Cómo prepararse para ISO/IEC 42001

¿Qué es ISO/IEC 42001 y quién debería considerarla?

ISO/IEC 42001 es la norma internacional para sistemas de gestión de inteligencia artificial, publicada en diciembre de 2023. Sigue la misma estructura de otras normas de gestión, como ISO/IEC 27001, así que si tu empresa ya tiene un sistema de seguridad de la información, buena parte de la forma de trabajar te resultará conocida.

Aplica tanto a quien desarrolla IA como a quien la usa o la ofrece dentro de sus productos. Hoy no es obligatoria en Colombia, pero es una forma reconocida de demostrar a clientes, socios y reguladores que la IA se usa con control.

¿Por dónde empezar?

Por saber qué tienes. La mayoría de empresas usa más IA de la que cree: asistentes en herramientas de oficina, modelos en productos de proveedores, automatizaciones internas y pruebas que nadie formalizó.

Los primeros pasos son:

• Hacer un inventario de usos de IA: qué sistema, para qué, con qué datos y quién es responsable.
• Definir el contexto: qué esperan clientes, reguladores y socios del uso de IA en tu empresa.
• Fijar el alcance del sistema de gestión: qué áreas, procesos y sistemas de IA cubre.
• Conseguir el respaldo de la dirección y nombrar responsables con autoridad real.

¿Qué exige la norma en la práctica?

La norma pide establecer una política de IA, roles y responsabilidades, objetivos medibles y un proceso para evaluar y tratar riesgos. Además incluye una evaluación de impacto de los sistemas de IA sobre personas y grupos.

Su Anexo A trae una lista de controles de referencia: ciclo de vida de los sistemas de IA, datos, información para las partes interesadas, uso responsable y relación con terceros, entre otros. Tu empresa decide cuáles aplican y lo justifica en una declaración de aplicabilidad.

El NIST AI RMF, el marco voluntario de gestión de riesgos de IA publicado en enero de 2023, es un buen complemento: sus funciones de gobernar, mapear, medir y gestionar ayudan a operar la gestión de riesgos que la norma exige.

¿Cómo se pasa del documento a la operación?

Aquí es donde muchas implementaciones se quedan cortas. Una política escrita no sirve si los sistemas no la cumplen. Los controles deben vivir en la operación:

• Permisos mínimos para cada sistema o agente de IA.
• Aprobación humana en las decisiones sensibles.
• Registro y trazabilidad de lo que hace cada sistema de IA.
• Control de los datos que entran a los modelos, incluido el tratamiento de datos personales conforme a la Ley 1581 de 2012.
• Monitoreo y revisión periódica del desempeño y de los incidentes.

¿Qué errores conviene evitar?

El más común es tratar la norma como un ejercicio de documentos. Se escriben políticas, se llena una matriz de riesgos y nada cambia en los sistemas. En la auditoría, la falta de evidencia de operación sale rápido.

Otros errores frecuentes:

• Dejar fuera del inventario la IA de proveedores y las herramientas que el equipo adoptó por su cuenta.
• Definir un alcance tan amplio que el sistema nunca termina de implementarse.
• Asignar el gobierno de IA solo a tecnología, sin participación del negocio, legal y riesgos.
• Evaluar riesgos una vez y no volver a revisarlos cuando cambian los sistemas o los datos.

¿Cómo es el proceso de certificación?

Antes de la auditoría externa, la norma pide hacer una auditoría interna y una revisión por la dirección. Eso permite encontrar brechas y corregirlas con tiempo.

La certificación la emite un organismo certificador acreditado, normalmente en dos etapas: una revisión de la documentación y el diseño del sistema, y luego una evaluación de que funciona en la práctica. Después vienen auditorías de seguimiento para mantenerla.

Rival Tech no certifica. Ayudamos a implementar el sistema de gestión, a conectar los controles con la operación real y a preparar la evidencia para la auditoría.

Preguntas frecuentes