ISO/IEC 42001: qué es, para quién tiene sentido y cómo certificarse

Qué es la ISO/IEC 42001 — y qué certifica de verdad

La ISO/IEC 42001:2023 es la primera norma internacional certificable de sistemas de gestión de inteligencia artificial: define los requisitos para que una organización establezca, implante, mantenga y mejore de forma continua un SGIA (en inglés AIMS, AI Management System), y una certificadora acreditada pueda auditarlo y certificarlo. La publicaron ISO e IEC en diciembre de 2023 con el título oficial «Tecnología de la información. Inteligencia artificial. Sistema de gestión», y aplica a cualquier organización — del tamaño y sector que sea — que desarrolle, comercialice o use productos y servicios basados en IA.

La palabra que evita el 90% de los malentendidos es gestión. La ISO 42001 no certifica que tu algoritmo sea preciso, justo o seguro — no es un sello de producto ni una auditoría técnica de modelos. Certifica que tu organización gobierna la IA con método: hay una política aprobada por dirección, alguien responsable con nombre y apellidos, un proceso que evalúa riesgos e impactos antes y durante el uso de cada sistema, control sobre el ciclo de vida — incluida la IA que compras a terceros — y un mecanismo de mejora que se audita cada año. Es la misma lógica de la ISO 9001 con la calidad o la 27001 con la seguridad de la información: sistemas de gestión, no productos.

¿Por qué existe ahora? Porque la IA ha creado una categoría de riesgos que las normas de gestión anteriores no cubrían — sesgos que discriminan, decisiones automatizadas sin supervisión, opacidad frente a usuarios y afectados — y porque reguladores, clientes corporativos y licitaciones empezaron a pedir evidencia auditable de que una empresa no improvisa con la IA. A esa demanda le faltaba un estándar internacional único. Desde diciembre de 2023, lo hay.

Para quién tiene sentido — y para quién todavía no

Aquí es donde este artículo se separa del folleto comercial medio. La ISO 42001 aplica formalmente a cualquier organización; eso no significa que a cualquier organización le convenga. El criterio honesto, en cuatro perfiles:

• Desarrollas o comercializas sistemas de IA para terceros. Perfil claro de candidato: tus clientes te van a exigir evidencia de gobernanza cada vez más a menudo, y si alguno de tus sistemas acaba clasificado como alto riesgo bajo el AI Act, haber montado el SGIA con antelación te deja media adecuación hecha en estructura — no en requisitos legales, que van aparte.
• Usas IA en decisiones sensibles — cribado de candidatos, scoring, priorización de pacientes o clientes, sectores regulados. La norma te obliga a lo que deberías estar haciendo igualmente: inventario, evaluación de impacto, supervisión humana documentada. El certificado añade la señal externa.
• Vendes a corporates o concursas en licitaciones donde ya piden «evidencias de gobernanza de IA». La ISO 42001 es hoy la única certificación real que puedes poner encima de la mesa — y ese es exactamente el motivo por el que el mercado la busca como «el certificado de IA».
• Eres una pyme que usa ChatGPT, Copilot y poco más. Con la misma honestidad: hoy no la necesitas. Un sistema de gestión certificable — con su implantación, su auditoría inicial, sus seguimientos anuales — es una inversión desproporcionada para un uso generalista de herramientas de terceros. Lo que sí te exige la ley es la adecuación general al AI Act: inventario de herramientas, formación del art. 4, transparencia del art. 50, verificación de prácticas prohibidas. Cuesta una fracción y es lo que una autoridad te pedirá de verdad.

ISO 42001 y AI Act: voluntaria vs obligatoria, sin mezclar

La confusión más rentable del mercado de compliance en 2026 es esta: la ISO 42001 es una norma voluntaria; el AI Act es una ley. El Reglamento (UE) 2024/1689 obliga a tu empresa con independencia de que te certifiques o no, no menciona la ISO 42001 como requisito en ningún artículo, y sus obligaciones — de las prohibiciones vigentes desde febrero de 2025 a la transparencia del art. 50 — se cumplen haciéndolas, no enmarcando un diploma. Qué aplica a tu empresa y con qué fechas lo desglosamos en la guía del AI Act para empresas españolas; los tres tramos de multas del art. 99 — hasta 35 millones de euros o el 7% de la facturación mundial —, en sanciones del AI Act.

¿Entonces por qué todo el mundo la busca como «el certificado del AI Act»? Porque llevamos décadas resolviendo el cumplimiento con sellos — 9001, 27001 — y ante una ley nueva el reflejo de dirección y compras es preguntar «¿qué certificado necesito?». Sobre ese reflejo el reglamento no ofrece ningún sello único, y el hueco lo ha llenado la ISO 42001: la única certificación internacional real que existe hoy en gobernanza de IA. La relación honesta entre ambas es de medio a fin: la norma es la manera más ordenada de construir la gobernanza que el reglamento presupone — y una señal potente ante quien te audite o te compre —, pero certificarse no equivale a cumplir, igual que tener la 27001 nunca eximió de cumplir el RGPD. El mapa completo de esa confusión — marcado CE, ISO 42001 y adecuación general, y cuál corresponde a tu caso — está en ¿Existe el certificado AI Act?.

Cómo está construida la norma, en llano

El texto oficial se compra en ISO, IEC o — en su versión española — en UNE (los PDF «gratis» que circulan son copias no autorizadas y, a menudo, borradores desactualizados). Pero para decidir si te aplica no necesitas el texto: necesitas el mapa. La ISO 42001 sigue la estructura armonizada común a las normas de sistemas de gestión modernas — la misma de la 27001 —, lo que explica por qué ambas se integran tan bien. Parafraseado bloque a bloque:

Dos rasgos merecen subrayado. El primero, la evaluación de impacto sobre personas y sociedad: la norma no se conforma con el análisis de riesgos «hacia dentro» (qué puede costarle esto a mi negocio) y exige mirar «hacia fuera» (qué puede causarle esto a los afectados) — la misma filosofía que inspira las obligaciones de alto riesgo del AI Act. El segundo, el Anexo A: no es burocracia adicional sino un catálogo de controles del que cada organización justifica cuáles aplica y cuáles no según su realidad — una pyme usuaria de IA de terceros aplicará una fracción de lo que aplica un proveedor de modelos.

Cómo certificarse en España: quién, cómo y cuánto (lo que se puede decir con rigor)

Quién certifica. Entidades de certificación acreditadas. Lo hemos verificado contra sus propias páginas en julio de 2026: AENOR ofrece la certificación UNE-ISO/IEC 42001 y la presenta alineada con el Reglamento (UE) 2024/1689; Bureau Veritas España certifica el sistema de gestión de IA — con empresas españolas ya certificadas —; y BSI ofrece certificación, formación y evaluación previa. Operan además otras internacionales (SGS, DNV) y organismos especializados en gobernanza de IA. El criterio que importa no es la marca: es que el organismo esté acreditado para esta norma y que sus auditores sepan de IA de verdad, porque auditar un SGIA sin entender sesgos, datos y ciclo de vida de modelos produce certificados de papel.

Cómo es el proceso. El patrón es el habitual de las normas de gestión ISO: implantación del sistema (política, análisis de riesgos e impactos, controles del Anexo A, formación), a menudo precedida de un análisis de brechas o evaluación previa; auditoría inicial en dos fases — revisión documental primero, auditoría en profundidad después —; y, obtenido el certificado, auditorías de seguimiento anuales con renovación cada tres años. Quien ya tiene ISO 27001 parte con ventaja estructural: el andamiaje de gestión se reutiliza y las auditorías pueden integrarse.

Cuánto cuesta y cuánto tarda. Aquí la honestidad obliga a dos respuestas incómodas. Sobre el precio: no hay tarifas públicas — cada certificadora presupuesta según alcance, tamaño y número de sistemas cubiertos, y desconfía por sistema de quien te dé una cifra cerrada sin haber analizado tu caso. Sobre los plazos: no hay un estándar, pero sí rangos orientativos que algunas certificadoras publican — desde unas 8-12 semanas cuando la gobernanza ya está madura hasta 4-6 meses como recorrido típico. Traducción presupuestaria: no es un gasto único sino un compromiso recurrente (seguimientos anuales, renovación trienal, mantenimiento interno del sistema) — y por eso mismo conviene que la decisión de certificarse responda a un requisito comercial real y no a un ataque de FOMO regulatorio.

El orden correcto: primero el mapa, después el sello

Si has llegado hasta aquí, la decisión se reduce a una secuencia: primero, cumplir lo obligatorio — la adecuación al AI Act, con sus fechas ya corriendo: el calendario completo del reglamento las recoge capa a capa —; después, decidir lo voluntario con criterio comercial: si un cliente, pliego o inversor concreto va a pedirte el certificado, la ISO 42001 se convierte en inversión con retorno; si no, en estantería cara. Y si la duda es previa — «¿qué me aplica a mí, con mis herramientas y mis casos de uso?» —, ese diagnóstico es exactamente el trabajo de una consultoría de IA honesta: inventariar, clasificar riesgo, dejar la gobernanza implantada en los sistemas — como hacemos en la implementación y gestión de agentes de IA — y decirte también cuándo una certificación todavía no te hace falta. Nosotros no somos entidad certificadora ni emitimos certificados ISO — eso corresponde a las acreditadas de arriba —: preparamos a las empresas para que, cuando la auditoría llegue, sea un trámite y no un susto.