Cómo se audita un agente de IA bajo ISO/IEC 42001: guía paso a paso

Q: ¿Necesito ISO 27001 antes de ISO 42001?

No es un prerrequisito formal, pero ayuda: comparten estructura y varios controles de IA (registro de eventos, control de accesos, gestión de proveedores) se apoyan en controles que ISO 27001 ya cubre.

Q: ¿Puedo auditar un agente que usa un modelo de terceros como Claude?

Sí. Eres usuario del modelo y proveedor del agente que construyes encima; la norma cubre ambos roles y la auditoría se centra en lo que tú controlas: la orquestación, los datos, los guardrails y la supervisión.

Guía práctica de los 5 controles ISO/IEC 42001 que reviso al auditar un agente de IA: trazabilidad, identidad, prompt injection y filtrado. Por un Lead Auditor.

Auditar un agente de IA bajo ISO/IEC 42001 no empieza por el modelo. Empieza por cinco controles: trazabilidad de versión, identidad y observabilidad, tratamiento de datos no confiables (MCP), filtrado de contenido y trazabilidad del razonamiento. En esta guía explico, como Lead Auditor certificado, qué reviso en cada uno y qué evidencia pido, con el mapeo exacto a las cláusulas y al Anexo A de la norma. El ejemplo es un agente construido sobre Microsoft Foundry con modelos Claude, pero el marco vale para cualquier agente en producción.

Qué es ISO/IEC 42001 y por qué aplica a tus agentes de IA

ISO/IEC 42001:2023 es la primera norma internacional para sistemas de gestión de inteligencia artificial (AIMS). Publicada en diciembre de 2023, hace para la IA lo que ISO 27001 hizo para la seguridad de la información: define cómo una organización gobierna, controla y mejora de forma continua el uso de la IA. No es una norma sobre algoritmos, es una norma sobre gobernanza: políticas, roles, evaluación de riesgos, evaluación de impacto, ciclo de vida y evidencia auditable. La mayoría de empresas que despliegan agentes son a la vez usuario de IA (consumen un modelo de terceros como Claude vía una plataforma) y proveedor de IA (construyen un agente encima, del que son responsables). Esta distinción determina qué controles del Anexo A aplican y conecta con el AI Act europeo (Reglamento UE 2024/1689).

Los 5 controles ISO 42001 que reviso al auditar un agente

1. Trazabilidad de versión del modelo. Qué modelo está desplegado exactamente, quién aprobó el cambio de versión y dónde está documentado. ISO 42001 exige control del ciclo de vida del sistema de IA: cada versión es una decisión que alguien autoriza, registra y justifica.
2. Identidad y observabilidad. Autenticación con identidad gestionada (Entra ID, sin claves estáticas) y registro de cada interacción: prompt, respuesta, herramientas invocadas y latencia. Lo que no se registra, no se puede auditar.
3. MCP y datos no confiables. El control que más me preocupa. Cada conexión MCP introduce contenido externo que puede llevar instrucciones inyectadas (el equivalente a la inyección SQL en agentes). El contenido externo debe tratarse como dato, nunca como orden, y debe existir una barrera de confirmación humana para acciones irreversibles.
4. Filtrado de contenido. Microsoft Foundry no aplica filtrado de contenido integrado a los modelos Claude por defecto: lo configura quien despliega, en la capa de inferencia. Darlo por hecho es una no conformidad de asignación de responsabilidades.
5. Extended thinking como traza auditable. Para tareas de criterio, conservar el registro del razonamiento del agente. La explicabilidad bajo ISO 42001 es proporcional al impacto del sistema y, para decisiones que afectan a personas, es exigible.

Cómo mapear estos controles a ISO/IEC 42001 (tabla control → cláusula → evidencia)

Cada control técnico se ancla a una cláusula del cuerpo normativo y a un control del Anexo A, con su evidencia. Esta es la tabla que uso en campo:

Control técnico	Cláusula / Anexo A ISO 42001	Qué evidencia pido
1. Trazabilidad de versión del modelo	Cláusula 8.1 · A.6.2.3 (Documentación del diseño y desarrollo) · A.6.2.5 (Despliegue del sistema de IA) · A.10.3 (Proveedores)	Registro de versiones con aprobador y fecha; autorización formal de despliegue; entrada en el inventario de sistemas de IA; gestión de las notificaciones de cambio del proveedor del modelo.
2. Identidad y observabilidad	Cláusula 8.1 y 9.1 · A.6.2.8 (Registro de eventos) · A.6.2.6 (Operación y monitorización) · integra con el control de accesos de ISO 27001	Muestras de log con prompt/respuesta/herramienta/latencia; alta del agente en Agent 365 como identidad gobernada; configuración Entra ID con identidad gestionada (sin claves estáticas).
3. MCP y datos no confiables	Cláusula 6.1.3 y 8.1 · A.6.2.4 (Verificación y validación) · A.9.2 (Procesos para el uso responsable)	Resultados de pruebas de inyección de prompts; configuración de la barrera de confirmación humana para acciones irreversibles; procedimiento de supervisión y override; entrada en el registro de riesgos con su tratamiento.
4. Filtrado de contenido	Cláusula 8.1 · A.6.2.5 (Despliegue) · A.10.2 (Asignación de responsabilidades) · A.10.3 (Proveedores)	Configuración del filtro en la capa de inferencia; casos de prueba que demuestran el filtro activo; matriz de responsabilidades plataforma vs. desplegador; evaluación del proveedor sobre qué trae por defecto.
5. Extended thinking como traza	Cláusula 8.1 · A.6.2.8 (Registro de eventos) · A.6.1.3 (Diseño y desarrollo responsable) · A.8.2 (Documentación para usuarios)	Trazas de razonamiento conservadas y vinculadas a las decisiones; política de retención de esas trazas; documentación de explicabilidad proporcional al impacto del sistema.

Por encima de estos cinco controles hay un requisito transversal que casi todos se saltan: la evaluación de impacto del sistema de IA (AISIA, controles A.5.2 a A.5.5). Antes de auditar los cinco controles técnicos, pregunto si existe una evaluación documentada de cómo el agente puede afectar a personas y a la organización.

Errores frecuentes al implantar ISO 42001 en una PYME que ya usa IA

Inventario de IA incompleto; evaluación de impacto que se hace una vez y nunca se revisa; supervisión humana sin registros; proveedores de IA sin evaluar; y objetivos de IA no medibles. Ninguno requiere un equipo de seguridad enorme para corregirse: requiere método, y empezar antes de que el agente lleve seis meses en producción tomando decisiones sin traza.

Preguntas frecuentes sobre ISO 42001 y agentes de IA

¿ISO 42001 es obligatoria?

No es obligatoria por ley, pero se está convirtiendo en el estándar de facto para demostrar gobernanza de IA. Además, alinea con el AI Act europeo: certificarse en ISO 42001 facilita demostrar conformidad cuando el reglamento te aplique.

¿Necesito ISO 27001 antes de ISO 42001?

No es un prerrequisito formal, pero ayuda mucho. Las dos normas comparten estructura, y varios controles de IA (registro de eventos, control de accesos, gestión de proveedores) se apoyan en controles que ISO 27001 ya cubre. Si ya tienes 27001, parte del camino está hecho.

¿Cuánto cuesta certificarse en ISO 42001?

Depende del alcance: número de sistemas de IA, tamaño de la organización y madurez de partida. El coste real no es la certificación en sí, sino el trabajo de implantar el sistema de gestión. Una auditoría de diagnóstico (gap analysis) te dice exactamente dónde estás antes de comprometer presupuesto.

¿Puedo auditar un agente que usa un modelo de terceros como Claude?

Sí. De hecho es el caso más común: eres usuario del modelo y proveedor del agente que construyes encima. La norma cubre ambos roles, y la auditoría se centra en lo que tú controlas: la orquestación, los datos, los guardrails y la supervisión.

¿Qué diferencia hay entre un POC con IA y un sistema auditable?

Un POC demuestra que la idea funciona. Un sistema auditable demuestra que, cuando algo falla, sabes por qué, quién es responsable y cómo se corrige, con evidencia. Estos cinco controles son justo lo que separa una cosa de la otra.

Soy Alex Fernández, Lead Auditor certificado en ISO/IEC 27001 e ISO/IEC 42001. Si tienes un agente de IA en producción y no sabes si pasaría una auditoría ISO 42001, lo reviso en una llamada de 30 minutos sin compromiso.