ISO 42001: qué es y cómo ayuda a gobernar la inteligencia artificial en empresas y gobiernos

La ISO 42001 (su nombre completo es ISO/IEC 42001:2023) es la primera norma internacional certificable dedicada a la gestión de la inteligencia artificial. La publicaron en diciembre de 2023 la ISO y la IEC, y define qué debe tener una organización para usar o desarrollar IA de forma responsable: reglas claras, personas responsables, evaluación de riesgos y una revisión constante de cómo se comportan sus sistemas.

No es una ley ni una lista de herramientas. Es un marco de gestión, parecido al que la ISO 27001 ofrece para la seguridad de la información o la ISO 9001 para la calidad. Una empresa puede adoptarlo como guía interna o, si quiere demostrarlo ante clientes y reguladores, certificarse con un organismo acreditado.

Qué es la ISO 42001 y por qué apareció

En pocos años la IA pasó de los laboratorios a la atención al cliente, la contratación de personal, el crédito, la salud y los trámites públicos. Con eso llegaron preguntas que la tecnología sola no responde: quién responde si un sistema discrimina, cómo se sabe por qué tomó una decisión, qué datos usó y si alguien los autorizó.

La norma propone algo concreto: un sistema de gestión de inteligencia artificial, conocido por sus siglas en inglés como AIMS. Es decir, un conjunto ordenado de políticas, roles, procesos y controles que se aplica a todo el ciclo de vida de la IA, desde la idea y la compra de una herramienta hasta su retiro.

Sirve para cualquier organización, sin importar su tamaño ni su sector: la que desarrolla modelos, la que integra IA en sus productos y la que simplemente usa herramientas de IA de terceros en su trabajo diario.

Qué exige la norma, en lenguaje sencillo

La ISO 42001 sigue la misma estructura que otras normas de gestión, con el ciclo de planificar, hacer, verificar y mejorar. En la práctica pide:

• Conocer el contexto. Qué sistemas de IA usa la organización, para qué, quiénes se ven afectados y qué leyes le aplican.
• Compromiso de la dirección. Una política de IA aprobada por la gerencia, con objetivos y responsables con nombre y apellido.
• Evaluar riesgos. Identificar qué puede salir mal con cada sistema: errores, sesgos, fugas de datos, usos indebidos, dependencia de un proveedor.
• Evaluar el impacto en las personas. Además de los riesgos para la empresa, la norma pide analizar las consecuencias que un sistema de IA puede tener sobre individuos, grupos y la sociedad. Esta evaluación de impacto es uno de sus rasgos más propios.
• Aplicar controles. El anexo A de la norma ofrece una lista de controles de referencia, agrupados en temas como políticas, recursos, datos, ciclo de vida del sistema, información a los interesados, uso responsable y relación con proveedores. La organización elige cuáles aplican y justifica por escrito los que excluye.
• Medir y auditar. Vigilar el desempeño de los sistemas, hacer auditorías internas y revisiones de la dirección.
• Mejorar de forma continua. Corregir lo que falla y actualizar el sistema cuando cambian la tecnología, los riesgos o la ley.

Los tres objetivos que más importan

Evaluar el impacto antes y después de lanzar

Un sistema de IA no se evalúa una sola vez. La norma pide analizar sus efectos éticos, sociales y operativos antes de ponerlo en marcha y volver a revisarlos mientras está en uso, porque los datos cambian, los usuarios encuentran usos no previstos y los modelos se actualizan.

Reducir sesgos y otros riesgos

La ISO 42001 no promete eliminar los errores de la IA, ni las llamadas «alucinaciones» de los modelos de lenguaje. Lo que exige es que la organización los identifique, los mida y ponga barreras: revisar la calidad y el origen de los datos, probar el sistema con casos difíciles, limitar lo que puede hacer sin supervisión y proteger la privacidad de las personas cuyos datos procesa.

Trazabilidad y transparencia

Cuando una IA participa en una decisión que afecta a alguien, debe quedar registro de cómo se llegó a ella. La norma promueve que los sistemas estén documentados, que sus resultados puedan auditarse, que las personas sepan cuándo están tratando con una IA y que exista supervisión humana donde el impacto lo justifica.

Normas que la acompañan

La ISO 42001 forma parte de una familia de documentos. Los más útiles para empezar son:

• ISO/IEC 22989, que fija los conceptos y la terminología de la IA.
• ISO/IEC 23894, una guía para gestionar los riesgos de la IA.
• ISO/IEC 42005, publicada en 2025, una guía para hacer evaluaciones de impacto de sistemas de IA.

Ninguna de estas tres es certificable: son guías que ayudan a cumplir la 42001, que sí lo es.

La gobernanza de la IA en el sector público

Los gobiernos tienen una doble tarea: regular el uso de la IA en su país y, al mismo tiempo, usarla bien en sus propios servicios. Por eso la gobernanza pública de la IA suele moverse en tres frentes.

Políticas públicas que permitan innovar sin exponer a la población. Los marcos más citados combinan reglas firmes para los usos peligrosos con flexibilidad para el resto. El ejemplo más conocido es el Reglamento de Inteligencia Artificial de la Unión Europea, que clasifica los sistemas según su nivel de riesgo: prohíbe algunos usos, exige requisitos estrictos a los de alto riesgo y pide transparencia a otros. En 2026 la Unión Europea aprobó aplazar las obligaciones de los sistemas de alto riesgo hasta diciembre de 2027, pero no las eliminó.

Auditoría de los algoritmos del Estado. Cuando un sistema automatizado decide o ayuda a decidir sobre una pensión, un subsidio, una cita médica, un crédito público o una contratación, sus errores no afectan a un cliente sino a un ciudadano que muchas veces no tiene otra opción. Auditar esos sistemas, documentar sus criterios y permitir que una persona revise sus decisiones es una forma de garantizar un trato justo.

Soberanía y seguridad de los datos. Uno de los riesgos más inmediatos no viene de sistemas sofisticados, sino de lo cotidiano: funcionarios que copian expedientes, contratos o datos personales en herramientas comerciales de IA sin saber dónde se guarda esa información. Definir qué herramientas están permitidas, con qué datos y bajo qué contratos protege la información del Estado y de los ciudadanos.

El marco del NIST

En Estados Unidos, el Instituto Nacional de Estándares y Tecnología (NIST) publicó en 2023 su Marco de Gestión de Riesgos de IA, de uso voluntario. Lo organiza en cuatro funciones: gobernar, mapear, medir y gestionar. No es certificable, pero muchas organizaciones lo usan junto con la ISO 42001, porque se complementan bien.

Panamá

En agosto de 2026 el Consejo de Gabinete aprobó la Estrategia Nacional de Inteligencia Artificial de Panamá, elaborada por la Senacyt con Georgia Tech Panamá. Su adopción en los servicios públicos quedó a cargo de la Autoridad Nacional para la Innovación Gubernamental (AIG). A esto se suma la Ley 81 de protección de datos personales, que ya obliga a cuidar la información de las personas cuando un sistema de IA la procesa; lo explicamos en nuestra guía sobre la Ley 81 y los asistentes de IA en salud.

ISO 42001 y la ley europea: ¿certificarse basta para cumplir?

No. La ISO 42001 es voluntaria y el reglamento europeo es una ley obligatoria para quien ofrece o usa IA en el mercado europeo. Pero se parecen mucho en el fondo: ambos piden gestión de riesgos, documentación, calidad de los datos, supervisión humana y vigilancia continua. Una empresa que ya tiene un sistema de gestión según la ISO 42001 tiene buena parte del camino recorrido, aunque debe revisar los requisitos específicos de la ley que le apliquen.

Esto importa también fuera de Europa. Una empresa latinoamericana que vende servicios con IA a clientes europeos, o que quiere trabajar con bancos y multinacionales, cada vez más se encontrará con preguntas sobre cómo gobierna su IA.

¿Le conviene a una pyme?

La certificación tiene costos: preparación, documentación y auditorías de un organismo acreditado. Para muchas pymes no es el primer paso. Lo que sí les conviene desde ya es tomar las ideas de la norma, que cuestan poco y evitan problemas:

• Hacer un inventario de las herramientas de IA que usa el equipo, incluidas las gratuitas.
• Definir qué datos no se comparten nunca con herramientas externas: datos de clientes, de pacientes, contratos, contraseñas.
• Nombrar a un responsable que apruebe las herramientas nuevas y atienda los incidentes.
• Revisar a los proveedores: dónde guardan los datos, si los usan para entrenar sus modelos y qué pasa si se termina el contrato.
• Mantener a una persona en el circuito cuando la IA toma decisiones que afectan a clientes o empleados.
• Documentar qué hace cada sistema, con qué datos y quién lo supervisa.

Si más adelante un cliente, un banco o una licitación pide la certificación, ese trabajo ya estará hecho.

Cómo empezar

En ENLA-IA no certificamos: la certificación la otorgan organismos acreditados e independientes. Lo que sí hacemos es ayudar a ordenar el uso de la IA dentro de una empresa con buenas prácticas alineadas con la ISO 42001: inventario de herramientas, reglas de uso de datos, evaluación de riesgos de cada asistente o automatización y diseño de soluciones que dejan registro de lo que hacen. Si quiere revisar cómo está usando la IA su organización, conozca nuestro servicio de consultoría en IA o lea cómo protegerse del phishing y los deepfakes hechos con IA.