cliente, no a TI. El modelo de compras pertenece al responsable de aprovisionamiento.
- ¿Qué datos entran? El asistente consulta nombre, número fiscal y dirección, por lo que trata datos personales sujetos a la ley de protección de datos. Las propuestas incluyen precios y condiciones negociadas, información confidencial que no debería pasar por cuentas personales de herramientas gratuitas.
- ¿Qué ocurre si se equivoca? Una respuesta errónea sobre el plazo genera una reclamación. Una sugerencia de compra errónea genera roturas de stock o inventario inmovilizado. El impacto es distinto, y los controles también.
- ¿Qué controles aplicar? En el asistente: aviso de que el cliente habla con una IA, un camino claro hacia un agente humano y registro de las conversaciones. En el modelo de compras: comparación semanal entre lo sugerido y lo realizado, con un umbral a partir del cual el comprador debe justificar su decisión. En las herramientas generativas: una política de uso de una página y cuentas corporativas.
- ¿Cómo se revisa? Una reunión mensual de 30 minutos con los tres responsables, revisando incidentes y métricas.
Esto cubre, de forma sencilla, buena parte de lo que piden los objetivos de control del Anexo A. Y deja a la empresa preparada para responder a un gran cliente, a un auditor o a un regulador sin improvisar.
Un plan de 90 días
- Semanas 1 y 2: inventario. Pregunte a cada área qué herramientas y modelos de IA utiliza, incluidos los que nadie aprobó formalmente.
- Semana 3: un responsable para cada sistema y una persona a cargo de la gobernanza de IA en conjunto, con tiempo asignado para ello.
- Semanas 4 a 6: clasificación por impacto, empezando por los usos que afectan a clientes, crédito, precios o decisiones sobre personas.
- Semanas 7 a 10: controles mínimos en los usos de mayor impacto y una política de uso aceptable que quepa en una página.
- Semanas 11 y 12: primera revisión formal y decisión, con datos sobre la mesa, sobre si buscar o no la certificación.
Si desea apoyo externo para mantener ese ritmo, ese es el alcance de Governance As a Service: sesiones semanales sobre decisiones reales, criterios documentados y controles que funcionan en la operación. Nuestra página de metodología muestra cómo encaja con los demás formatos de trabajo.