Qué es la ISO/IEC 42001, qué es un AIMS, cómo encaja con el AI Act tras el Ómnibus y cómo se certifica. Guía 2026 de un Lead Auditor 42001 y 27001.
La ISO/IEC 42001:2023 es la primera norma internacional certificable para sistemas de gestión de inteligencia artificial (AIMS). No certifica que tu IA sea buena, justa o precisa: certifica que tu organización tiene un sistema para saber qué IA usa, qué puede salir mal con ella, quién responde de cada decisión y cómo se demuestra que los controles funcionan. Es el equivalente para IA de lo que la ISO 27001 es para la seguridad de la información, y comparte con ella la misma arquitectura de cláusulas. En esta guía explico qué exige de verdad, para quién tiene sentido, cómo encaja con el AI Act tras el Ómnibus digital publicado el 24 de julio de 2026, cómo es el proceso de certificación y los errores que más veces me he encontrado al auditar.
La ISO/IEC 42001:2023 se publicó en diciembre de 2023 y fue la primera norma internacional de sistemas de gestión dedicada íntegramente a la inteligencia artificial. La desarrolló el comité conjunto ISO/IEC JTC 1/SC 42. La palabra que hay que subrayar es gestión: como toda norma de sistemas de gestión, no evalúa el producto, evalúa el proceso alrededor del producto. No certifica que un modelo sea preciso, justo o seguro. No es un sello ético. Y no sustituye al AI Act: el reglamento europeo es derecho obligatorio, la norma ISO es voluntaria. Lo que sí hace es obligarte a tener un inventario real de sistemas de IA, a clasificarlos con criterio, a evaluar su impacto en las personas afectadas, a definir quién es dueño de cada uno, a controlar a los proveedores de modelos y datos, a gestionar incidentes y a revisarlo todo con periodicidad.
AIMS es la sigla de AI Management System, sistema de gestión de IA: el conjunto de política, roles, procesos, decisiones documentadas y evidencias con el que una organización gobierna la IA que desarrolla, proporciona o utiliza. Esos tres verbos deciden si esto va contigo. La norma no está pensada solo para quien entrena modelos: alcanza igual, y en España sobre todo, a quien usa IA de terceros dentro de sus procesos (un CRM con scoring, un asistente de atención al cliente, una herramienta de cribado de candidaturas, un copiloto de código). Si la decisión de una máquina afecta a una persona, hay un sistema que gobernar.
Tiene sentido si usas IA en procesos que afectan a personas y necesitas explicar por qué el sistema decide lo que decide; si vendes software o servicios con componente de IA a clientes grandes o a Administración; si ya tienes un SGSI ISO 27001 y quieres extenderlo al alcance de IA sin montar un sistema paralelo (el caso más eficiente con diferencia); o si estás en el radar del AI Act como proveedor o desplegador. No tiene sentido todavía si tu uso de IA se reduce a que tres personas usan un chat generativo para redactar correos (ahí lo pendiente es una política de uso aceptable y la formación del artículo 4), si no tienes un inventario mínimo de qué IA hay en casa, o si buscas el sello para la web antes de la próxima ronda: un auditor competente lo detecta en la primera mañana.
La 42001 usa la estructura armonizada de ISO, así que las cláusulas 4 a 10 son el sistema de gestión obligatorio y el Anexo A es un catálogo de controles que se aplican selectivamente según el análisis de riesgos.
| Cláusula | Qué exige la norma | Qué significa en la práctica |
|---|---|---|
| 4. Contexto | Organización, partes interesadas y alcance del AIMS | Delimitar por escrito qué sistemas, procesos y unidades entran. Y decidir tu rol: proveedor, desplegador o ambos |
| 5. Liderazgo | Compromiso de dirección, política de IA, roles | Una política aprobada de verdad y un dueño con nombre por cada sistema. IT no es un dueño |
| 6. Planificación | Riesgos, evaluación de impacto, objetivos, Declaración de Aplicabilidad | El núcleo. Además del riesgo para la organización, hay que valorar el impacto sobre las personas y la sociedad |
| 7. Apoyo | Recursos, competencia, concienciación, documentación | Formación demostrable en IA (sirve también para el art. 4 del AI Act) y documentación controlada |
| 8. Operación | Ejecutar el plan y gestionar el ciclo de vida | Diseño, datos, verificación, despliegue, operación y retirada. Con registro |
| 9. Evaluación del desempeño | Seguimiento, medición, auditoría interna, revisión por la dirección | La auditoría interna es obligatoria |
| 10. Mejora | No conformidades y mejora continua | Cuando algo falla, corregirlo con método |
El Anexo A contiene 38 controles agrupados en 9 objetivos de control (A.2 a A.10): política de IA, organización interna, recursos, evaluación de impacto, ciclo de vida del sistema de IA, datos, información para las partes interesadas, uso responsable y relaciones con terceros. Son deliberadamente de alto nivel y basados en principios: la norma no te dice qué umbral de precisión exigir a un modelo, te dice que tengas un criterio y lo documentes. Si quieres ver esto aterrizado en un sistema concreto, el recorrido completo está en la guía de cómo se audita un agente de IA bajo ISO/IEC 42001.
El Reglamento (UE) 2024/1689 (AI Act) entró en vigor el 1 de agosto de 2024 y se aplica por tramos. El Ómnibus digital sobre IA, el paquete que aplaza el bloque de alto riesgo, dejó de ser un anuncio y es derecho publicado: Reglamento (UE) 2026/1744, de 8 de julio de 2026, publicado en el DOUE el 24 de julio de 2026 y en vigor el 27 de julio de 2026. Si lees una guía que sigue diciendo que está pendiente de DOUE, está desactualizada. Y si lees una que dice que se ha aplazado el AI Act, está simplificando de una forma que te va a costar dinero.
| Hito | Fecha | Estado |
|---|---|---|
| Prácticas prohibidas (art. 5) y alfabetización en IA (art. 4) | 2-feb-2025 | Vigente y exigible |
| Aplicabilidad general y transparencia (art. 50) | 2-ago-2026 | NO aplazado por el Ómnibus |
| Marcado de contenido sintético (art. 50.2) en sistemas ya comercializados | 2-dic-2026 | Periodo transitorio en derecho vigente |
| Alto riesgo, Anexo III | 2-dic-2027 | Aplazado, ya publicado en el DOUE |
| Alto riesgo, Anexo I (IA embebida) | 2-ago-2028 | Aplazado, ya publicado en el DOUE |
Dos matices que casi nadie cuenta: el artículo 4 no se ha derogado, se ha reformulado como obligación de medios (adoptar medidas apropiadas para apoyar la alfabetización del personal) en vez de obligación de resultado; y en España la concreción de autoridades y procedimiento sancionador sigue pendiente de la legislación nacional, lo que no aplaza tu obligación. El calendario completo está en la guía del AI Act y el 2 de agosto.
Lo que la ISO 42001 NO hace: no te da presunción de conformidad con el AI Act. La presunción de conformidad del artículo 40 se obtiene aplicando normas armonizadas citadas en el Diario Oficial, y la 42001 no es una de ellas: es una norma ISO internacional, no una norma europea armonizada elaborada bajo petición de la Comisión. Cualquiera que te venda que certificándote en 42001 ya cumples el AI Act está vendiendo algo que no puede entregar. La familia de normas armonizadas la produce el comité CEN-CENELEC JTC 21. La primera pieza, EN 18286:2026, fue publicada por CEN en julio de 2026, pero que CEN publique una norma no activa la presunción de conformidad: esa nace únicamente con la cita en el Diario Oficial de la Unión Europea, y esa cita todavía no se ha producido.
Lo que la ISO 42001 SÍ hace, y es mucho: te da la estructura para producir, mantener y encontrar la evidencia que el reglamento te va a pedir. El AI Act dice qué hay que conseguir; la 42001 dice cómo se organiza y cómo se deja rastro. El solape útil está en el inventario y clasificación de sistemas, la evaluación de impacto (A.5), la información a las partes interesadas (A.8, donde vive el cumplimiento del artículo 50), las relaciones con terceros (A.10) y la gestión de incidentes (cláusula 10). Para la evaluación de impacto existe además una norma hermana específica, ISO/IEC 42005:2025.
El proceso es el de cualquier norma de sistemas de gestión: análisis de diferencias (GAP), definición de alcance y rol, política de IA y gobierno, análisis de riesgos y evaluación de impacto por sistema (de donde sale la Declaración de Aplicabilidad), implantación y operación dejando que el sistema viva unos meses generando registros, auditoría interna y revisión por la dirección, y finalmente auditoría de certificación en dos fases. La Fase 1 revisa documentación y madurez; la Fase 2 comprueba sobre el terreno que lo documentado se cumple y hay evidencia. El certificado es válido tres años, con auditorías de seguimiento anuales y recertificación al tercero. Un AIMS recién montado, sin evidencia, no supera una Fase 2.
Las reglas de acreditación específicas para las entidades que certifican AIMS se publicaron en ISO/IEC 42006:2025, que añade requisitos propios de IA sobre la base general de ISO/IEC 17021-1. Pregunta siempre si el certificado que te ofrecen es acreditado y por quién: un certificado emitido por una entidad no acreditada tiene el valor que tenga la reputación de esa entidad, y no siempre es el que se supone.
Quien te implanta el sistema no puede ser quien te lo certifica. La ISO/IEC 17021-1 lo establece en su cláusula de imparcialidad y exige un periodo de separación mínimo de dos años entre haber asesorado y poder certificar a esa organización. Mi propia regla es más estricta: a quien asesoro en ISO 27001 no lo audito nunca como tercera parte (veto permanente); en 42001 aplico el periodo de dos años que exige la norma. Cuando trabajo en modo consultor, mi papel es prepararte y acompañarte hasta la auditoría; la certificación la emite una entidad acreditada. Yo no certifico a nadie.
Tres pasos, y ninguno necesita presupuesto. Primero, inventario en una hoja: sistema, para qué se usa, dueño con nombre, proveedor, a quién afecta y fecha. Segundo, clasificar por el AI Act y no por la tecnología: prohibido, alto riesgo, transparencia o mínimo; el triaje AI Act hace exactamente esto en unos minutos. Tercero, un acta de una página firmada por dirección con quién es dueño de qué, qué está hecho y qué queda. Quién sostiene esto el resto del año es otra pregunta, y para una pyme rara vez la respuesta es contratar a jornada completa: es el modelo de CISO externo o vCISO. Si quieres verlo como servicio, está en la página de ISO 42001.
No. Ninguna norma ISO es obligatoria por sí misma. Lo obligatorio en la Unión Europea es el AI Act (Reglamento (UE) 2024/1689). La 42001 es la forma ordenada de demostrar lo que el reglamento exige y de que ese cumplimiento sobreviva a los cambios de personal y de proveedor.
No automáticamente, y quien lo afirme está exagerando. La presunción de conformidad del artículo 40 se obtiene con normas armonizadas europeas citadas en el Diario Oficial, y la ISO 42001 no lo es. Lo que sí aporta es la estructura y la evidencia con la que responder cuando te pregunten, y un solape muy alto con lo que el reglamento pide.
La ISO 27001 gobierna la seguridad de la información; la ISO 42001 gobierna la inteligencia artificial. Comparten la arquitectura de cláusulas 4-10, así que si ya tienes un SGSI se extiende el alcance en vez de montar un sistema nuevo. La diferencia de fondo está en la cláusula 6: la 42001 obliga a valorar el impacto sobre las personas y la sociedad, no solo el riesgo para la organización. Lo desarrollo en la guía de certificación ISO 27001.
No para la certificación. La ISO/IEC 17021-1 lo prohíbe por imparcialidad y exige un periodo mínimo de dos años entre asesorar a una organización y poder certificarla. Sí es válido y recomendable que un auditor experimentado te prepare y ejecute la auditoría interna, que es un requisito de la cláusula 9 y un papel distinto.