Gobernanza de la IA
ISO 42001
ISO/IEC 42001 (Sistema de gestión de la IA)
ISO/IEC 42001 es la norma internacional para un sistema de gestión de la IA. Le ayudamos a construir la gobernanza necesaria para desarrollar y usar la IA de forma responsable, y le preparamos para la certificación por parte de un organismo acreditado.
Qué es ISO 42001
ISO/IEC 42001 es la primera norma internacional para un sistema de gestión de la inteligencia artificial (AIMS). Ofrece a las organizaciones una manera estructurada de gobernar el desarrollo, la provisión y el uso de la IA, abordando riesgos e impactos propios de la IA como el sesgo, la transparencia, la seguridad y la gestión continua de los sistemas de IA a lo largo de su ciclo de vida.
Al igual que otras normas ISO de sistemas de gestión, sigue una estructura familiar de contexto, liderazgo, planificación, apoyo, operación y mejora, y viene con anexos de controles y orientación para la implementación. La certificación la otorga un organismo de certificación independiente y acreditado tras una auditoría. Complementa, en lugar de reemplazar, sus programas de seguridad de la información y de privacidad.
La estructura de la norma
Cláusula 4 · Contexto
Usted establece el alcance del sistema de gestión de la IA e identifica las cuestiones internas y externas y las partes interesadas que determinan cómo se gobierna la IA.
Cláusula 5 · Liderazgo
La alta dirección establece la política de IA, asigna responsabilidades y se compromete con el desarrollo y uso responsables de la IA.
Cláusula 6 · Planificación
Usted evalúa los riesgos e impactos de la IA, fija objetivos y decide qué controles del Anexo A aplican y cuáles se excluyen de forma justificada.
Cláusula 7 · Apoyo
Usted proporciona los recursos, la competencia, la concienciación, la comunicación y la información documentada que el sistema necesita para funcionar.
Cláusula 8 · Operación
Usted pone en práctica las evaluaciones de riesgos e impactos de la IA y controla los sistemas de IA a lo largo de su ciclo de vida.
Cláusula 9 · Evaluación del desempeño
Usted supervisa, mide, audita internamente y realiza revisiones por la dirección para confirmar que el sistema funciona.
Cláusula 10 · Mejora
Usted actúa sobre las no conformidades e impulsa la mejora continua del sistema de gestión a lo largo del tiempo.
Anexo A · Controles de gestión de la IA
Un conjunto de referencia de controles que abarca áreas como las políticas de IA, los recursos, la evaluación de impactos, los datos para la IA y las responsabilidades del ciclo de vida, seleccionados para ajustarse a sus riesgos.
Quién lo necesita
- Organizaciones que crean, implementan o dependen de sistemas de IA y quieren una gobernanza demostrable sobre ellos
- Empresas cuyos clientes o reguladores empiezan a preguntar cómo se gestiona el riesgo de la IA
- Equipos que quieren un marco certificable para respaldar sus afirmaciones de IA responsable
Qué obtiene
- Un sistema de gestión de la IA delimitado, con un inventario de sistemas de IA
- Procesos de evaluación de riesgos e impactos de la IA y controles del ciclo de vida
- Documentación de gobernanza y evidencias de auditoría interna
- Preparación y apoyo durante la auditoría de certificación
Los plazos dependen de su alcance, del número y la naturaleza de sus sistemas de IA y de su gobernanza actual. Definimos el alcance con honestidad desde el principio en lugar de prometer un número fijo de semanas.
Versión actual
La edición actual es ISO/IEC 42001:2023, publicada en diciembre de 2023 como la primera norma de sistema de gestión dedicada a la inteligencia artificial. Es nueva y estable, por lo que todavía no hay una revisión en vigor, aunque las normas ISO de sistemas de gestión se revisan periódicamente y se siguen desarrollando documentos de apoyo de la familia 42000. Como sigue la misma estructura de alto nivel que normas como ISO/IEC 27001, un sistema de gestión existente le da una base sobre la que construir el AIMS en lugar de empezar desde cero.
Qué cuesta
Aquí conviven dos costes. tr3labs cobra unos honorarios delimitados de asesoría e implementación, presupuestados por adelantado una vez que entendemos su tamaño, el número y la naturaleza de sus sistemas de IA y su gobernanza actual. Por separado, el organismo de certificación acreditado que audita y emite el certificado ISO/IEC 42001 cobra según su propio baremo, y esa parte es independiente de nosotros, porque tr3labs nunca es el certificador ni el auditor. Definimos el alcance del trabajo con usted en lugar de presupuestar a ciegas.
Cómo tr3labs le lleva hasta allí
Evaluación de alcance y brechas
Definimos el alcance del AIMS, inventariamos sus sistemas de IA y sus riesgos, y medimos su gobernanza actual frente a la norma y sus controles.
Construir el sistema de gestión
Le ayudamos a implementar la gobernanza de la IA, las políticas, los procesos de evaluación de riesgos e impactos y los controles del ciclo de vida que la norma espera, documentados como un sistema gestionado.
Probar y demostrar
Realizamos auditorías internas y revisiones, y aplicamos nuestras pruebas de seguridad a los sistemas que alojan y sirven su IA, de modo que los controles estén operando y evidenciados.
Apoyo a la certificación
Le preparamos para la auditoría del organismo de certificación acreditado que elija y le acompañamos hasta el certificado y durante el ciclo de vigilancia que le sigue.
ISO/IEC 42001 frente al Reglamento de IA de la UE
Ambos abordan la gobernanza responsable de la IA, por lo que los equipos suelen suponer que cumplir uno satisface al otro.
| ISO/IEC 42001 | EU AI Act | |
|---|---|---|
| Cubre | Un sistema de gestión de la IA para cualquier organización | Sistemas de IA comercializados o utilizados en el mercado de la UE |
| Quién lo solicita | Los clientes, los socios y su propio consejo de administración | El regulador, como obligación legal |
| Idea central | Una norma certificable de buena gobernanza | Una ley basada en el riesgo que usted debe cumplir |
| Modelo de auditoría | Certificado de un organismo de certificación acreditado | Evaluación de la conformidad para sistemas de alto riesgo, además de la aplicación |
| Alcance | Voluntario, a escala mundial | Vinculante, con efecto extraterritorial |
| A menudo se mantiene junto con | ISO/IEC 27001 y SOC 2 | Junto a un sistema de gestión 42001 como base |
Preguntas frecuentes sobre ISO 42001
- ¿Quién emite el certificado ISO 42001?
- Un organismo de certificación independiente y acreditado para ISO/IEC 42001 emite el certificado tras una auditoría. tr3labs le prepara, construye el sistema de gestión de la IA y las evidencias, y le acompaña durante la auditoría; no somos un organismo de certificación.
- ¿Cómo se relaciona ISO 42001 con ISO 27001?
- Comparten la misma estructura de sistema de gestión y funcionan bien juntas. ISO 27001 rige la seguridad de la información, mientras que ISO 42001 rige específicamente la IA. Si ya opera un SGSI, gran parte de esa base se traslada a su sistema de gestión de la IA.
- ¿Ayuda ISO 42001 con el Reglamento de IA de la UE?
- Un sistema de gestión de la IA bien gestionado le proporciona gran parte de la gobernanza, la evaluación de riesgos y la documentación que esperan normativas como el Reglamento de IA de la UE. No sustituye el cumplimiento de las obligaciones específicas de la ley, pero es una base sólida, y alineamos ambos donde los dos se aplican.
Los servicios que te llevan hasta allí
Normas relacionadas
Lectura relacionada
El OWASP LLM Top 10, explicado: una guía en lenguaje sencillo para equipos que lanzan funcionalidades de IA
A clear, practical walkthrough of the OWASP Top 10 risks for LLM applications, in Spanish.
9 min de lectura
Cómo leer un informe de test de intrusión (VAPT): una guía en lenguaje sencillo para equipos
Un recorrido práctico, sección por sección, por lo que contiene un informe de test de intrusión, para que fundadores y equipos de ingeniería puedan leerlo con confianza y actuar según lo que dice.
8 min de lectura
SOC 2 frente a ISO 27001: una comparación honesta para ayudarte a elegir
Una guía en lenguaje sencillo sobre las diferencias reales entre SOC 2 e ISO 27001: qué es cada uno, quién pide cuál, cómo funcionan las auditorías, qué acabas teniendo en la mano y si deberías hacer ambos.
8 min de lectura