La ISO/IEC 42001 en seis preguntas
Qué es
La norma internacional que fija cómo una organización gobierna la IA que desarrolla, compra o usa. Es un sistema de gestión, como la ISO 9001, y se puede certificar.
- Quién
- La implanta la organización, con la dirección al frente. Sirve igual a quien desarrolla IA, a quien la compra y a quien la usa en sus procesos.
- Cuándo
- Cuando clientes, licitaciones o la dirección piden pruebas de que la IA está bajo control. En castellano es la UNE-EN ISO/IEC 42001:2026.
- Dónde
- En toda la organización o en una parte, según el alcance que fija la organización (apartado 4.3).
- Por qué
- Da una forma ordenada y auditable de decidir sobre la IA, y reúne evidencia que también pide el Reglamento de IA. No da presunción de conformidad con el Reglamento.
- Cómo
- Con los apartados 4 a 10, que son obligatorios, y con una selección justificada de los 38 controles del Anexo A: la declaración de aplicabilidad.
Qué pide, apartado por apartado
Los apartados 4 a 10 siguen la estructura común de las normas de sistemas de gestión. Quien ya tiene la ISO 9001 o la ISO 27001 reutiliza buena parte: auditoría interna, revisión por la dirección y control de documentos.
- 4 · Contexto: qué afecta a la organización, quién tiene interés en su IA y qué alcance cubre el sistema.
- 5 · Liderazgo: el compromiso de la dirección, la política de IA (5.2) y quién responde de qué.
- 6 · Planificación: los riesgos de la IA, su tratamiento, la evaluación de impacto de cada sistema y los objetivos. Aquí nace la declaración de aplicabilidad (6.1.3).
- 7 · Apoyo: recursos, competencia, concienciación, comunicación y documentos.
- 8 · Operación: hacer lo planificado y repetir la evaluación de riesgos y de impacto cuando algo cambia.
- 9 · Evaluación del desempeño: medir, auditar por dentro y revisar con la dirección.
- 10 · Mejora: corregir las no conformidades y mejorar de forma continua.
La identificación de riesgos alimenta el apartado 6, y una evaluación de impacto en los derechos fundamentales cubre buena parte de la evaluación de impacto.
El Anexo A y la declaración de aplicabilidad
El Anexo A propone 38 controles en nueve grupos. No hay que aplicarlos todos. La declaración de aplicabilidad dice cuáles hacen falta, por qué se incluye o se excluye cada uno y si ya están en marcha. También puede sumar controles propios que no están en el anexo.
La tabla da el esqueleto de cada control: su número, la evidencia que suele guardarse y su cruce con el Reglamento de IA. Las dos últimas columnas las rellena la organización, con la norma delante. «Proveedor» marca las obligaciones de quien fabrica el sistema; las demás son de quien lo usa o de los dos.
| Control | Evidencia | Reglamento | ¿Aplica? | Por qué |
|---|---|---|---|---|
| A.2 · PolíticasQue la dirección fije por escrito cómo se trata la IA y lo mantenga al día. | ||||
| A.2.2Política de IA | EvidenciaPolítica aprobada por la dirección | Reglamento— | ||
| A.2.3Encaje con las demás políticas | EvidenciaMapa de políticas (seguridad, datos, calidad) y dónde se tocan | Reglamento— | ||
| A.2.4Revisión periódica de la política | EvidenciaCalendario y actas de revisión | Reglamento— | ||
| A.3 · OrganizaciónQue cada decisión sobre la IA tenga un responsable y que los problemas tengan por dónde salir. | ||||
| A.3.2Responsables de la IA | EvidenciaMatriz de responsables por sistema | ReglamentoArt. 26.2 · Art. 17.1 m (proveedor) | ||
| A.3.3Canal para avisar de problemas | EvidenciaCanal y registro de avisos | ReglamentoArt. 87 | ||
| A.4 · RecursosSaber con qué se construye y se opera cada sistema. | ||||
| A.4.2Recursos de cada sistema | EvidenciaFicha de recursos por sistema | ReglamentoArt. 11 y Anexo IV (proveedor) | ||
| A.4.3Datos disponibles | EvidenciaLista de conjuntos de datos y su origen | ReglamentoArt. 10 (proveedor) · Art. 26.4 | ||
| A.4.4Herramientas | EvidenciaLibrerías, plataformas y modelos usados | ReglamentoAnexo IV (proveedor) | ||
| A.4.5Infraestructura y cómputo | EvidenciaDónde corre cada sistema y con qué | ReglamentoAnexo IV (proveedor) | ||
| A.4.6Personas y competencias | EvidenciaPerfiles, formación y quién supervisa | ReglamentoArt. 4 · Art. 26.2 | ||
| A.5 · ImpactoSaber a quién puede afectar cada sistema antes de que pase. | ||||
| A.5.2Procedimiento de evaluación de impacto | EvidenciaProcedimiento aprobado | ReglamentoArt. 27 | ||
| A.5.3Registro de las evaluaciones | EvidenciaEvaluaciones fechadas y firmadas | ReglamentoArt. 27.3 | ||
| A.5.4Impacto en personas y grupos | EvidenciaColectivos afectados y daños posibles | ReglamentoArt. 27.1 c y d | ||
| A.5.5Impacto en la sociedad | EvidenciaEfectos más allá de los usuarios | Reglamento— | ||
| A.6 · Ciclo de vidaQue cada sistema se diseñe, pruebe, despliegue y retire con un método documentado. | ||||
| A.6.1.2Objetivos de desarrollo responsable | EvidenciaObjetivos medibles por sistema | ReglamentoArt. 17.1 (proveedor) | ||
| A.6.1.3Método de diseño y desarrollo | EvidenciaProcedimiento de desarrollo | ReglamentoArt. 17.1 b y c (proveedor) | ||
| A.6.2.2Requisitos del sistema | EvidenciaEspecificación aprobada | ReglamentoAnexo IV (proveedor) | ||
| A.6.2.3Diseño documentado | EvidenciaDocumento de diseño y decisiones | ReglamentoAnexo IV (proveedor) | ||
| A.6.2.4Verificación y validación | EvidenciaPlan de pruebas y resultados | ReglamentoArt. 17.1 d · Art. 15 (proveedor) | ||
| A.6.2.5Puesta en marcha | EvidenciaPlan de despliegue | ReglamentoArt. 26.1 | ||
| A.6.2.6Funcionamiento y vigilancia | EvidenciaMétricas, umbrales y alertas | ReglamentoArt. 26.5 · Art. 72 (proveedor) | ||
| A.6.2.7Documentación técnica | EvidenciaDocumentación técnica al día | ReglamentoArt. 11 y Anexo IV (proveedor) | ||
| A.6.2.8Registros de eventos | EvidenciaQué se registra y cuánto se guarda | ReglamentoArt. 12 (proveedor) · Art. 26.6 | ||
| A.7 · DatosQue los datos de cada sistema sean adecuados y se sepa de dónde vienen. | ||||
| A.7.2Datos para entrenar y mejorar | EvidenciaPlan de datos por sistema | ReglamentoArt. 10 (proveedor) | ||
| A.7.3Obtención de los datos | EvidenciaOrigen, licencias y finalidad | ReglamentoArt. 10.2 b (proveedor) | ||
| A.7.4Calidad de los datos | EvidenciaCriterios y resultados de calidad | ReglamentoArt. 10.3 (proveedor) | ||
| A.7.5Procedencia | EvidenciaTrazabilidad de cada conjunto | ReglamentoArt. 10.2 b (proveedor) | ||
| A.7.6Preparación de los datos | EvidenciaLimpieza, etiquetado y transformaciones | ReglamentoArt. 10.2 c (proveedor) | ||
| A.8 · InformaciónQue usuarios y afectados sepan lo que necesitan y puedan avisar. | ||||
| A.8.2Información para usuarios | EvidenciaInstrucciones de uso y avisos | ReglamentoArt. 13 (proveedor) · Art. 50 | ||
| A.8.3Vía para informes externos | EvidenciaCanal abierto a terceros | Reglamento— | ||
| A.8.4Comunicación de incidentes | EvidenciaPlan de comunicación de incidentes | ReglamentoArt. 73 (proveedor) · Art. 26.5 | ||
| A.8.5Información a partes interesadas | EvidenciaQué se informa, a quién y cuándo | ReglamentoArt. 26.7 · Art. 26.11 | ||
| A.9 · UsoQue cada sistema se use para lo que se eligió y como se decidió. | ||||
| A.9.2Uso responsable | EvidenciaProcedimiento de uso | ReglamentoArt. 26.1 | ||
| A.9.3Objetivos de uso | EvidenciaObjetivos medibles de uso | Reglamento— | ||
| A.9.4Finalidad prevista | EvidenciaFinalidad registrada en el inventario | ReglamentoArt. 26.1 · Art. 25.1 c | ||
| A.10 · TercerosQue con proveedores y clientes quede claro quién responde de qué. | ||||
| A.10.2Reparto de responsabilidades | EvidenciaContratos y matriz de responsables | ReglamentoArt. 25.4 | ||
| A.10.3Proveedores | EvidenciaEvaluación y requisitos a proveedores | ReglamentoArt. 25.4 · Art. 26.1 | ||
| A.10.4Clientes | EvidenciaInformación y compromisos con clientes | ReglamentoArt. 13 (proveedor) | ||
Cuatro notas sobre los cruces:
- Art. 4: desde julio de 2026, la alfabetización en IA es una obligación de medios. Pide apoyar la formación de quien usa los sistemas, sin un nivel concreto.
- Art. 25.1 c: cambiar la finalidad de un sistema puede convertir en proveedor a quien lo usa. Por eso la finalidad prevista (A.9.4) se registra.
- Art. 26: se aplica a los sistemas de alto riesgo. Para los del Anexo III, desde el 2 de diciembre de 2027.
- Art. 27: la evaluación de impacto en los derechos fundamentales solo obliga a algunos responsables del despliegue. Por ejemplo, a los organismos públicos y a las empresas que gestionan un servicio público.
La 42001 no trata las prácticas prohibidas del art. 5, el registro del art. 49 ni la evaluación de la conformidad y el marcado CE. Si aplican, van en la declaración como controles propios.
La ISO 42001 y el Reglamento de IA
- No es una norma armonizada. No está citada en el Diario Oficial y no da presunción de conformidad. Para el sistema de gestión de la calidad del art. 17, la norma citada es la EN 18286.
- Ayuda con la evidencia. Inventario, responsables, evaluación de impacto, registros y supervisión son piezas que el Reglamento también pide.
- Quien usa IA de alto riesgo encuentra sus obligaciones en el art. 26: uso según las instrucciones, supervisión humana, datos de entrada, vigilancia, registros e información a la plantilla.
- Quien la fabrica necesita además el sistema de gestión de la calidad del art. 17 y la documentación técnica del Anexo IV. La diferencia entre las dos normas está en ISO 42001 y EN 18286.
La norma se compra en castellano en la tienda de AENOR.
Cómo hacemos el inventario de la IA de una empresa, con la política, los responsables y el camino hacia la 42001: inventario de la IA.
