Implantación o auditoría interna de la ISO 42001 (nunca las dos en la misma empresa). Diagnóstico desde 1.600 € + IVA. Auditor Líder 42001 y 27001 en Asturias.
Página actualizada el
ISO/IEC 42001:2023 es el primer estándar certificable para sistemas de gestión de inteligencia artificial (AIMS). No es obligatoria, pero con el AI Act ya en aplicación es la forma ordenada de tener lista la evidencia que te van a pedir. Implanto el sistema o hago la auditoría interna, nunca las dos cosas en la misma empresa, como Auditor Líder ISO/IEC 42001 e ISO/IEC 27001, con base en Asturias. El diagnóstico parte de unos 1.600 € + IVA y la implantación, de unos 5.000 € + IVA.
Uso IA donde ahorra horas: inventario, cruce de requisitos entre normas y primeros borradores. Lo que no delego: el juicio sobre cada evidencia y lo que firmo como Lead Auditor ISO 27001 e ISO 42001.
Si lo que buscas es entender la norma antes de contratar nada, la explico entera en la guía completa de ISO 42001: qué es, para quién es y cómo se certifica — cláusulas, Anexo A, calendario del AI Act y proceso de certificación.
Y si lo primero que quieres saber es el precio, lo desgloso partida por partida en cuánto cuesta la ISO 42001: diagnóstico, implantación, certificación y mantenimiento.
Si tienes IA en producción —chatbots, scoring, ML industrial—, el AI Act europeo te obliga. Y conviene decirlo claro: la ISO 42001 no te da presunción de conformidad con el reglamento; esa nace de las normas armonizadas citadas en el Diario Oficial. Lo que sí te da es la estructura para producir, mantener y encontrar la evidencia que te van a pedir, y un certificado que un tercero puede auditar.
Tier 1 de automoción, alimentación y operadores portuarios empiezan a exigir evidencia de gobierno de IA en sus cuestionarios de proveedor. Sin AIMS, te quedas fuera.
Proveedores tecnológicos a Administración: ISO 42001 puntúa en pliegos donde ISO 27001 ya se da por hecho. Diferenciación real, no marketing.
Cómo se revisan estos controles en un caso real lo cuento en cómo se audita un agente de IA bajo ISO 42001, y los riesgos de seguridad de un asistente o un agente, con su control y su evidencia, en el OWASP Top 10 para LLM y la ISO 42001.
Puedes contratar solo la parte que necesites, pero la implantación y la auditoría interna nunca las hago en la misma empresa.
Un calendario tipo de 12 semanas, fase a fase: lo que se hace, lo que se entrega y la pantalla donde queda registrado. En la semana 0 no hay ningún requisito de la ISO 42001 cubierto; en la semana 12, 60 de 62, y el sistema está listo para auditoría. Ocho de ellos se cubren con lo que ya había de ISO 27001: formación, roles, inventario de activos y gestión de cambios se conectan con la 42001, sin duplicar controles. Los dos que faltan, la auditoría interna y la revisión por la dirección, van al final, y la auditoría la hace alguien que no ha participado en la implantación: quien implanta no audita.
La norma no; el AI Act sí. Y cuidado con el atajo que se oye mucho: certificarte en ISO 42001 no equivale a cumplir el AI Act. La presunción de conformidad del artículo 40 nace de las normas armonizadas citadas en el Diario Oficial, y la 42001 no es una de ellas. Lo que te da es el sistema para tener la evidencia lista, mantenida y demostrable ante quien la pida.
Sí. Comparten estructura de alto nivel y buena parte de controles. Si ya tienes SGSI, el coste marginal cae mucho.
Son dos servicios distintos, y en una misma empresa hago uno u otro, nunca los dos. La consultoría e implantación —el trabajo de poner la norma a punto en tu pyme— lleva entre 2 y 6 meses según tamaño y madurez. La auditoría interna previa a la certificación, en cambio, se resuelve en una o dos jornadas. Si ya tienes el AIMS montado, basta con la auditoría interna; si te lo implanto yo, la auditoría interna la hace otro auditor independiente.
Tiene sentido desde que metes IA en una decisión que afecta a personas, contratos o seguridad operativa. No es cosa solo de grandes. Si sois dos o tres personas, podéis llevar la norma y el inventario de IA por vuestra cuenta con Salvik y contratar la auditoría interna cuando toque.
No. El certificado lo emite una entidad de certificación, independiente de quien te prepara. Yo te implanto el sistema o te hago la auditoría interna que exige la cláusula 9.2, y te acompaño ante la certificadora. Antes de contratarla, pregunta qué organismo la acredita para la ISO 42001 y compruébalo en el registro de ese organismo.
Sí, en lo que afecta a tu sistema de gestión. La norma te pide analizar tu contexto (cláusula 4.1), y en la Unión Europea ese contexto incluye el AI Act. Reviso cómo lo has resuelto: qué papel tienes con cada sistema de IA (proveedor o responsable del despliegue), en qué nivel de riesgo cae y si te tocan las obligaciones de transparencia del artículo 50, que se aplican desde el 2 de agosto de 2026. No es un dictamen jurídico: compruebo que tu sistema tiene en cuenta el reglamento.
Sí. La norma lo pide en tres pasos: evaluar los riesgos de tus sistemas de IA (cláusula 6.1.2), tratarlos (6.1.3) y evaluar su impacto en las personas, los colectivos y la sociedad (6.1.4). Para los riesgos me apoyo en la ISO/IEC 23894 y, para el impacto, en la ISO/IEC 42005. Al final tienes un registro con cada riesgo, su tratamiento y su riesgo residual.
Múltiples auditorías internas ISO/IEC 42001 para clientes, bajo NDA, y dos auditorías externas ISO 27001 consecutivas cerradas con cero no conformidades como responsable del SGSI.
Reserva una llamada de 30 minutos sin coste desde la página de contacto: calendario integrado para elegir hora y formulario directo a services@alexfernandezlab.com. Respuesta en menos de 48 horas laborables.