La evaluación de impacto es el requisito que más distingue a ISO/IEC 42001. No pregunta qué le puede pasar a la organización, sino qué le puede pasar a las personas y grupos afectados por un sistema de IA. Esta nota explica qué es, cuándo se hace y qué registrar.
Evaluación de impacto de sistemas de IA en ISO/IEC 42001: qué es y qué evidencia pide
La evaluación de impacto mira los efectos de la IA en personas y sociedad, no solo en la organización. Así se hace y se documenta.
Document control
- Document
- Technical note
- Review
- 1.0
- Updated
- 17 Oct 2026
- Next review
- 17 Jan 2027
Riesgo frente a impacto
Las dos evaluaciones se complementan:
| Evaluación de riesgos | Evaluación de impacto | |
|---|---|---|
| Mira a | La organización y sus objetivos | Personas, grupos y sociedad |
| Pregunta | ¿Qué puede afectar al sistema de gestión? | ¿Qué efectos puede tener el sistema de IA? |
| Resultado | Plan de tratamiento de riesgos | Registro de impactos y medidas |
Fuente: ISO/IEC 42001:2023, cláusulas 6.1 y 8.4; Anexo A, objetivo A.5.
Cuándo se hace
Al planificar un sistema de IA, cuando cambia su propósito, sus datos o su contexto de uso, y a intervalos planificados. Un sistema que ya está en producción también necesita su evaluación.
Qué registrar
Una evaluación útil para la auditoría deja constancia de:
- El sistema, su propósito y su uso previsto.
- Quiénes pueden verse afectados.
- Impactos posibles: derechos, seguridad, equidad, privacidad, ambiente.
- Medidas adoptadas y responsables.
- Fecha, versión y próxima revisión.
Su lugar en el Anexo A
El objetivo A.5 tiene 4 controles dedicados a este proceso. Es un grupo chico en número, pero alimenta las decisiones de casi todos los demás.
- Ciclo de vida del sistema de IA (A.6)9
- Recursos (A.4)5
- Datos (A.7)5
- Evaluación de impacto (A.5)4
- Información a partes interesadas (A.8)4
- Políticas de IA (A.2)3
- Uso de sistemas de IA (A.9)3
- Terceros y clientes (A.10)3
- Organización interna (A.3)2
Fuente: ISO/IEC 42001:2023, Anexo A (38 controles en 9 objetivos).
Tu siguiente paso
Si tu organización desarrolla, ofrece o usa IA y quiere certificar su sistema de gestión, define el alcance y pide un diagnóstico o una propuesta. La certificación evalúa tu sistema; no lo diseña ni lo implementa por ti.
Executive summary
- La evaluación de impacto mira a las personas, no solo a la organización.
- Se repite cuando cambian propósito, datos o contexto.
- Debe dejar registro de afectados, impactos y medidas.
Sources and references
- ISO/IEC 42001:2023 — Artificial intelligence — Management systemISO · Ficha oficial: requisitos del sistema de gestión de IA, Anexo A (controles) y Anexo B (guía).
- ISO/IEC 42006:2025 — Requirements for AIMS audit and certification bodiesISO · Requisitos adicionales a ISO/IEC 17021-1 para los organismos que certifican ISO/IEC 42001.
- ISO/IEC 27001:2022 — Information security management systemsISO · Referencia para la comparación de estructura y controles.
Scheduled review: 17 Jan 2027
Keep reading
- Inteligencia artificial24 Feb 20262 min readISO/IEC 42001: gobernar la inteligencia artificial antes de que sea un problema
ISO/IEC 42001:2023 establece requisitos para un sistema de gestión de inteligencia artificial. El punto de partida es identificar cómo la organización desarrolla, proporciona o utiliza IA y quién responde por sus efectos.
Read - Inteligencia artificial2 Aug 20243 min readISO/IEC 42001 y la EU AI Act: gobernanza que anticipa
ISO/IEC 42001 y el Reglamento (UE) 2024/1689 tienen funciones distintas: uno establece requisitos de gestión de IA y el otro obligaciones legales dentro de su ámbito. Una comparación responsable empieza por rol, uso y jurisdicción.
Read - Inteligencia artificial17 Oct 20262 min readAnexo A de ISO/IEC 42001: los 38 controles de IA y cómo se reparten
El Anexo A de ISO/IEC 42001 tiene 38 controles en 9 objetivos. El ciclo de vida del sistema de IA concentra la mayor parte.
Read
From judgment to a concrete inquiry
If this topic applies to your organization, the next step is to understand the process and define the scope before requesting a proposal.
Looking for the next step?
A conversation with a person to distinguish process, scope and applicable conditions.