Cumplimiento
Cada vez más empresas usan o desarrollan inteligencia artificial, y en las conversaciones aparecen dos referencias que se confunden: una norma, la ISO 42001, y una ley, el AI Act. Esta guía explica qué es cada una, a quién aplica y cómo encajan.
La inteligencia artificial ha dejado de ser un experimento de laboratorio para meterse en procesos reales: atención al cliente, selección de personal, análisis de crédito, detección de fraude, generación de contenido. Y con ella llega un tipo de riesgo nuevo que los controles clásicos de ciberseguridad no cubren del todo: sesgos en las decisiones, dependencia de datos de calidad dudosa, modelos que se degradan con el tiempo, proveedores de IA opacos y la propia seguridad del modelo frente a manipulaciones. Una IA sin gobierno no es una IA más rápida: es un riesgo sin dueño.
Ante ese vacío han aparecido dos referencias que conviene no mezclar. Una es una norma técnica voluntaria, la ISO/IEC 42001. La otra es una ley obligatoria, el Reglamento europeo de IA, conocido como AI Act. No compiten: resuelven cosas distintas y, bien usadas, se refuerzan. Vamos por partes.
La ISO/IEC 42001:2023, publicada en diciembre de 2023, es el primer estándar internacional certificable para un sistema de gestión de inteligencia artificial (AIMS, por sus siglas en inglés). Dicho de otro modo: es la primera norma que permite a una organización demostrar, con un certificado emitido por un tercero, que gobierna su IA de forma ordenada.
Quien conozca la ISO 27001 se moverá en terreno familiar, porque comparte la misma lógica de sistema de gestión: el ciclo planificar, hacer, verificar y actuar. En la práctica, la ISO 42001 pide definir roles y responsabilidades sobre la IA, evaluar sus riesgos e impactos (no solo técnicos, también sobre las personas afectadas), implantar controles a lo largo de todo el ciclo de vida del sistema de IA y mejorar de forma continua a partir de lo que se aprende. No dice qué modelo usar ni prohíbe casos de uso; ordena la manera de gestionarlos.
Es voluntaria: nadie te obliga a certificarte. Pero el certificado funciona como prueba de diligencia frente a clientes, inversores y reguladores, del mismo modo que la ISO 27001 se ha convertido en el lenguaje común de la seguridad de la información. Si quieres el detalle de cómo se implanta un AIMS paso a paso, lo desarrollamos en nuestra página de consultoría ISO 42001.
El AI Act es el Reglamento (UE) 2024/1689, publicado el 12 de julio de 2024 y en vigor desde el 1 de agosto de 2024. A diferencia de la ISO, no es opcional: es de obligado cumplimiento y, por su carácter de reglamento europeo, aplica de forma directa en todos los Estados miembros.
Su lógica es un enfoque basado en el riesgo, que clasifica los sistemas de IA en cuatro niveles con obligaciones muy distintas:
El reglamento se aplica por fases. Las prohibiciones de ciertos usos y las obligaciones de alfabetización en IA rigen desde el 2 de febrero de 2025; las normas para los modelos de IA de propósito general (GPAI), junto con la gobernanza, los organismos notificados y el régimen sancionador, desde el 2 de agosto de 2025; la aplicación general del reglamento, que incluye las obligaciones de transparencia y buena parte de los requisitos de los sistemas de alto riesgo, llega el 2 de agosto de 2026; y los sistemas de alto riesgo que son componentes de seguridad de productos ya regulados (Anexo I: máquinas, juguetes, ascensores y similares) disponen hasta el 2 de agosto de 2027. El calendario de algunos sistemas de alto riesgo se ha ido ajustando con normas posteriores, así que conviene verificar el hito que aplica a tu caso concreto. El desglose de figuras, obligaciones y plazos lo tienes en nuestra página de consultoría del AI Act.
Aquí está la idea que despeja la confusión. El AI Act define el qué: qué está prohibido, qué obligaciones legales tiene un sistema de alto riesgo, qué hay que documentar, informar y vigilar. La ISO 42001 aporta el cómo: el sistema de gestión con el que operar esas obligaciones día a día, generar evidencia de que se cumplen y mejorarlas de forma continua.
Marca las obligaciones legales según el nivel de riesgo del sistema: qué está prohibido, qué exige un sistema de alto riesgo, qué transparencia y qué vigilancia impone. Es obligatorio y sancionable.
Da el sistema de gestión para cumplir esas obligaciones de forma continua: roles, evaluación de riesgos e impactos, controles sobre el ciclo de vida y mejora. Es voluntaria y certificable.
La consecuencia práctica importa: certificarse en ISO 42001 no sustituye las obligaciones del AI Act. La ley se cumple por sí misma, con certificado o sin él. Pero disponer de un sistema de gestión de IA ya montado facilita muchísimo esas obligaciones y, sobre todo, permite demostrarlas: la evaluación de riesgos e impactos, la trazabilidad de decisiones, el control de proveedores o la supervisión humana que exige el reglamento son, en gran medida, controles que la norma ya te obliga a organizar. En vez de responder a la ley con documentos sueltos hechos a última hora, respondes con un sistema que produce esa evidencia de serie.
Es la misma lógica con la que un plan director de ciberseguridad ordena el conjunto de la seguridad, o con la que la ISO 27001 estructura la protección de la información. La gobernanza no elimina la obligación legal; la hace gestionable.
No hay que esperar a la última fecha del calendario para empezar a ordenar esto. Hay tres perfiles a los que la combinación de norma y ley les toca ya de cerca:
En los tres casos aparece el mismo patrón: la IA entra en la cadena de suministro y la confianza de los clientes empieza a depender de cómo la gobiernas. Antes de firmar contratos, cada vez más empresas preguntan por ella, igual que hoy piden una ISO 27001. Llegar con un sistema de gestión de IA y un mapa claro de qué te aplica del AI Act deja de ser un lujo y pasa a ser un argumento comercial.
Si no tienes claro por dónde empezar (qué sistemas de IA tienes en marcha, en qué nivel de riesgo caen y qué te exige el AI Act frente a lo que aporta la ISO 42001), es exactamente el punto de partida que trabajamos en un diagnóstico. Y si quieres situar la IA dentro del mapa completo de normas que pueden aplicarte, te ayuda leer antes qué norma de ciberseguridad te aplica.
Cuéntanos qué IA desarrollas, integras o usas y te decimos qué te aplica del AI Act, en qué nivel de riesgo cae cada sistema y cómo la ISO 42001 te ayuda a cumplirlo y demostrarlo. Es el diagnóstico de alcance que hacemos en Meta-Data, sin compromiso.
Solicitar una propuestaO escríbenos a [email protected].
