Ir al contenido
Optim-AI

Gobernanza de la IA

ISO/IEC 42001 para pymes: cuándo la norma compensa el esfuerzo, y cuándo no

Actualizado a 10 de octubre de 2026. ISO/IEC 42001 es una norma internacional publicada en diciembre de 2023. Define los requisitos de un sistema de gestión de la inteligencia artificial. Es voluntaria. La certificación la otorga un organismo independiente, no una consultora. No equivale al cumplimiento del Reglamento Europeo de IA. Para una pyme, se justifica sobre todo si vende productos o servicios basados en IA a clientes que la exigen. En los demás casos, unas pocas reglas de gobernanza suelen bastar. Optim-AI ayuda a preparar la certificación, en un proyecto específico. No certificamos.

La norma

Qué es ISO/IEC 42001

ISO/IEC 42001:2023 se titula «Tecnologías de la información — Inteligencia artificial — Sistema de gestión». Se dirige a las organizaciones que desarrollan, suministran o utilizan sistemas de IA, sea cual sea su tamaño.

No trata sobre un modelo o un programa. Trata sobre la forma en que la empresa organiza sus decisiones en torno a la IA: política, funciones, análisis de riesgos, evaluación de impactos, seguimiento, mejora.

Su estructura retoma la de las demás normas de sistemas de gestión de ISO, entre ellas ISO/IEC 27001 para la seguridad de la información. Los capítulos tienen los mismos números y los mismos títulos: contexto, liderazgo, planificación, apoyo, operación, evaluación, mejora. Un anexo A enumera controles de referencia. La empresa elige los que se aplican y justifica sus exclusiones.

En Francia, la norma está disponible en AFNOR con la referencia NF EN ISO/IEC 42001, edición de marzo de 2026.

La certificación. Es opcional. La otorga un organismo de certificación, tras una auditoría inicial y luego auditorías de seguimiento. Los requisitos aplicables a estos organismos los fija ISO/IEC 42006, publicada en 2025. En Francia, la acreditación de los organismos corresponde al COFRAC. Antes de elegir un organismo, compruebe en cofrac.fr, o ante el organismo de acreditación europeo correspondiente, que su alcance de acreditación cubre efectivamente ISO/IEC 42001.

La relación con ISO 27001. Si ya está certificado en ISO 27001, dispone de una base común: revisión por la dirección, auditoría interna, gestión documental, análisis de riesgos. ISO 42001 añade aspectos propios de la IA, como la evaluación de impacto de los sistemas o la calidad de los datos. Ambos sistemas pueden gestionarse conjuntamente.

Límites

Lo que no es

  • No es una obligación legal. Ningún texto obliga a las pymes a estar certificadas en ISO 42001.
  • No es el cumplimiento del Reglamento Europeo de IA. El Reglamento Europeo de IA concede una presunción de conformidad a las normas armonizadas cuya referencia se publica en el Diario Oficial de la Unión Europea (artículo 40). Que sepamos, a 10 de octubre de 2026, ninguna norma armonizada en virtud del Reglamento de IA figura en el Diario Oficial, e ISO/IEC 42001 no es una de ellas. Las normas armonizadas las prepara el comité europeo CEN-CENELEC JTC 21. La más avanzada, prEN 18286, trata del sistema de gestión de la calidad exigido a los proveedores de sistemas de IA de alto riesgo. La Comisión la presenta como un proyecto, sometido a información pública desde el 30 de octubre de 2025. Una certificación ISO 42001 ayuda a organizar su cumplimiento. No lo demuestra requisito por requisito.
  • No es una garantía sobre sus herramientas. El certificado acredita que su organización sigue un sistema de gestión. No certifica que un sistema de IA concreto sea fiable o carezca de riesgos.

El calendario del Reglamento de IA, actualizado a 10 de octubre de 2026. El Reglamento (UE) 2024/1689 fue modificado por el Reglamento (UE) 2026/1744, llamado «Digital Omnibus». Este texto está en vigor desde el 27 de julio de 2026. Las obligaciones de los sistemas de alto riesgo del anexo III, como la selección de candidaturas o el acceso al crédito, se aplican a partir del 2 de diciembre de 2027. Las de los sistemas integrados en productos regulados (anexo I) se aplican a partir del 2 de agosto de 2028. Estas fechas son fijas. No dependen de la publicación de las normas armonizadas. El detalle, uso por uso, figura en nuestra página Reglamento Europeo de IA para pymes.

Cuándo dar el paso

Cuándo compensa el esfuerzo para una pyme

La certificación exige tiempo de la dirección, documentación y auditorías periódicas. Se justifica cuando responde a una demanda real.

  • Vende un producto o servicio basado en IA a grandes cuentas. Sus cuestionarios de proveedores pueden preguntar cómo gobierna usted la IA. Un certificado responde a parte de esas preguntas de forma estándar.
  • Opera en un sector regulado. Salud, finanzas, seguros, recursos humanos: sus clientes o sus autoridades de supervisión esperan una gestión de riesgos documentada.
  • Ya está certificado en ISO 27001. El esfuerzo adicional es menor, porque la estructura ya existe.
  • Desarrolla sistemas que podrían clasificarse como de alto riesgo según el Reglamento de IA. La norma no le exime de nada. En cambio, ofrece un marco para organizar el trabajo.

Cuándo esperar

Cuándo no compensa

  • Solo utiliza la IA como herramienta ofimática. Asistente de redacción, resumen de reuniones, traducción. El riesgo principal está entonces en los datos que sus equipos introducen. Unas reglas de uso claras lo tratan de forma más directa que un sistema de gestión completo.
  • Nadie se la pide. Sin la exigencia de un cliente o de un mercado, el certificado tiene poca utilidad comercial.
  • Aún no tiene un inventario de sus usos. Certificar un sistema cuyo alcance se desconoce no tiene sentido. El inventario va primero.

Sin certificación

Por dónde empezar sin buscar la certificación

Los cimientos de la norma son útiles aunque nunca llegue al certificado. Corresponden a lo que toda dirección debería saber sobre la IA en su empresa.

  1. Inventariar los usos reales.

    Qué herramientas, para qué tareas, con qué datos. Incluidas las adoptadas sin validación.

  2. Designar a los responsables.

    Quién decide adoptar una herramienta, quién sigue los riesgos, quién responde en caso de incidente.

  3. Redactar reglas de uso.

    Qué datos no salen, qué herramientas están autorizadas, qué revisión humana se requiere.

  4. Revisar los riesgos.

    Clasificar cada uso por gravedad y probabilidad, y decidir una respuesta: mantener, encuadrar, detener.

Si más adelante una certificación se vuelve necesaria, este trabajo constituye su base.

Nuestro papel

El papel de Optim-AI

Nuestro papel es ayudarle a preparar la certificación. El certificado lo otorga un organismo acreditado que usted elige.

La llevamos a cabo en un proyecto específico de preparación. Se inscribe en el servicio «Proyectos a medida» de nuestro acompañamiento, después de la auditoría, cuyos entregables retoma.

Los tres servicios de acompañamiento se describen en la página Servicios.

Optim-AI no certifica. No somos un organismo de certificación. Como en la auditoría, nuestro trabajo no otorga ni sello ni certificado. Optim-AI no realiza la auditoría de certificación y no elige el organismo en su lugar.

Preparación

Nuestro método de preparación

El método parte de los entregables de nuestra auditoría de IA. Los vincula a los requisitos de un sistema de gestión de la IA, en el orden de los capítulos 4 a 10 de la norma. Estos capítulos siguen la estructura común a las normas de sistemas de gestión de ISO (antiguo «anexo SL»). Algunos entregables de la auditoría cubren un requisito. Otros son solo un punto de partida. Lo precisamos en cada etapa.

Los trabajos que van más allá de la auditoría forman el proyecto específico de preparación: política de IA, evaluación de impacto, declaración de aplicabilidad, preparación de la auditoría interna y de la revisión por la dirección, análisis de brechas.

  1. Fijar el contexto y el alcance (capítulo 4).

    El mapa de los usos reales de la IA, declarados y no declarados, y el inventario de datos sensibles describen la situación de partida. Con usted, definimos a partir de ellos el alcance del sistema de gestión: qué actividades, qué herramientas, qué centros. También precisamos su papel para cada sistema: lo desarrolla, lo suministra o lo utiliza.

  2. Implicar a la dirección y redactar la política de IA (capítulo 5).

    Las reglas de uso de la IA, listas para incorporarse al reglamento interno, sirven de base. La política de IA se redacta con la dirección, que la valida. Se designan las funciones: quién decide adoptar una herramienta, quién sigue los riesgos, quién responde en caso de incidente.

  3. Evaluar y tratar los riesgos (capítulo 6).

    La lista de riesgos clasificados por gravedad y probabilidad se convierte en la evaluación de riesgos. El plan de contramedidas se convierte en su tratamiento. Se añaden dos trabajos a la auditoría. Primero, la evaluación de impacto de cada sistema de IA sobre las personas afectadas. Después, la selección de los controles del anexo A que se aplican en su empresa, con la justificación de las exclusiones: es la declaración de aplicabilidad. Los objetivos del sistema de gestión se fijan en esta etapa.

  4. Organizar el apoyo (capítulo 7).

    Enumeramos las competencias necesarias y las acciones de sensibilización de los equipos. Implantamos la gestión de los documentos exigidos: política, evaluación de riesgos, declaración de aplicabilidad, reglas de uso, registros.

  5. Implantar (capítulo 8).

    La arquitectura objetivo indica qué se queda en su empresa, qué pasa a un tercero, y por qué. El plan de acción, secuenciado a 3, 6 y 12 meses, fija el orden de los trabajos. Los controles seleccionados se aplican y se registran.

  6. Supervisar y evaluar (capítulo 9).

    Los indicadores de seguimiento y el ritmo de revisión procedentes de la auditoría sirven para la supervisión. Le ayudamos a organizar el programa de auditoría interna y a preparar la primera revisión por la dirección.

  7. Mejorar (capítulo 10).

    Las no conformidades detectadas dan lugar a acciones correctivas. El plan de acción se revisa en cada revisión por la dirección.

  8. Analizar las brechas y después dar el relevo.

    Antes de la auditoría de certificación, comparamos su sistema con los requisitos de la norma, capítulo por capítulo, y con los controles del anexo A seleccionados. Usted recibe la lista de brechas pendientes y de acciones para cerrarlas. Después contrata al organismo de certificación que elija. Compruebe antes que su alcance de acreditación cubre ISO/IEC 42001.

Puede detenerse después de cualquier etapa. Los documentos elaborados le pertenecen.

La duración depende del alcance y de lo que ya existe, por ejemplo una certificación ISO 27001. Se define en la primera conversación.

Preguntas frecuentes

Las preguntas de los directivos

¿Qué es ISO 42001, en una frase?
Una norma internacional que describe cómo una organización gobierna la IA que desarrolla, suministra o utiliza: política, funciones, riesgos, seguimiento y mejora.
¿Debe una pyme estar certificada en ISO 42001?
No. Ninguna obligación legal lo impone. La cuestión se plantea sobre todo si sus clientes lo exigen o si vende soluciones basadas en IA.
¿La certificación ISO 42001 garantiza el cumplimiento del Reglamento Europeo de IA?
No. La presunción de conformidad está reservada a las normas armonizadas citadas en el Diario Oficial de la Unión Europea. Que sepamos, a 10 de octubre de 2026, ninguna lo está, e ISO/IEC 42001 no es una de ellas. La certificación puede ayudarle a estructurar su enfoque.
¿Puede Optim-AI certificarnos?
No. Optim-AI no es un organismo de certificación. Solo un organismo acreditado otorga el certificado. Le ayudamos a preparar su sistema de gestión de la IA de antemano, hasta el análisis de brechas.
¿Cómo se desarrolla la preparación con Optim-AI?
Es un proyecto específico de preparación, que sigue a la auditoría de IA. Parte de sus entregables: usos reales, datos sensibles, riesgos clasificados, reglas de uso, plan de acción. Los completamos para cubrir los capítulos 4 a 10 de la norma y después medimos las brechas pendientes antes de la auditoría de certificación. La duración depende del alcance.

Fuentes

Los textos consultados

Página actualizada a 10 de octubre de 2026. No se cita el texto de la norma. No hemos encontrado en el Diario Oficial ninguna norma armonizada citada en virtud del Reglamento de IA. No se nombra a ningún organismo de certificación: compruebe su alcance de acreditación en cofrac.fr.

Auditoría de IA para pymes y empresas intermediasUsos reales, datos expuestos, riesgos y plan de contramedidas.Reglamento Europeo de IA para pymesObligaciones y calendario, actualizado a 10 de octubre de 2026.Riesgos y controlLos cinco riesgos reales y sus contramedidas.El métodoDiagnóstico, auditoría, proyectos.ServiciosDiagnóstico, auditoría, proyectos a medida.ContactoUna primera conversación de treinta minutos, sin compromiso.

Siguiente paso

Saber si ISO 42001 compensa el esfuerzo en su caso

La primera conversación dura treinta minutos, sin compromiso. Sirve para delimitar su necesidad y lo que conviene examinar primero.

Reservar 30 minutosHacer el test de madurez en IA