La ISO/IEC 27090, guía de seguridad de la IA, se publicó el 14 de octubre de 2026. Qué es, por qué no se certifica y cómo usarla con la ISO 42001 y la 27001.
Por Alex Fernández, Auditor Líder ISO/IEC 27001 e ISO/IEC 42001 · Actualizado el
La ISO/IEC 27090 se publicó el 14 de octubre de 2026. Es la guía de ISO sobre las amenazas de seguridad propias de los sistemas de IA, como el envenenamiento de datos o el robo del modelo, y sobre cómo detectarlas y mitigarlas. No tiene requisitos, así que no se certifica: se usa dentro de la evaluación y el tratamiento de riesgos de la ISO 42001 o de la ISO 27001. Aquí va qué cambia, dónde encaja y qué hacer según tu punto de partida, con un ejemplo.
Los riesgos de los modelos de lenguaje, con su control y su evidencia, están en la guía del OWASP Top 10 para LLM, y lo básico de la 42001, en qué es la ISO 42001 y cómo se certifica.
Nadie puede certificar a tu empresa en la ISO 27090, pero si la citas en tu declaración de aplicabilidad, el auditor comprobará que haces lo que dices.
Es la ISO/IEC 27090:2026, primera edición, del subcomité ISO/IEC JTC 1/SC 27, el de la 27001; la 42001 es del SC 42, el de inteligencia artificial. Según su resumen, explica las consecuencias de esas amenazas a lo largo del ciclo de vida del sistema y cómo detectarlas y mitigarlas, para cualquier organización que desarrolle o use IA.
Está publicada desde el 14 de octubre de 2026: la ficha del Instituto de Normalización de Serbia, miembro de ISO, la da ese día en la etapa 60.60, norma publicada; la tienda de IEC la vende como edición 1.0, de 56 páginas y solo en inglés, y la de AENOR la marca «En vigor». Si la ves «en proceso de publicación», es la etiqueta de la etapa anterior.
Lo que cambia y lo que no:
Según el resumen de iso27001security.com y la reseña de heise online, los dos del 19 de octubre, trata ataques deliberados como el envenenamiento de datos y del modelo, la evasión con entradas preparadas, el robo o la extracción del modelo, la inferencia de pertenencia y la inversión del modelo, que sacan información del entrenamiento, y la inyección de instrucciones y los ataques por la salida. Para detectarlos y mitigarlos se apoya en la ISO/IEC 42001 y en la ISO/IEC 38507, la de gobierno de la IA para la dirección.
Según heise, los agentes con acceso a herramientas apenas aparecen en esta primera edición; para ellos, mira cómo audito un agente de IA. La norma es de pago y lo que cuento sale de su resumen oficial y de esas reseñas, así que no te doy números de apartado.
| Norma | Qué es | ¿Se certifica? | Qué te aporta |
|---|---|---|---|
| ISO/IEC 42001:2023 | Sistema de gestión de la IA, con requisitos y 38 controles en su Anexo A | Sí | Gobierno, riesgos e impacto de cada sistema de IA |
| ISO/IEC 27001:2022 | Sistema de gestión de la seguridad de la información, con 93 controles en su Anexo A | Sí | Acceso, proveedores, desarrollo seguro, registros y cambios |
| ISO/IEC 27090:2026 | Guía sobre las amenazas de seguridad propias de la IA | No, porque no tiene requisitos | Qué amenazas tratar y cómo detectarlas y mitigarlas |
Ninguno de los 38 controles del Anexo A de la 42001 lleva el nombre de un ataque, y la 27001 protege cualquier sistema sin entrar en lo propio de un modelo. Ese hueco es el de la 27090.
Las dos normas certificables piden evaluar los riesgos (6.1.2) y tratarlos (6.1.3), y aceptan controles que no están en su Anexo A, diseñados por ti o sacados de otra fuente, si los comparas con ese anexo y justificas cada decisión en la declaración de aplicabilidad. Ahí entra la 27090:
Es habitual que la evaluación de riesgos de un sistema de IA hable de sesgos y de errores y no diga nada de ataques; el paso 2 está para eso. En una auditoría interna pido el registro de riesgos de cada sistema con estas amenazas valoradas, la declaración de aplicabilidad que sale de ahí, las pruebas de que los controles funcionan y la última revisión tras un cambio.
Caso ficticio: una empresa de software de 30 personas, con la ISO 27001, vende un modelo propio que clasifica facturas, entrenado con documentos de sus clientes, y un asistente que, con el modelo de lenguaje de un tercero, responde sobre esos documentos y pasa datos al ERP del cliente. Quiere la ISO 42001. Así caen cinco amenazas de la 27090:
| Amenaza y cómo aparece | ISO 42001, Anexo A | ISO 27001, Anexo A | Evidencia que pido |
|---|---|---|---|
| 1. Envenenamiento de datos o del modelo (LLM05 en OWASP): las correcciones de los clientes vuelven al reentrenamiento sin revisar | A.7.3 Adquisición, A.7.4 Calidad y A.7.5 Procedencia de los datos; A.6.2.4 Verificación y validación | 5.15 Control de acceso y 8.32 Gestión de cambios | Origen de cada lote de reentrenamiento y quién lo aprobó; quién escribe en esos datos; pruebas contra el modelo anterior antes de desplegar |
| 2. Evasión: un proveedor prepara su factura para que el modelo la clasifique mal y se salte la revisión | A.6.2.2 Requisitos del sistema, A.6.2.4 Verificación y validación y A.6.2.6 Operación y monitorización | 8.29 Pruebas de seguridad y 8.16 Monitorización | Qué entradas debe aguantar el modelo y qué casos pasan a una persona, por escrito; pruebas con entradas manipuladas, con fecha y resultado |
| 3. Robo o extracción del modelo: alguien se lleva los pesos o copia el modelo a base de consultas | A.6.2.6 Operación y monitorización y A.6.2.8 Registro de eventos | 8.3 Restricción del acceso a la información, 8.5 Autenticación segura y 8.16 Monitorización | Quién puede descargar los pesos; límite de consultas por clave; alerta de volumen anómalo con su umbral |
| 4. Inferencia de pertenencia e inversión del modelo: consultas para saber si las facturas de una empresa se usaron al entrenar o para sacar datos de ellas | A.7.2 Datos para el desarrollo y la mejora y A.5.4 Impacto en individuos o grupos | 5.12 Clasificación, 5.34 Privacidad y 8.11 Enmascaramiento de datos | Qué datos de cada cliente entran al entrenar y con qué permiso; si la API devuelve la puntuación de confianza exacta, que facilita el ataque |
| 5. Inyección de instrucciones y ataques por la salida (LLM01 y LLM10): un PDF con texto oculto da órdenes al asistente y su respuesta entra sin validar en el ERP | A.6.2.2 Requisitos del sistema, A.6.2.4 Verificación y validación y A.6.2.6 Operación y monitorización | 8.26 Requisitos de seguridad de las aplicaciones, 8.28 Codificación segura y 8.29 Pruebas de seguridad | Qué contenido externo lee el asistente y qué puede hacer; salida validada por código antes de pasar al ERP; pruebas adversarias con fecha |
El mapa es mío, de auditor, no de ISO: ajústalo a tu sistema.
Si llevas el cumplimiento en una herramienta, en Salvik puedes dar de alta cada medida de seguridad de tu IA como un control propio y vincularla a los requisitos de la 42001 y de la 27001 que cubre (las dos a la vez, con el plan Pro); cómo hacerlo paso a paso está en su guía de la ISO 27090.
Si prefieres que lo veamos juntos, el diagnóstico ISO 42001 parte de tu inventario y de tu evaluación de riesgos y termina en un plan priorizado. El resto de lo que hago, de la auditoría interna de la 27001 al vCISO, está en servicios.
Sí. La ISO/IEC 27090:2026 se publicó el 14 de octubre de 2026, en primera edición y en inglés. Lo que leas de antes de esa fecha habla de un borrador.
No. Es una guía y no tiene requisitos contra los que auditar. Se certifica el sistema de gestión, con la ISO 42001 o la ISO 27001, y la 27090 se usa dentro de él.
La 42001 es la norma del sistema de gestión de la IA: tiene requisitos y se certifica. La 27090 es una guía sobre las amenazas de seguridad propias de la IA, y te ayuda con esa parte de la evaluación y el tratamiento de riesgos que pide la 42001.
No es obligatoria, pero si tienes sistemas de IA en el alcance te sirve. La 27001 cubre el acceso, los proveedores o el desarrollo seguro, y no nombra el envenenamiento de datos, la evasión ni el robo del modelo. La 27090 los lleva a tu evaluación de riesgos.
No da presunción de conformidad: la dan las normas armonizadas publicadas en el Diario Oficial (art. 40), y la 27090 no es una de ellas. Pero ayuda con el artículo 15.5, que pide a los sistemas de alto riesgo medidas, según corresponda, contra el envenenamiento, la evasión y los ataques a la confidencialidad, desde el 2 de diciembre de 2027 para los del anexo III.
Se complementan. OWASP es gratuito y se centra en las aplicaciones con modelos de lenguaje; la 27090 vale para cualquier sistema de IA, también un clasificador. Con un modelo de lenguaje, yo usaría las dos.