Política de IA
Documento que declara principios, alcance y responsables. Es el ancla del AIMS.
ISO/IEC 42001: gobierna la IA de tu organización
La primera norma certificable para sistemas de gestión de IA: cómo tu organización desarrolla, provee o usa inteligencia artificial, con evidencia y supervisión humana.
Dónde resuelve cada cosa
- Norma
- ISO/IEC 42001:2023
- Entrada
- Diagnóstico orientativo de gobernanza de IA. Esta norma no entra por cotización.
- Vía y estado
- Se publican en la ficha de la norma, con su fuente y su fecha. Esta página no los duplica.
- Alcance de esta ruta
- Orientación inicial y formación separada. No es gap analysis, preauditoría ni evaluación de conformidad.
Cinco cláusulas clave
ISO/IEC 42001:2023 establece requisitos para un sistema de gestión de IA (AIMS). Cada cláusula abre lo que la organización tiene que poder mostrar.
Qué tiene que poder mostrar una organización
- AI Impact Assessment formal por sistema de IA
- Gobernanza de IA con roles, políticas y responsabilidades
- Gestión del ciclo de vida del sistema de IA (desarrollo, despliegue, monitoreo, retiro)
- Trazabilidad de datos de entrenamiento y modelos
- Due diligence de proveedores de IA terceros
- Transparencia hacia usuarios finales y partes interesadas
Quién lo pideBancaSaludTelecomunicacionesSector públicoExportadores de servicios con IA
Organizaciones que desarrollan productos con IA, integran modelos de terceros, usan IA en decisiones críticas o necesitan preparar evidencias de gobernanza frente a requisitos regulatorios y de clientes.
Base de conocimiento por norma de G-CERTI · ISO/IEC 42001:2023 · 2026-09-09
Mide tu punto de partida
Ocho afirmaciones para revisar alcance, responsabilidades, riesgos y evidencia de gobernanza de inteligencia artificial. Las respuestas permanecen en el navegador de quien las escribe.
Inventario
Existe un inventario de sistemas y casos de uso de IA bajo responsabilidad de la organización.
Propósito y responsables
Cada sistema de IA tiene un propósito, un responsable y límites de uso documentados.
Riesgos e impactos
Se evalúan riesgos e impactos antes de introducir o cambiar un sistema de IA.
Datos y proveedores
Hay criterios para datos, proveedores, modelos de terceros y supervisión humana.
Registro
Se registran decisiones, cambios, incidentes y excepciones relevantes.
Competencias
Las personas que operan o supervisan IA conocen sus responsabilidades.
Monitoreo
Se monitorea el desempeño y se actúa cuando aparece desvío, daño o uso no previsto.
Revisión por la dirección
La dirección revisa objetivos, riesgos y evidencia de gobernanza de IA.
Qué dice
- Dónde está el punto de partida. Ordena en un solo lugar inventario de sistemas, propósito y responsables, evaluación de riesgos e impactos, criterios de datos y proveedores, registro de decisiones, competencias, monitoreo y revisión por la dirección.
- Qué información conviene reunir. Señala los temas sobre los que la organización todavía no tiene evidencia ordenada, para que la conversación siguiente empiece por ahí.
- Una lectura orientativa, con su banda. El porcentaje y su banda son una referencia orientativa de lo declarado.
Qué no dice
- Si el sistema cumple la norma. El resultado sale de lo que alguien declara sobre su propia organización, sin evidencia examinada ni contraste independiente.
- Si la organización está lista para una auditoría. Completar el cuestionario no prepara, no adelanta y no anticipa el resultado de ninguna evaluación posterior.
- Nada sobre un certificado emitido. Un certificado de sistema de gestión se comprueba por su código en el verificador, que es otro documento, otro registro y otra página.
La lectura útil la hace una persona
El cuestionario ordena el punto de partida, pero no examina evidencia ni conoce el contexto de la organización. Esa lectura la hace una persona del equipo, con el alcance y los sistemas de IA a la vista. Las respuestas del cuestionario no se adjuntan solas: quien escribe decide qué contar.
Las respuestas quedan en el navegador de quien las escribe: no se envían, no se guardan y ningún resultado se publica. Compartir información con G-CERTI es una decisión aparte, con su propio formulario.
Las regulaciones que la exigen
El Reglamento europeo de IA ya aplica sus obligaciones de transparencia desde el 2 de agosto de 2026. Para un exportador es un requisito de mercado indirecto. La norma se mapea contra ese marco, no lo reemplaza: no otorga presunción de conformidad.
- Unión EuropeaReglamento vigenteAI Act (Reglamento 2024/1689)
Su aplicación es gradual y depende de la categoría del sistema. ISO/IEC 42001 puede ayudar a ordenar evidencia de gobernanza, pero no sustituye la evaluación legal.
- Estados UnidosMarco voluntarioNIST AI Risk Management Framework
Marco voluntario para gestionar riesgos de IA; confirmar además las obligaciones federales y estatales aplicables.
- BrasilProyecto en trámitePL 2338/2023
Proyecto legislativo en tramitación; verificar su estado en las fuentes oficiales antes de afirmar obligaciones.
- ArgentinaReferencia orientativaRecomendaciones para una IA fiable
Referencia orientativa; confirmar el marco vigente y las obligaciones sectoriales aplicables.
- GlobalPrincipiosOECD AI Principles + NIST AI RMF
Marcos de referencia voluntarios complementarios.
La norma se mapea contra cada marco; no lo reemplaza ni otorga presunción de conformidad. Registro de vías y posicionamiento por norma · 2026-08-13
Formación para auditar ISO/IEC 42001
Tres rutas académicas sobre gobernanza de inteligencia artificial: interpretar los requisitos, auditar el sistema por dentro y recorrer las dos cosas de forma integrada. La ruta es académica y no implementa el sistema de una organización.
Formación en gestión de IA sobre ISO/IEC 42001
Interpretar los requisitos del sistema de gestión de IA y traducirlos a política, roles, evaluación de impacto y ciclo de vida.
Auditor interno de sistemas de gestión de IA
Planificar y ejecutar auditorías internas del AIMS: evidencia, hallazgos y seguimiento.
Diplomatura ISO/IEC 42001
El recorrido integrado: implementación y auditoría interna en un solo pago, con dos certificados académicos.
FormaciónFormación y práctica académica
G-CERTI Formación trabaja interpretación, ejercicios y auditoría interna mediante un programa común. No diseña ni implementa el sistema de una organización dentro de esta ruta.
CertificaciónCertificación posterior, si corresponde
Una organización que luego consulta por certificación entra por un expediente distinto. Antes de cotizar se revisan alcance e imparcialidad; cualquier asesoría incompatible bloquea la ruta certificadora.
GobiernoCómo se sostiene la separación
La política que mantiene separados los dos expedientes, sus equipos y sus decisiones se publica en el Trust Center.
Ver la política de separaciónLa formación desarrolla capacidades para interpretar requisitos y practicar auditoría interna. No certifica el sistema de una organización y no decide su verificación: son procesos distintos, con expedientes y equipos separados, y haber cursado no anticipa ningún resultado.
Portafolio académico de G-CERTI Formación · 2026-09-02
Las preguntas más frecuentes
¿Puede ser relevante si la empresa usa IA pero no la desarrolla?
Sí, puede ser relevante cuando una organización utiliza sistemas de IA propios o de terceros. La aplicabilidad y el alcance dependen del uso, el contexto, las responsabilidades y los impactos asociados.
¿Cubre el AI Act de la Unión Europea?
ISO/IEC 42001 puede relacionarse con el AI Act y otros marcos regulatorios, pero no reemplaza la evaluación legal aplicable.
¿Es compatible con ISO/IEC 27001?
Ambas normas siguen una estructura de sistemas de gestión compatible. Integrarlas puede reducir duplicaciones cuando el alcance y los procesos lo permiten; el esfuerzo real depende del contexto y de la evidencia disponible.
¿Esta ruta evalúa la conformidad de un sistema de IA?
No. Esta ruta ofrece orientación inicial y formación separada. No es gap analysis, preauditoría, evaluación de conformidad, preparación técnica ni una oferta de certificación.
¿Formarse en la norma adelanta la certificación de la organización?
No. La formación desarrolla capacidades para interpretar requisitos y practicar auditoría interna. No certifica el sistema de una organización y no decide su verificación: son procesos distintos, con expedientes y equipos separados.
¿Dónde se publica el estado de ISO/IEC 42001?
En la ficha de la norma, con su vía, su fuente y su fecha. Esta página no la duplica.
Empieza por el diagnóstico
El diagnóstico reúne alcance, responsables, riesgos y evidencia en un solo lugar. Sirve para decidir con qué información se sigue; la conformidad se determina en una auditoría.