ISO 42001: gobernar la IA de la empresa y llegar preparado al AI Act
ISO/IEC 42001:2023 — Artificial intelligence management system · Updated : septiembre de 2026
ISO/IEC 42001:2023 es la primera norma internacional certificable para sistemas de gestión de inteligencia artificial. Exige inventariar los sistemas de IA, evaluar su impacto sobre las personas, definir responsabilidades, supervisar el uso y mejorar de forma continua. Es el marco de gestión que ordena el cumplimiento del AI Act europeo.
Who it applies to
A cualquier organización que desarrolle, proporcione o utilice sistemas de IA — incluidos los copilotos ofimáticos y las herramientas que la plantilla usa por su cuenta. No hay umbral de tamaño ni exención por usar solo herramientas de terceros.
One standard, the law of each country
The management system is one. What changes in each jurisdiction is the law that requires it and what is at stake if it fails.
| Country | Law that requires it | What it demands |
|---|---|---|
| 🇪🇺European Union | Reglamento (UE) 2024/1689 (AI Act) | Inventario, clasificación por riesgo, alfabetización del art. 4 y supervisión humana. |
| 🇪🇺European Union | RGPD, art. 22 y 35 | Decisiones automatizadas y evaluación de impacto en protección de datos. |
| 🇨🇱Chile | Ley 21.719 (Chile · data protection) | Tratamiento de datos personales con decisiones automatizadas. |
| 🇧🇷Brazil | LGPD (Lei 13.709/2018) | Derecho a la revisión de decisiones automatizadas. |
Certification does not comply with the law: it attests to a management system, and the authority weighs the evidence that it was working. What the standard saves you is running one system per country.
What the standard requires
How DSA Compliance solves it
- Inventario de sistemas de IA clasificados por nivel de riesgo, incluida la IA en la sombra.
- Evaluación de impacto en derechos fundamentales, con su expediente.
- Alfabetización documentada por persona, con fecha y versión del contenido.
- Incidentes graves con el plazo de notificación vigilado.
Frequently asked questions
¿Certificarme en ISO 42001 me hace cumplir el AI Act?
No automáticamente. El Reglamento impone obligaciones concretas —clasificación por riesgo, alfabetización, transparencia, notificación de incidentes— y la norma organiza el sistema que las sostiene. Se complementan: la ISO da el método, el Reglamento la obligación.
¿Sirve si solo usamos herramientas de terceros?
Sí, y es el caso más común. La norma distingue el rol de proveedor del de usuario, igual que el AI Act, y un usuario tiene obligaciones propias: saber qué usa, para qué, con qué datos y con qué supervisión.