Implantación ISO/IEC 42001

ISO/IEC 42001:2023 es el primer estándar internacional certificable para sistemas de gestión de inteligencia artificial (AIMS, Artificial Intelligence Management System). Sigue la estructura de alto nivel de ISO (Anexo SL), igual que ISO 27001, ISO 9001 o ISO 14001, lo que la hace integrable con sistemas de gestión existentes. Su Anexo A contiene 38 controles específicos para IA agrupados en 9 dominios: gobierno, políticas, estructura organizativa, recursos, evaluación del impacto del sistema IA, ciclo de vida del sistema IA, datos, información a partes interesadas y uso. Es certificable por entidades acreditadas (ENAC en España, UKAS en Reino Unido).

No es obligatorio, pero ayuda mucho. Ambos siguen Anexo SL (estructura común de sistemas de gestión ISO) por lo que cláusulas 4 a 10 son prácticamente equivalentes. Si ya tienes 27001 certificado, el esfuerzo de 42001 se reduce sustancialmente: aprovechas gobierno, comité, gestión de riesgos, no conformidades, mejora continua, auditorías internas. Si no tienes 27001, lo implantamos en paralelo (mismas cláusulas SL) y abordamos los controles específicos: para 27001 el Anexo A 93 controles, para 42001 los 38 controles propios de IA. Lo decidimos en el diagnóstico inicial.

Depende del alcance (número de sistemas IA cubiertos, complejidad organizativa, certificaciones previas). Implantación pre-certificación con 1-3 sistemas IA y ISO 27001 ya certificado: 4-6 meses, 1-2 consultores GRC + 1 técnico, 35-65 mil euros. Implantación combinada 27001+42001 desde cero: 8-14 meses, 50-130 mil euros. Si solo se busca alineación sin certificación: 3-4 meses, 18-30 mil euros. La certificación posterior (auditoría externa) la realiza entidad acreditada (TÜV, AENOR, BSI, LRQA) y se factura aparte: 6-15 mil euros típico según alcance. Antes de presupuestar hacemos diagnóstico inicial.

Seis bloques. Diagnóstico (gap analysis contra cláusulas 4-10 + 38 controles Anexo A, identificación de sistemas IA en alcance, definición de roadmap). Gobierno (política IA, comité IA, asignación de roles, indicadores de gestión). Gestión de riesgos IA (procedimiento art. 9 EU AI Act compatible, registro, evaluaciones por sistema). Controles Anexo A (implantación efectiva de los 38 controles aplicables, documentación de exclusiones justificadas). Operación (auditorías internas, revisión por dirección, no conformidades, acciones correctivas, mejora continua). Pre-auditoría (simulación de auditoría externa, ajustes finales antes de la auditoría de certificación).

27001 es el SGSI clásico para seguridad de la información (confidencialidad, integridad, disponibilidad). 42001 es el SGSI específico para sistemas IA (responsabilidad, transparencia, equidad, supervisión humana, fiabilidad, seguridad IA, privacidad en IA). Las cláusulas 4 a 10 son equivalentes (Anexo SL). Los anexos son completamente distintos: 27001 cubre 93 controles de seguridad de información (organización, personas, físico, tecnológico); 42001 cubre 38 controles específicos de IA en 9 dominios. Una organización puede tener ambos, integrados como sistema de gestión único, que es la práctica recomendada cuando hay sistemas IA en producción.

ISO/IEC 42001 es el marco operativo natural para sostener cumplimiento EU AI Act. El control A.6.2 del Anexo A (evaluación de impacto del sistema IA) cubre el espíritu del art. 9 EU AI Act (sistema de gestión de riesgos). El A.6.1 (objetivos y procesos del sistema IA) se mapea con art. 11 (documentación técnica). El A.8.1 (registro de uso del sistema IA) con art. 12 (logs). El control 9.2 (evaluación del desempeño de seguridad del sistema IA) cubre directamente lo que el art. 15 EU AI Act exige sobre testing. Implantar 42001 no certifica EU AI Act (son cosas distintas) pero genera la base de evidencia que el inspector AESIA querrá ver.

La certificación la otorgan entidades de certificación acreditadas. En España las más relevantes son AENOR, TÜV Rheinland España, TÜV SÜD Iberia, Bureau Veritas, LRQA, SGS y BSI. Para que la certificación tenga validez internacional, la entidad debe estar acreditada por ENAC (España) u otro acreditador miembro de IAF MLA. Hard2bit es independiente: no somos ni entidad certificadora ni representamos a ninguna. Te ayudamos a preparar la organización para superar la auditoría externa, pero la auditoría la realiza la entidad que el cliente elija. Coordinamos contigo y la entidad para que la auditoría salga limpia.

Sí, por tres razones. Procurement: clientes enterprise están empezando a exigir 42001 como condición de RFP en 2026-2027, especialmente proveedores SaaS con componentes IA. Diferenciación competitiva: el estándar es nuevo y pocas empresas españolas están certificadas; ser de las primeras genera ventaja comercial real. Operacional: el marco AIMS te da estructura de gestión para gobernar IA en la organización de forma sostenible, no solo para cumplir el reglamento puntual; sin marco operativo, EU AI Act se gestiona reactivamente con costes recurrentes. Recuperación de la inversión: típicamente 12-24 meses para empresas con varios sistemas IA o clientes enterprise.

Tras la implantación, el proceso de certificación con entidad acreditada típicamente dura 3-4 meses: auditoría documental (fase 1) + auditoría de implantación (fase 2) + tiempo de tratamiento de hallazgos + decisión de certificación. Si la implantación se ha hecho bien (con pre-auditoría incluida), el porcentaje de éxito en primera convocatoria es alto (>80%). El certificado tiene validez de 3 años con auditorías de seguimiento anuales. La planificación realista: 4-6 meses de implantación + 3-4 meses de certificación = 7-10 meses desde diagnóstico hasta certificado en mano, si ya hay ISO 27001 implantado.

Llamada de 30 minutos para entender vuestro estado (sistemas IA en alcance, certificaciones existentes, ISO 27001 sí/no, situación de cumplimiento EU AI Act, objetivo: certificación o solo alineación). Si tiene sentido, diagnóstico inicial de 3-5 semanas con gap analysis contra cláusulas SL + 38 controles Anexo A. Con eso emitimos propuesta firme: alcance, ventana, equipo asignado, entregables y precio cerrado. Sin compromisos hasta firma. Si vemos que el cliente aún no tiene sistemas IA en alcance suficiente, recomendamos alinear sin certificar (más económico, base preparada para certificar cuando proceda).