DeflankISO 42001: qué es, qué exige y su relación con el AI Act
Actualizado el 11 de octubre de 2026
ISO 42001 es una de las búsquedas que más ha crecido en el mundo del cumplimiento de la IA, y por una razón comprensible: ante un Reglamento europeo largo y complejo, una norma certificable promete algo tangible, un sello que enseñar a clientes y supervisores.
Esa promesa es en parte cierta y en parte un malentendido. La ISO/IEC 42001 es una herramienta excelente para ordenar la gobernanza de la IA de una organización. Pero no es el AI Act, ni da por sí sola presunción de cumplirlo. Confundir ambas cosas lleva a empresas a certificarse y creer que han terminado, cuando el Reglamento sigue exigiéndoles evidencia sistema a sistema.
Este artículo explica qué es la norma, cómo se estructura, cómo se certifica en España y dónde encaja —y dónde no— con el EU AI Act. Forma parte de nuestra guía de gobernanza de IA.
Qué es la ISO/IEC 42001
La ISO/IEC 42001:2023, publicada en diciembre de 2023 por ISO y la Comisión Electrotécnica Internacional (IEC), establece los requisitos de un sistema de gestión de la inteligencia artificial (en inglés, AI management system o AIMS). Se dirige a cualquier organización que desarrolle, ofrezca o utilice productos o servicios basados en IA, sea cual sea su tamaño o sector.
Un sistema de gestión es el conjunto de políticas, objetivos y procesos con los que una organización dirige y controla una materia, y que se revisa y mejora de forma continua. La ISO 42001 aplica a la IA la misma lógica que la ISO 9001 aplica a la calidad o la ISO/IEC 27001 a la seguridad de la información. Por eso resulta familiar a cualquier empresa que ya tenga alguna de ellas, y se puede integrar con ellas.
Cómo se estructura la norma
Las cláusulas 4 a 10: el sistema de gestión
Como el resto de normas de gestión modernas, la ISO 42001 sigue la estructura de alto nivel común de ISO (el llamado Anexo SL). Sus requisitos se ordenan en siete cláusulas:
| Cláusula | Contenido |
|---|---|
| 4. Contexto de la organización | Entender la organización, las partes interesadas y el alcance del sistema de gestión |
| 5. Liderazgo | Compromiso de la dirección, política de IA, funciones y responsabilidades |
| 6. Planificación | Evaluación y tratamiento de los riesgos de IA, evaluación de impactos y objetivos |
| 7. Apoyo | Recursos, competencia, concienciación, comunicación e información documentada |
| 8. Operación | Ejecutar lo planificado: evaluaciones de riesgo e impacto y su tratamiento |
| 9. Evaluación del desempeño | Seguimiento, medición, auditoría interna y revisión por la dirección |
| 10. Mejora | No conformidades, acciones correctivas y mejora continua |
El anexo A: 38 controles en nueve áreas
El anexo A recoge los controles de referencia, que la organización selecciona según sus riesgos y justifica en una declaración de aplicabilidad. Son 38 controles agrupados en nueve áreas:
| Área | Tema |
|---|---|
| A.2 | Políticas relacionadas con la IA |
| A.3 | Organización interna |
| A.4 | Recursos para los sistemas de IA |
| A.5 | Evaluación de los impactos de los sistemas de IA |
| A.6 | Ciclo de vida del sistema de IA |
| A.7 | Datos para los sistemas de IA |
| A.8 | Información para las partes interesadas |
| A.9 | Uso de los sistemas de IA |
| A.10 | Relaciones con terceros y clientes |
Los anexos B, C y D son orientativos: guía para implantar los controles, objetivos y fuentes de riesgo habituales de la IA, y uso del sistema de gestión en distintos sectores.
Normas que la acompañan
La 42001 forma parte de una familia más amplia. Entre las más útiles en la práctica están la ISO/IEC 23894 (orientación sobre gestión de riesgos de la IA), la ISO/IEC 42005 (evaluación de impacto de los sistemas de IA) y la ISO/IEC 42006, que fija los requisitos para los organismos que auditan y certifican sistemas de gestión de la IA.
Cómo se certifica en España
La certificación la otorga una entidad de certificación tras una auditoría del sistema de gestión, normalmente en dos fases —revisión documental y auditoría de implantación—, seguida de auditorías de seguimiento periódicas. En España, las entidades de certificación de sistemas de gestión se acreditan ante ENAC (Entidad Nacional de Acreditación). Al elegir certificadora, conviene comprobar que está acreditada para este esquema concreto: una acreditación en ISO 27001 no la cubre automáticamente.
Para certificarse, la organización necesita, como mínimo, un alcance definido, una política de IA, la evaluación de riesgos e impactos, la declaración de aplicabilidad de los controles, evidencia de su funcionamiento, una auditoría interna y una revisión por la dirección.
ISO 42001 y el AI Act: dónde encajan y dónde no
Este es el punto que más confusión genera.
Lo que la ISO 42001 aporta al cumplimiento del AI Act
Hay solapamientos reales. Un sistema de gestión bien implantado según la 42001 ayuda a cumplir varias obligaciones del Reglamento (UE) 2024/1689:
| Obligación del AI Act | Dónde ayuda la ISO 42001 |
|---|---|
| Sistema de gestión de la calidad del proveedor (art. 17) | El esqueleto del sistema de gestión: políticas, procesos, responsabilidades, auditoría y mejora |
| Gestión de riesgos (art. 9) | Cláusula 6 y control A.5 de evaluación de impactos |
| Gobernanza de datos (art. 10) | Controles del área A.7 |
| Alfabetización en IA (art. 4) | Cláusula 7: competencia y concienciación |
| Relación con proveedores | Controles del área A.10 |
Lo que la ISO 42001 no hace
- No da presunción de conformidad. El artículo 40 del AI Act reserva esa presunción a las normas armonizadas cuyas referencias se publiquen en el Diario Oficial de la UE. La ISO/IEC 42001 no es una norma armonizada.
- No certifica sistemas, sino organizaciones. El AI Act exige requisitos por sistema de IA de alto riesgo: documentación técnica del anexo IV, registros, precisión, solidez, ciberseguridad, supervisión humana y, según el caso, una evaluación de la conformidad (artículo 43). Un certificado de sistema de gestión no demuestra que un modelo concreto cumpla el artículo 15.
- No cubre todo el artículo 17. El sistema de gestión de la calidad del AI Act incluye elementos específicos, como la vigilancia poscomercialización (art. 72) o la notificación de incidentes graves (art. 73), que hay que diseñar con el Reglamento delante.
La norma europea que sí está llamada a dar presunción: EN 18286
Para el artículo 17, el comité europeo de normalización CEN-CENELEC JTC 21 ha elaborado la EN 18286, la norma de sistema de gestión de la calidad a efectos del AI Act, aprobada en junio de 2026. Cuando su referencia se cite en el Diario Oficial, dará presunción de conformidad con ese artículo. A septiembre de 2026, ninguna norma armonizada del AI Act se había citado todavía. Quien ya tenga la ISO 42001 partirá con ventaja para adaptarse a ella, pero tendrá que revisar las diferencias.
¿Te conviene certificarte?
Depende de para qué la quieras:
- Sí, probablemente, si tus clientes la exigen en licitaciones o contratos, si ya operas con ISO 27001 o ISO 9001 y quieres un marco común, o si necesitas ordenar un programa de gobernanza que hoy no existe.
- No como sustituto del AI Act, si tienes sistemas de alto riesgo: necesitarás igualmente la documentación, las pruebas y la evaluación de conformidad que exige el Reglamento, con fecha límite el 2 de diciembre de 2027 para los del anexo III y el 2 de agosto de 2028 para los del anexo I, tras el Reglamento (UE) 2026/1744 («Ómnibus digital sobre IA»).
Qué implica según el tamaño de tu empresa
- Pyme: la certificación completa puede ser desproporcionada si no te la pide un cliente. Usa la estructura de la norma como guía para tu programa y céntrate en las obligaciones del AI Act que ya te aplican; las resumimos en AI Act para pymes.
- Mediana empresa: si ya tienes ISO 27001, integrar la 42001 en el mismo sistema reduce mucho el esfuerzo de auditoría y documentación.
- Gran empresa: la 42001 es un buen marco común para todo el grupo, pero el reto real está en la evidencia por sistema, que es lo que pedirá el supervisor.
El reto de fondo: demostrar, no estimar
Una auditoría de ISO 42001 comprueba que la organización tiene procesos y que los sigue, normalmente revisando muestras de evidencia. Es valioso, pero sigue siendo una estimación de que los sistemas de IA se comportan como dice la política. El AI Act va un paso más allá: pide poder demostrar que cada sistema de alto riesgo cumple sus requisitos.
Deflank existe para cerrar esa brecha: con una metodología de verificación propia, convierte los requisitos aplicables —del AI Act o de los controles que tu organización haya adoptado— en una prueba demostrable, reproducible y auditable de cada sistema, que complementa tu certificación en lugar de sustituirla. La prueba, no la estimación.
Contenido informativo; no constituye asesoramiento jurídico. Fuentes: ISO/IEC 42001:2023 (estructura y anexo A según información pública de ISO y de entidades de certificación; el texto de la norma es de pago y no se reproduce); Reglamento (UE) 2024/1689, artículos 4, 9, 10, 15, 17, 40, 43, 72 y 73, y anexo IV; Reglamento (UE) 2026/1744 («Ómnibus digital sobre IA»); información pública sobre la norma EN 18286 de CEN-CENELEC. Verificado el 11 de octubre de 2026.
Preguntas frecuentes
¿Qué es la ISO 42001?
ISO/IEC 42001:2023 es la norma internacional que establece los requisitos de un sistema de gestión de la inteligencia artificial: las políticas, objetivos, procesos y controles con los que una organización desarrolla, ofrece o usa sistemas de IA de forma responsable. Se publicó en diciembre de 2023 y es certificable.
¿La ISO 42001 es obligatoria?
No. Es una norma voluntaria. Lo obligatorio en la UE es el AI Act (Reglamento (UE) 2024/1689). La ISO 42001 puede ayudar a organizar su cumplimiento, pero no lo sustituye.
¿Certificarse en ISO 42001 equivale a cumplir el AI Act?
No. La presunción de conformidad del artículo 40 del AI Act solo la dan las normas armonizadas citadas en el Diario Oficial de la UE, e ISO/IEC 42001 no lo es. Además, el AI Act exige requisitos técnicos concretos para cada sistema de alto riesgo que un sistema de gestión no acredita por sí solo.
¿Cuántos controles tiene la ISO 42001?
Su anexo A recoge 38 controles agrupados en nueve áreas, de la A.2 a la A.10: políticas, organización interna, recursos, evaluación de impactos, ciclo de vida, datos, información a las partes interesadas, uso de los sistemas y relaciones con terceros.
¿Quién certifica la ISO 42001 en España?
Entidades de certificación, preferiblemente acreditadas por ENAC para este esquema. La norma ISO/IEC 42006 fija los requisitos que deben cumplir los organismos que auditan y certifican sistemas de gestión de la IA.
¿Qué relación tiene con la norma EN 18286?
EN 18286 es la norma europea elaborada por CEN-CENELEC para el sistema de gestión de la calidad del artículo 17 del AI Act. Es la que está llamada a dar presunción de conformidad cuando se cite en el Diario Oficial; a septiembre de 2026 todavía no se había citado.