ISO/IEC 42001:2023 es una norma de sistemas de gestión para la inteligencia artificial: no describe un modelo o producto concreto, sino cómo una organización gestiona la IA. Completé la formación de auditor líder en esta norma en 2025. Esta publicación no es una declaración de certificación ni sustituye a la norma; es una lista de preguntas, destilada de esa formación y de mi experiencia en dirección de proyectos, que facilita el trabajo del líder de proyecto.
Primero, una distinción: el certificado de una organización frente a un método de trabajo
ISO/IEC 42001 es una norma de sistemas de gestión frente a la cual las organizaciones pueden certificarse. Yo no poseo un certificado organizacional; utilizo la perspectiva adquirida en la formación de auditor líder como método de trabajo a nivel de proyecto. Por tanto, la lista siguiente es la lista de preguntas de un líder de proyecto que sostiene que «la gobernanza no debe añadirse después». Si su objetivo es la certificación organizacional, esta lista es solo un buen punto de partida, no un sustituto.
1. Propósito y alcance
- ¿A qué pregunta de negocio o proceso sirve el sistema de IA?
- ¿Quién lo utilizará, en qué contexto y en qué situaciones no debe utilizarse?
- ¿Están por escrito los elementos fuera de alcance?
2. Responsabilidad y roles
- ¿Quién es el responsable de negocio del sistema y quién el responsable técnico?
- ¿A quién se acude cuando se cuestiona un resultado o se detecta un error?
- ¿Quién tiene los derechos de decisión para ampliar, detener o revertir?
3. Datos
- ¿De dónde provienen los datos y tenemos el derecho y la autorización para utilizarlos?
- ¿Contienen datos personales y, en tal caso, qué normas y salvaguardas se aplican?
- ¿Quién puede acceder a qué datos y cuáles son las reglas de conservación y eliminación?
- ¿Quién supervisa la calidad y la actualidad de los datos, y cómo?
4. Evaluación de riesgos e impacto
- Si el sistema funciona mal, ¿a quién afecta y cómo?
- ¿Se llevan los riesgos en un registro, cada uno con un responsable y una medida de mitigación?
- ¿Se han identificado los puntos que requieren aprobación humana?
- ¿Qué control existe frente a resultados erróneos, sesgados o inventados?
5. Ciclo de vida y cambios
- ¿Están definidos el diseño, las pruebas, el despliegue, el mantenimiento y la retirada?
- ¿Se realiza una nueva evaluación cuando cambian el modelo, el prompt o los datos?
- ¿Se registran los cambios?
6. Terceros
- ¿Qué modelo, servicio o proveedor de datos externo se utiliza?
- ¿Qué datos se envían a ese proveedor y los cubren el contrato y las condiciones de privacidad?
- ¿Qué ocurre si el proveedor cambia o el servicio se interrumpe?
7. Seguimiento y mejora
- ¿Qué supervisamos mientras el sistema está en producción y con qué frecuencia?
- ¿Pueden los usuarios notificar problemas y a qué responsable llegan esas notificaciones?
- ¿Cómo se convierten los hallazgos en la siguiente decisión de mejora?
¿Cómo utilizo esta lista en un proyecto?
Utilizo la lista como parte de la planificación, no como un formulario de auditoría. En las primeras semanas se recopilan las respuestas; las preguntas que no pueden responderse pasan al registro de riesgos con un responsable y una fecha. Tras el piloto se revisa de nuevo la lista y la decisión de ampliar se toma a la vista de esas respuestas. De este modo, la gobernanza se convierte en un registro que alimenta las decisiones, y no en un montón de documentos añadidos al final del proyecto.
Evaluar la norma en sí y determinar si su organización necesita certificación es un trabajo aparte; para ello recomiendo contar con el apoyo de un experto independiente o de un organismo de certificación acreditado. Para conocer mi propio enfoque de trabajo, consulte las páginas Seguridad de la información y cumplimiento ISO y Proyectos de IA.