Gobernanza de la IA con ISO/IEC 42001
¿Qué es ISO/IEC 42001?
ISO/IEC 42001:2023 es la norma internacional que describe cómo una organización establece un sistema de gestión de IA para desarrollar, proporcionar o usar la inteligencia artificial de forma responsable. No describe un modelo o producto concreto, sino cómo la organización gestiona la IA: política, roles y responsabilidades, evaluación de riesgos e impacto, ciclo de vida, datos, terceros, seguimiento y mejora continua. Su estructura está alineada con otras normas de sistemas de gestión como ISO/IEC 27001, por lo que ofrece un esqueleto familiar a las organizaciones que ya gestionan la seguridad de la información.
Mi situación: formación de auditor jefe, no certificación de organizaciones
Yunus Sevğane completó en junio de 2025 la formación de auditor jefe del sistema de gestión de IA ISO/IEC 42001:2023 en Sigmacert Global. Es un certificado de formación; no significa que certifique o audite de forma independiente en nombre de una organización. Uso la norma como método de trabajo al dirigir proyectos de IA. Si su organización necesita certificación, recomiendo un experto independiente o un organismo de certificación acreditado. La lista completa de mi formación está en la página de certificados.
¿Qué hago en la dirección de proyectos?
- Propósito y alcance: se escribe a qué pregunta de negocio sirve el sistema de IA y dónde no debe usarse.
- Responsabilidad: se nombran el responsable de negocio, el responsable técnico y el punto de escalado; está claro quién decide ampliar, detener o revertir.
- Datos: la fuente, el permiso, el riesgo de datos personales y las reglas de acceso y conservación se aclaran en las primeras semanas.
- Riesgo e impacto: los riesgos se registran con responsable y medida; se identifican los puntos que requieren aprobación humana.
- Terceros: se escribe qué datos van a proveedores externos de modelos, servicios y datos y qué ocurre si el proveedor cambia.
- Seguimiento y mejora: se define qué se vigila en producción, con qué frecuencia y cómo los hallazgos se convierten en la siguiente decisión.
Para la lista detallada de preguntas, vea el artículo Gobernanza de la IA con ISO/IEC 42001: una lista de verificación para el líder de proyecto.
¿Qué no hago?
No emito certificados ISO/IEC 42001 para su organización, no realizo auditorías acreditadas ni doy dictámenes legales de cumplimiento. La norma es voluntaria y no sustituye las obligaciones legales. Mi aportación es montar la gobernanza desde el principio como un registro que alimenta las decisiones, en lugar de un montón de documentos añadido al final del proyecto.
Preguntas frecuentes
¿Cuál es la diferencia entre ISO/IEC 42001 e ISO/IEC 27001?
ISO/IEC 27001 describe un sistema de gestión de seguridad de la información; ISO/IEC 42001 describe un sistema de gestión de IA. Ambas usan un esqueleto común de sistemas de gestión; 42001 añade temas propios de la IA como riesgo, impacto, transparencia y ciclo de vida.
¿Es usted auditor jefe de ISO 42001?
Completé la formación de auditor jefe de ISO/IEC 42001:2023. Ese certificado de formación no significa que sea auditor de un organismo de certificación; uso la perspectiva que me dio en la dirección de proyectos.
¿Es obligatoria ISO 42001?
La norma es voluntaria. Puede surgir por expectativas de clientes, licitaciones o regulación; no sustituye las obligaciones legales.
¿Se aplica a un proyecto de IA pequeño?
Sí, a una escala adecuada: un registro breve de propósito, responsable, datos, riesgo y seguimiento es un buen comienzo para la mayoría de los proyectos.
Para hablar
El primer paso es una breve llamada de contacto. Use la página de contacto, escriba por WhatsApp (+90 531 679 10 14) o a yunus@sevgane.com.