El Anexo A de ISO/IEC 42001 reúne 38 controles agrupados en 9 objetivos. Funcionan como en ISO/IEC 27001: eliges los que aplican según tus riesgos e impactos y lo justificas en una declaración de aplicabilidad. Acá ves cómo se reparten y qué pide cada grupo.
Anexo A de ISO/IEC 42001: los 38 controles de IA y cómo se reparten
El Anexo A de ISO/IEC 42001 tiene 38 controles en 9 objetivos. El ciclo de vida del sistema de IA concentra la mayor parte.
Document control
- Document
- Technical note
- Review
- 1.0
- Updated
- 17 Oct 2026
- Next review
- 17 Jan 2027
Cómo se reparten los controles
El ciclo de vida del sistema de IA es el grupo más grande: abarca desde los objetivos de desarrollo hasta la verificación, el despliegue, la operación y los registros de eventos.
- Ciclo de vida del sistema de IA (A.6)9
- Recursos (A.4)5
- Datos (A.7)5
- Evaluación de impacto (A.5)4
- Información a partes interesadas (A.8)4
- Políticas de IA (A.2)3
- Uso de sistemas de IA (A.9)3
- Terceros y clientes (A.10)3
- Organización interna (A.3)2
Fuente: ISO/IEC 42001:2023, Anexo A (38 controles en 9 objetivos).
Qué cubre cada grupo
Una lectura rápida para ubicar la evidencia:
| Goal | Qué se espera ver |
|---|---|
| Políticas (A.2) | Política de IA aprobada, alineada con otras políticas y revisada. |
| Organización interna (A.3) | Roles y responsabilidades; canal para reportar inquietudes. |
| Recursos (A.4) | Inventario de datos, herramientas, cómputo y personas competentes. |
| Evaluación de impacto (A.5) | Proceso y registros del impacto en personas y sociedad. |
| Ciclo de vida (A.6) | Requisitos, diseño, verificación, despliegue, operación y registros. |
| Datos (A.7) | Origen, calidad, preparación y procedencia de los datos. |
| Información (A.8) | Documentación para usuarios; comunicación de incidentes. |
| Uso (A.9) | Uso responsable y dentro del propósito previsto. |
| Terceros (A.10) | Responsabilidades con proveedores y clientes. |
Fuente: ISO/IEC 42001:2023, Anexo A (38 controles en 9 objetivos).
La declaración de aplicabilidad
Para cada control indicas si aplica, por qué y si está implementado. El Anexo B de la norma da orientación de implementación, pero no agrega requisitos.
Tu siguiente paso
Si tu organización desarrolla, ofrece o usa IA y quiere certificar su sistema de gestión, define el alcance y pide un diagnóstico o una propuesta. La certificación evalúa tu sistema; no lo diseña ni lo implementa por ti.
Executive summary
- El Anexo A tiene 38 controles en 9 objetivos.
- El ciclo de vida del sistema de IA concentra 9 controles.
- Los controles se eligen y justifican en la declaración de aplicabilidad.
Sources and references
- ISO/IEC 42001:2023 — Artificial intelligence — Management systemISO · Ficha oficial: requisitos del sistema de gestión de IA, Anexo A (controles) y Anexo B (guía).
- ISO/IEC 42006:2025 — Requirements for AIMS audit and certification bodiesISO · Requisitos adicionales a ISO/IEC 17021-1 para los organismos que certifican ISO/IEC 42001.
- ISO/IEC 27001:2022 — Information security management systemsISO · Referencia para la comparación de estructura y controles.
Scheduled review: 17 Jan 2027
Keep reading
- Inteligencia artificial24 Feb 20262 min readISO/IEC 42001: gobernar la inteligencia artificial antes de que sea un problema
ISO/IEC 42001:2023 establece requisitos para un sistema de gestión de inteligencia artificial. El punto de partida es identificar cómo la organización desarrolla, proporciona o utiliza IA y quién responde por sus efectos.
Read - Inteligencia artificial2 Aug 20243 min readISO/IEC 42001 y la EU AI Act: gobernanza que anticipa
ISO/IEC 42001 y el Reglamento (UE) 2024/1689 tienen funciones distintas: uno establece requisitos de gestión de IA y el otro obligaciones legales dentro de su ámbito. Una comparación responsable empieza por rol, uso y jurisdicción.
Read - Inteligencia artificial17 Oct 20262 min readCómo certificar ISO/IEC 42001 paso a paso: rol, alcance, impacto y auditoría
Certificar ISO/IEC 42001 empieza por saber si desarrollas, ofreces o usas IA. Estas son las etapas y la evidencia que pide cada una.
Read
From judgment to a concrete inquiry
If this topic applies to your organization, the next step is to understand the process and define the scope before requesting a proposal.
Looking for the next step?
A conversation with a person to distinguish process, scope and applicable conditions.