ISO 42001: gobernar la IA de la empresa y llegar preparado al AI Act
ISO/IEC 42001:2023 — Artificial intelligence management system · Actualizado : septiembre de 2026
ISO/IEC 42001:2023 es la primera norma internacional certificable para sistemas de gestión de inteligencia artificial. Exige inventariar los sistemas de IA, evaluar su impacto sobre las personas, definir responsabilidades, supervisar el uso y mejorar de forma continua. Es el marco de gestión que ordena el cumplimiento del AI Act europeo.
A quién aplica
A cualquier organización que desarrolle, proporcione o utilice sistemas de IA — incluidos los copilotos ofimáticos y las herramientas que la plantilla usa por su cuenta. No hay umbral de tamaño ni exención por usar solo herramientas de terceros.
Una norma, las leyes de cada país
El sistema de gestión es uno. Lo que cambia en cada jurisdicción es la ley que lo exige y lo que está en juego si falla.
| País | Norma que lo exige | Qué pide |
|---|---|---|
| 🇪🇺Unión Europea | Reglamento (UE) 2024/1689 (AI Act) | Inventario, clasificación por riesgo, alfabetización del art. 4 y supervisión humana. |
| 🇪🇺Unión Europea | RGPD, art. 22 y 35 | Decisiones automatizadas y evaluación de impacto en protección de datos. |
| 🇨🇱Chile | Ley 21.719 | Tratamiento de datos personales con decisiones automatizadas. |
| 🇧🇷Brasil | LGPD (Lei 13.709/2018) | Derecho a la revisión de decisiones automatizadas. |
Certificarse no cumple la ley: la certificación acredita un sistema de gestión, y la autoridad valora la evidencia de que funcionaba. Lo que ahorra la norma es tener un sistema por país.
Lo que exige la norma
Cómo lo resuelve DSA Compliance
- Inventario de sistemas de IA clasificados por nivel de riesgo, incluida la IA en la sombra.
- Evaluación de impacto en derechos fundamentales, con su expediente.
- Alfabetización documentada por persona, con fecha y versión del contenido.
- Incidentes graves con el plazo de notificación vigilado.
Preguntas frecuentes
¿Certificarme en ISO 42001 me hace cumplir el AI Act?
No automáticamente. El Reglamento impone obligaciones concretas —clasificación por riesgo, alfabetización, transparencia, notificación de incidentes— y la norma organiza el sistema que las sostiene. Se complementan: la ISO da el método, el Reglamento la obligación.
¿Sirve si solo usamos herramientas de terceros?
Sí, y es el caso más común. La norma distingue el rol de proveedor del de usuario, igual que el AI Act, y un usuario tiene obligaciones propias: saber qué usa, para qué, con qué datos y con qué supervisión.