ISO 42001: gobernar la IA de la empresa y llegar preparado al AI Act
ISO/IEC 42001:2023 — Artificial intelligence management system · Atualizado : septiembre de 2026
ISO/IEC 42001:2023 es la primera norma internacional certificable para sistemas de gestión de inteligencia artificial. Exige inventariar los sistemas de IA, evaluar su impacto sobre las personas, definir responsabilidades, supervisar el uso y mejorar de forma continua. Es el marco de gestión que ordena el cumplimiento del AI Act europeo.
A quem se aplica
A cualquier organización que desarrolle, proporcione o utilice sistemas de IA — incluidos los copilotos ofimáticos y las herramientas que la plantilla usa por su cuenta. No hay umbral de tamaño ni exención por usar solo herramientas de terceros.
Uma norma, as leis de cada país
O sistema de gestão é um só. O que muda em cada jurisdição é a lei que o exige e o que está em jogo se falhar.
| País | Norma que o exige | O que exige |
|---|---|---|
| 🇪🇺União Europeia | Reglamento (UE) 2024/1689 (AI Act) | Inventario, clasificación por riesgo, alfabetización del art. 4 y supervisión humana. |
| 🇪🇺União Europeia | RGPD, art. 22 y 35 | Decisiones automatizadas y evaluación de impacto en protección de datos. |
| 🇨🇱Chile | Ley 21.719 | Tratamiento de datos personales con decisiones automatizadas. |
| 🇧🇷Brasil | LGPD (Lei 13.709/2018) | Derecho a la revisión de decisiones automatizadas. |
Certificar-se não cumpre a lei: a certificação atesta um sistema de gestão, e a autoridade avalia a evidência de que ele funcionava. O que a norma poupa é ter um sistema por país.
O que a norma exige
Como o DSA Compliance resolve
- Inventario de sistemas de IA clasificados por nivel de riesgo, incluida la IA en la sombra.
- Evaluación de impacto en derechos fundamentales, con su expediente.
- Alfabetización documentada por persona, con fecha y versión del contenido.
- Incidentes graves con el plazo de notificación vigilado.
Perguntas frequentes
¿Certificarme en ISO 42001 me hace cumplir el AI Act?
No automáticamente. El Reglamento impone obligaciones concretas —clasificación por riesgo, alfabetización, transparencia, notificación de incidentes— y la norma organiza el sistema que las sostiene. Se complementan: la ISO da el método, el Reglamento la obligación.
¿Sirve si solo usamos herramientas de terceros?
Sí, y es el caso más común. La norma distingue el rol de proveedor del de usuario, igual que el AI Act, y un usuario tiene obligaciones propias: saber qué usa, para qué, con qué datos y con qué supervisión.