ISO 42001, formalmente ISO/IEC 42001:2023, es la norma internacional para un sistema de gestión de la inteligencia artificial. Fija requisitos para gobernar la IA que una organización desarrolla, ofrece o utiliza: política, roles, evaluación de riesgos e impacto, controles del ciclo de vida y mejora continua. Es voluntaria, certificable y existe en español como UNE-ISO/IEC 42001.
Lo esencial en breve
- Es una norma de sistema de gestión, como la ISO/IEC 27001 de seguridad de la información, pero centrada en el desarrollo y uso responsable de la IA.
- Sus capítulos 4 a 10 siguen la estructura armonizada de ISO, por lo que se integra con 27001, 27701 y 9001, y convive bien con el Esquema Nacional de Seguridad.
- El anexo A contiene los controles de referencia, que suelen contarse como 38 controles en nueve áreas.
- UNE publicó la versión en español en abril de 2025. La norma se compra a UNE; no hay un PDF oficial gratuito.
- Certificarse no equivale a cumplir el Reglamento de IA, pero construye buena parte de la gobernanza que este espera.
Qué es la norma ISO/IEC 42001
La ISO/IEC 42001 la elaboró el subcomité conjunto de ISO e IEC sobre inteligencia artificial (ISO/IEC JTC 1/SC 42) y se publicó en diciembre de 2023 como la primera norma certificable de sistemas de gestión de la IA. En España, la Asociación Española de Normalización la publicó en español el 24 de abril de 2025 como UNE-ISO/IEC 42001:2025, con el título «Tecnología de la información. Inteligencia artificial. Sistema de gestión». Conviene comprobar en UNE la edición vigente antes de comprarla, porque las normas se revisan y adoptan como normas europeas.
Un sistema de gestión es el conjunto de políticas, procesos, roles y registros con el que una organización alcanza sus objetivos de forma controlada. La ISO 42001 aplica esa lógica a la IA. No le dice qué modelo usar ni fija umbrales técnicos de precisión. Le pide que decida qué significa una IA responsable en su organización, evalúe los riesgos e impactos de sus sistemas, aplique controles adecuados, mida si funcionan y los mejore.
Se aplica a cualquier organización que ofrezca o use productos o servicios basados en IA, sea cual sea su tamaño o sector: desarrolladores de modelos, empresas de software que integran IA y organizaciones que simplemente despliegan IA de terceros, como un sistema de cribado de currículos o un despliegue de Copilot. Si parte de cero, el diagnóstico gratuito de gobernanza de la IA de Opsio le muestra su situación en diez áreas y redacta un marco de gobernanza de la IA que sirve de primer documento para el sistema de gestión.
¿Necesitas ayuda con cloud?
Reserva una reunión gratuita de 30 minutos con uno de nuestros especialistas en cloud. Analizamos tu necesidad y damos recomendaciones concretas — sin compromiso.
Cómo está estructurada la norma
Los capítulos 1 a 3 cubren objeto, referencias y términos. Los requisitos certificables están en los capítulos 4 a 10:
| Capítulo | Tema | Qué pide aplicado a la IA |
|---|---|---|
| 4 | Contexto de la organización | Entender el entorno, su papel respecto a los sistemas de IA (desarrollador, proveedor, usuario), partes interesadas y alcance del sistema de gestión |
| 5 | Liderazgo | Compromiso de la dirección, política de IA y asignación de roles y responsabilidades |
| 6 | Planificación | Evaluación y tratamiento de riesgos de IA con declaración de aplicabilidad, evaluación de impacto de los sistemas y objetivos medibles |
| 7 | Apoyo | Recursos, competencia, concienciación, comunicación e información documentada |
| 8 | Operación | Ejecutar evaluaciones de riesgo e impacto a intervalos planificados y ante cambios significativos |
| 9 | Evaluación del desempeño | Seguimiento, medición, auditoría interna y revisión por la dirección |
| 10 | Mejora | No conformidades, acciones correctivas y mejora continua |
El peso específico de la IA está en el capítulo 6. A diferencia de la ISO 27001, la 42001 exige una evaluación de impacto del sistema de IA: las consecuencias posibles para personas, grupos y la sociedad, no solo para la empresa. Una plantilla de evaluación de riesgos de IA que recoja ambos planos es un buen punto de partida.
Los anexos y las normas relacionadas
- Anexo A, controles de referencia: agrupados en nueve áreas, de la A.2 a la A.10: políticas de IA, organización interna, recursos, evaluación de impactos, ciclo de vida, datos, información para partes interesadas, uso de los sistemas y relaciones con terceros y clientes. Como en la 27001, usted decide cuáles aplican y justifica las exclusiones en la declaración de aplicabilidad.
- Anexo B: orientación para implantar cada control.
- Anexo C: objetivos y fuentes de riesgo de la IA, como equidad, seguridad, privacidad, transparencia, solidez y grado de automatización.
- Anexo D: uso del sistema de gestión en distintos sectores e integración con otras normas.
Alrededor de la 42001 hay otras normas del SC 42 que se usan a menudo: ISO/IEC 22989 (conceptos y terminología), ISO/IEC 23894 (gestión del riesgo de la IA, basada en ISO 31000), ISO/IEC 42005 (evaluación de impacto de sistemas de IA, publicada en 2025) e ISO/IEC 42006 (requisitos para las entidades que auditan y certifican sistemas de gestión de la IA, publicada en julio de 2025). Para el texto exacto de cada requisito, la única fuente válida en una auditoría es la norma adquirida.
¿Existe la ISO 42001 en PDF en español?
Es una de las búsquedas más habituales. La versión oficial en español es la UNE-ISO/IEC 42001 y se adquiere en la tienda de UNE, en papel o PDF, con licencia de uso. Los PDF gratuitos que circulan suelen ser borradores, resúmenes o copias no autorizadas; para implantar y certificar necesita el texto vigente. Los resúmenes, incluido este, sirven para orientarse, no para auditar.
Para quién tiene sentido
Tres perfiles suelen dar el paso primero:
- Empresas de software y proveedores de IA a los que sus clientes piden pruebas de una IA responsable en los procesos de compra. Un certificado acorta cuestionarios de proveedores.
- Organizaciones ya certificadas en ISO 27001 o 27701, o que cumplen el Esquema Nacional de Seguridad, que pueden ampliar su sistema de gestión con un esfuerzo moderado porque la estructura es la misma.
- Organizaciones reguladas que usan IA a escala, como entidades financieras, aseguradoras, hospitales o administraciones, que quieren un marco auditable mientras se aplica el Reglamento de IA.
Una pyme que usa unas pocas herramientas comerciales suele sacar más valor de implantar primero lo básico: una política de uso de la IA, un inventario, evaluación de riesgos y revisión de proveedores. Después puede decidir si la certificación compensa.
El proceso de certificación ISO 42001
La certificación la emite una entidad independiente. En España, la acreditación de entidades de certificación corresponde a ENAC; antes de contratar, compruebe que la entidad está acreditada para ISO/IEC 42001 o por un organismo firmante de los acuerdos internacionales de reconocimiento. Un certificado sin acreditación vale menos en una licitación.
- Alcance. Defina qué unidades, sistemas de IA y roles entran. Un alcance acotado es más fácil de certificar y de defender.
- Diagnóstico de brechas. Compare su práctica actual con los capítulos 4 a 10 y el anexo A.
- Implantación. Política de IA, roles, inventario, metodología de riesgos e impacto, controles seleccionados, formación y documentación.
- Operación y auditoría interna. Haga funcionar el sistema unos meses, audítelo internamente y celebre la revisión por la dirección.
- Auditoría de fase 1. La entidad revisa documentación y preparación.
- Auditoría de fase 2. Evalúa la eficacia en la práctica. Si no hay no conformidades mayores, se emite el certificado.
- Seguimiento. Auditorías anuales y renovación a los tres años.
Sobre cursos: no hay ninguna formación obligatoria para certificarse. Los cursos de implantador o auditor líder ayudan al equipo que lleva el proyecto, pero lo que se audita es el sistema de la organización, no los diplomas.
ISO 42001 y el Reglamento de IA
La ISO 42001 es voluntaria y mundial; el Reglamento (UE) 2024/1689 es obligatorio en la UE. A octubre de 2026 la 42001 no es una norma armonizada del Reglamento, así que certificarse no da presunción de conformidad. Aun así, cubre muchas piezas que el Reglamento espera: inventario, roles, evaluación de riesgos, supervisión humana, gestión de proveedores, formación. Para el panorama de obligaciones, vea nuestra guía del Reglamento de IA, y para medir la distancia entre lo que tiene y lo que le falta, el análisis de brechas de la ley de IA. Opsio, por su parte, tiene sus operaciones en la India certificadas en ISO/IEC 27001 y 27701, la base de gestión sobre la que se apoya la 42001.
Preguntas frecuentes sobre la ISO 42001
¿Qué es la ISO 42001 en pocas palabras?
Es la norma internacional que define cómo montar un sistema de gestión de la inteligencia artificial: quién decide, cómo se evalúan riesgos e impactos, qué controles se aplican y cómo se mejora. Sirve para cualquier organización que desarrolle o use IA y puede certificarse con una entidad independiente acreditada.
¿Es obligatoria la certificación ISO 42001?
No. Es voluntaria. Ninguna ley española ni europea la exige a octubre de 2026. Algunas empresas la piden a sus proveedores en los contratos o en licitaciones, y ahí puede convertirse en un requisito comercial. El Reglamento de IA exige obligaciones concretas, no una certificación concreta.
¿Cuánto se tarda en obtener la ISO 42001?
Depende del alcance y del punto de partida. Una organización que ya tiene ISO 27001 reutiliza estructura, auditoría interna y revisión por la dirección y suele avanzar más rápido. Quien empieza de cero necesita primero inventario, política y metodología de riesgos, y unos meses de funcionamiento antes de la auditoría.
¿Dónde puedo conseguir la ISO 42001 en español?
En UNE, que publicó la versión en español como UNE-ISO/IEC 42001 en abril de 2025. Es un documento de pago con licencia. Compruebe la edición vigente antes de comprarla. Las guías de la AESIA sobre el Reglamento de IA son gratuitas y complementan bien la norma, aunque no la sustituyen.
¿Certificarse en ISO 42001 garantiza cumplir el Reglamento de IA?
No. Facilita mucho el trabajo porque ordena la gobernanza, pero el Reglamento tiene obligaciones que la norma no cubre por sí sola, como la evaluación de la conformidad y el marcado CE de los sistemas de alto riesgo o la información específica del artículo 50. Lo correcto es usar la 42001 como esqueleto y añadir lo que exige la ley.
Empiece por los documentos base
Cualquier sistema de gestión de la IA arranca con una política, un marco de gobernanza y una metodología de riesgos. Puede obtener sus plantillas de política y gobernanza de IA gratis con el diagnóstico de Opsio: catorce pasos, unos 40 minutos de preguntas en español, y al enviarlo se redactan cuatro documentos a partir de sus respuestas (marco de gobernanza, política de uso aceptable, checklist de proveedores de IA y plantilla de evaluación de riesgos) junto con una valoración de madurez en diez áreas. Se entregan en inglés como Word editable y son suyos. No es una certificación ni la sustituye.
Este artículo es información general y no constituye asesoramiento jurídico. Consulte el texto consolidado del Reglamento (UE) 2024/1689 en su versión modificada por el Reglamento (UE) 2026/1744. La información sobre normas y fechas corresponde a octubre de 2026.
Escrito por
Country Manager, Suecia
Johan lidera las operaciones de Opsio en Suecia, impulsando la adopción de IA, la transformación DevOps, la estrategia de seguridad y las soluciones cloud para empresas nórdicas. Con más de 12 años de experiencia en infraestructura cloud, ha entregado más de 200 proyectos en AWS, Azure y GCP, especializándose en revisiones Well-Architected, diseño de landing zones y estrategia multi-cloud.
Normas editoriales: Este artículo lo han escrito profesionales cloud y lo ha revisado nuestro equipo de ingeniería. Lo actualizamos cuando cambia la tecnología o la normativa que trata; las fechas de esta página indican la última actualización. Opsio mantiene su independencia editorial.