ISO/IEC 42001: qué es la norma de gestión de IA y a quién aplica

Cuando un cliente o un socio pregunta si su empresa «cumple ISO 42001», conviene saber qué es esa norma antes de responder. Esta guía reúne lo que se puede afirmar con fuentes abiertas.

Una aclaración: los datos de la norma vienen de la ficha de la IEC y de un artículo del organismo de normalización de Estonia que cita a la IEC (ambos al final, consultados en noviembre de 2026). La página de la norma en iso.org devolvió error 403 y el texto completo es de pago, por lo que no lo revisamos y no describimos sus cláusulas. Lo que es criterio de Cyrrus lo decimos.

¿Qué es ISO/IEC 42001?

Según la ficha de la IEC, ISO/IEC 42001:2023 especifica requisitos y da orientación para establecer, implementar, mantener y mejorar continuamente un sistema de gestión de IA dentro de una organización. Es una norma internacional, no una ley.

¿Le preguntaron por ISO/IEC 42001?

Diseñamos el marco de Gobierno de IA de su organización: qué se puede automatizar, qué necesita supervisión humana y quién responde por cada decisión.

• Mapa de riesgo por caso de uso, no una política genérica
• Roles y responsables definidos entre negocio, TI y legal

Conocer Gobierno de IA

¿A quién aplica?

La ficha de la IEC dice que aplica a cualquier organización, sin importar su tamaño, tipo y naturaleza, que ofrezca o use productos o servicios que utilizan sistemas de IA. Es decir, no se limita a quien desarrolla IA: incluye a quien la usa.

¿Se puede certificar?

El organismo de normalización de Estonia, citando a la IEC, informa que ISO/IEC 42006 define requisitos adicionales para los organismos que auditan y certifican sistemas de gestión de IA frente a ISO/IEC 42001, y que se apoya en ISO/IEC 17021-1 sin reemplazarla. Es decir, existe un estándar para quienes certifican. No revisamos qué certificadores están acreditados en su país ni qué cuesta o cuánto tarda una certificación: no tenemos fuente primaria y no damos cifras.

Defina el alcance antes de pensar en certificarse

Ayudamos a su comité directivo a decidir qué delegar, qué supervisar y qué nunca automatizar — antes de que la adopción avance sin control.

• Comité de gobierno con negocio, TI, legal y seguridad
• Criterios claros para aprobar nuevos casos de uso de IA

Agendar conversación sobre Gobierno de IA

Lo que no afirmamos

No describimos los requisitos por cláusula ni los controles de la norma, porque no leímos el texto. Tampoco afirmamos que cumplirla equivalga a cumplir el Reglamento de IA europeo ni otra ley: no encontramos en las fuentes revisadas una equivalencia oficial. Si un proveedor o un asesor le dice lo contrario, pídale la fuente.

Lo mismo vale para su relación con el marco del NIST: son documentos distintos, uno de gestión de riesgos de uso voluntario y otro de sistema de gestión, y cualquier mapeo entre ambos sería criterio propio.

Qué debe decidir la gerencia

Cuatro preguntas, de criterio de Cyrrus. Primero, quién se lo está pidiendo y qué espera: un certificado, o alinearse con la norma. Segundo, qué sistemas de IA entran en el alcance, los propios y los que solo usa. Tercero, quién será el responsable dentro de la empresa. Cuarto, quién pagará la auditoría; cualquier cifra debe salir de una cotización, no de una regla general.

Para ver cómo encaja con otros marcos y con las normas, lea qué es la gobernanza de IA y qué marcos usar y qué evidencia debe poder mostrar la empresa.