Normas ISO de inteligencia artificial: cuál te toca y en qué orden

Cuál es cuál, en una tabla

La confusión más común con esto es creer que hay una sola norma de IA. Son varias, hacen cosas distintas y solo una se certifica.

Si te quedas con una sola idea de esta tabla, que sea esta: cuando alguien dice "certificarse en ISO de IA" está hablando de la 42001. Las otras cinco se usan para hacer bien el trabajo, no para colgar un cuadro en la pared.

Los términos técnicos que aparecen en estas normas los tengo explicados en castellano en el glosario de IA.

Qué pide la ISO/IEC 42001, en cristiano

La 42001 es lo que en el mundo ISO se llama una norma de sistema de gestión. Si tu empresa ya pasó por ISO 9001, la estructura te va a sonar: es la misma familia de exigencias, aplicada a la inteligencia artificial.

Traducido a lo que una empresa tiene que poder mostrar:

• Un alcance escrito. Qué parte de la organización entra y qué queda fuera. Suena burocrático y es la decisión más importante: un alcance demasiado ancho hace el proyecto inabordable.
• Una política de IA aprobada por la dirección. No un documento bonito: uno que alguien firmó y que el equipo puede aplicar sin llamar a un abogado.
• Roles y responsables con nombre. Quién decide si un caso de uso entra, quién lo revisa y quién responde cuando algo sale mal.
• Evaluación de riesgos y de impacto de los sistemas de IA que uses, hechas antes y revisadas después.
• Controles. La norma trae un anexo con controles de referencia, y para cada uno hay que decir si aplica o no y por qué.
• Evidencia de que esto vive. Registros, revisiones periódicas y mejoras. Un sistema de gestión que no deja rastro no existe para un auditor.

Nada de eso pide comprar software. Todo eso pide decidir cosas y dejarlas escritas, que es la parte que las empresas postergan.

Por dónde se empieza, en orden

Este es el orden que uso y el que menos trabajo repetido genera. No es el índice de la norma: es la secuencia en la que las cosas se pueden hacer sin atascarse.

• Primero, el inventario. Qué IA se está usando ya, incluyendo lo que nadie reportó: la cuenta gratuita de un chat que alguien abrió, la extensión del navegador, el modelo metido dentro de una herramienta que compraste para otra cosa. No se puede gobernar lo que todavía no sabes que existe, y este paso siempre destapa más de lo que la gerencia esperaba.
• Segundo, el alcance. Con el inventario a la vista ya se puede decidir qué entra. Al revés no: se decide a ciegas y después hay que rehacerlo.
• Tercero, la política. Corta, aplicable, aprobada. Si tiene treinta páginas nadie la va a leer y el auditor lo va a notar cuando pregunte al equipo.
• Cuarto, riesgos e impacto. Aquí entran la 23894 y la 42005, que son las que te dicen cómo hacerlo sin inventar un método propio.
• Quinto, formar al equipo. Una política que el equipo no entiende es un documento, no un control. Esta es la parte de formación del equipo y suele ser la que más mueve la aguja.
• Sexto, y recién ahí, pensar en auditoría. Antes de eso no hay nada que auditar.

Si no sabes en qué punto de esa lista está tu empresa, para eso está el diagnóstico de madurez en IA.

Dónde se cruza con la Ley 31814

Esta es la pregunta que más me hacen las empresas peruanas, y la respuesta corta es que no compiten: la ley dice qué tienes que cumplir y la norma dice cómo se ordena para cumplirlo.

la Ley 31814 y su reglamento son de cumplimiento obligatorio para las empresas alcanzadas, con plazos sectoriales. La ISO/IEC 42001 es voluntaria: nadie te obliga a certificarte. Pero el trabajo que pide una es casi el mismo que pide la otra, y ese es el punto práctico.

Por eso, cuando una empresa me pregunta por cuál empezar, la respuesta suele ser que no empiece por ninguna de las dos: que empiece por el inventario, que sirve para las dos y es el paso que igual va a tener que dar.

Lo que esto no es

Antes de seguir, algo que conviene dejar claro de entrada: yo no certifico y nadie que te venda consultoría lo hace. Un certificado ISO lo emite un organismo de certificación acreditado, que es una entidad independiente y auditada para eso. Si alguien te ofrece consultoría y certificado en el mismo paquete, ahí hay un conflicto de interés y el certificado vale poco.

Lo que sí hago es la parte de antes: dejar el sistema de gestión armado, la documentación en orden y al equipo entrenado para que cuando venga la auditoría no sea una sorpresa.

Dos cosas más que conviene descartar temprano, porque son las que más presupuesto desvían:

• No necesitas una plataforma de gobierno de IA para empezar. El inventario, la política y el registro de decisiones caben en documentos y en una hoja de cálculo bien llevada. Una plataforma tiene sentido cuando ya tienes decenas de casos corriendo y el seguimiento manual se te fue de las manos.
• Esto no es asesoría legal. No soy abogada. La lectura de la norma peruana la hace tu área legal o tu estudio, y trabajo con ellos sin problema. Lo mío es la parte operativa, que es donde suele estar el hueco.

Sobre el PDF de la norma

Una de cada ocho personas que busca esta norma en Google está buscando el PDF gratis. Te lo digo derecho: ISO/IEC 42001 se compra. Es un texto con derechos de autor de ISO y aquí no lo vas a encontrar copiado, ni deberías encontrarlo copiado en ningún sitio serio.

Lo que sí te puedo decir es qué hay adentro para que decidas si te sirve comprarla: la estructura de un sistema de gestión aplicado a IA, un anexo con controles de referencia y otro con orientación para implementarlos, más las guías de cómo definir el alcance y evaluar impactos. Es un documento de trabajo, no una lectura: se compra cuando ya decidiste implementarla, no para entender de qué se trata.

Se compra en el catálogo de ISO o, en Perú, a través de INACAL, que es el organismo nacional de normalización. Algunas normas se pueden hojear en línea antes de comprarlas.

Cómo trabajo esto

Normalmente entro por el inventario, porque es lo que destapa el mapa real y porque es el paso que sirve tengas el plazo encima o no. De ahí sale el alcance, y del alcance sale cuánto trabajo hay, que casi siempre es menos de lo que la empresa temía y en un lugar distinto del que esperaba.

Después viene la política, la evaluación de riesgos y la formación del equipo. Si tu empresa además está mirando la ISO 31000 para gestión de riesgos o la ISO/IEC 27701 para privacidad, conviene armarlo una sola vez y no tres: el inventario es el mismo.

Si quieres saber en qué punto estás antes de comprometer presupuesto, conversemos media hora y te digo qué te falta y qué no.

Conversemos 30 minutos, sin costo

Lo demás que hago con empresas está en consultoría en IA.

Preguntas frecuentes