Gobierno de la IA
ISO/IEC 42001 en español: guía práctica para gobernar la IA en tu empresa
ISO/IEC 42001:2023 es la primera norma internacional para gestionar la inteligencia artificial en una organización. Guía en español: qué exige, los 38 controles del Anexo A, cómo se certifica una empresa, cuánto tarda y por dónde empezar en Colombia y Latinoamérica.
· · 9 min de lectura · Por Alejandro Medina
En corto. ISO/IEC 42001:2023 es la primera norma internacional para gestionar la inteligencia artificial dentro de una organización. No certifica un modelo ni un producto: certifica la forma en que la empresa decide, controla y mejora el uso de la IA. Es voluntaria, sirve para cualquier tamaño de empresa y Colombia la adoptó en 2025. Tiene 38 controles en su Anexo A y el certificado dura tres años.
¿Qué es ISO/IEC 42001?
ISO/IEC 42001 es la norma internacional que define los requisitos de un sistema de gestión de inteligencia artificial. La publicaron ISO e IEC en diciembre de 2023. Según la guía oficial de ISO, es la primera norma global que explica cómo establecer, implementar, mantener y mejorar ese sistema.
Un sistema de gestión de IA es un conjunto de políticas, procesos y controles. Responde preguntas sencillas que hoy casi ninguna empresa tiene por escrito:
- ¿Qué herramientas de IA usamos y quién las aprobó?
- ¿Qué datos de clientes entran a esas herramientas?
- ¿Quién responde si la IA se equivoca?
- ¿Cómo sabemos si un sistema de IA sigue funcionando bien seis meses después?
La norma sirve para tres tipos de organizaciones: las que desarrollan IA, las que la integran en sus productos y las que simplemente la usan para trabajar. Esta última es la mayoría de empresas en Latinoamérica.
¿Por qué importa ahora en Colombia y Latinoamérica?
Por tres razones concretas.
- Colombia ya la adoptó. En septiembre de 2025, Baker McKenzie informó que las organizaciones en Colombia pueden adoptar y certificarse en ISO/IEC 42001:2023, en línea con la política nacional de IA.
- Hay política pública. El CONPES 4144 de 2025 fija la Política Nacional de Inteligencia Artificial de Colombia, con enfoque en uso ético y responsable. No es una ley, pero marca hacia dónde va el regulador.
- Los clientes grandes ya preguntan. Bancos, multinacionales y entidades públicas empiezan a pedir a sus proveedores evidencia de cómo gestionan la IA. Si vendes a Europa, el Reglamento de IA de la Unión Europea (Reglamento 2024/1689) suma presión.
Hay una cuarta razón, más incómoda: la IA en la sombra. En casi todos los diagnósticos que hacemos aparece el mismo patrón. Los equipos usan ChatGPT, Gemini o Claude con cuentas personales, pegan información de clientes y nadie lo sabe. ISO 42001 no prohíbe la IA. Pone orden para que se pueda usar sin riesgo.
¿Qué exige la norma? Las 7 cláusulas
ISO 42001 usa la misma estructura que ISO 9001 (calidad) e ISO/IEC 27001 (seguridad de la información). Si tu empresa ya tiene alguna de esas, vas a reconocer el esqueleto.
| Cláusula | Qué pide, en simple |
|---|---|
| 4. Contexto | Entender dónde usa IA la empresa, quiénes se ven afectados y qué entra en el alcance |
| 5. Liderazgo | Que la dirección se comprometa, apruebe una política de IA y asigne responsables |
| 6. Planificación | Evaluar riesgos de la IA, evaluar su impacto en personas y fijar objetivos medibles |
| 7. Apoyo | Recursos, personas capacitadas, comunicación y documentos al día |
| 8. Operación | Ejecutar los controles en el día a día y en todo el ciclo de vida de cada sistema |
| 9. Evaluación | Medir, hacer auditorías internas y revisiones de la dirección |
| 10. Mejora | Corregir fallas y mejorar el sistema de forma continua |
La parte que más diferencia a ISO 42001 de otras normas está en la cláusula 6: además del análisis de riesgos, pide una evaluación de impacto de los sistemas de IA sobre personas y sociedad. No basta con preguntar "¿qué le puede pasar a la empresa?". También hay que preguntar "¿a quién puede afectar este sistema y cómo?".
Los 38 controles del Anexo A
El Anexo A trae 38 controles agrupados en 9 objetivos. Son la lista de referencia. La empresa elige cuáles aplica según sus riesgos y justifica por escrito los que deja por fuera. Ese documento se llama Declaración de Aplicabilidad.
| Objetivo | De qué se trata |
|---|---|
| A.2 Políticas de IA | Una política escrita que dice para qué sí y para qué no se usa la IA |
| A.3 Organización interna | Roles, responsabilidades y cómo se reportan problemas |
| A.4 Recursos | Inventario de datos, herramientas, infraestructura y personas |
| A.5 Evaluación de impactos | Cómo afecta cada sistema a personas, grupos y sociedad |
| A.6 Ciclo de vida | Diseño, pruebas, puesta en marcha, monitoreo y retiro de cada sistema |
| A.7 Datos | Calidad, origen y preparación de los datos que usa la IA |
| A.8 Información a partes interesadas | Qué se le cuenta a usuarios y clientes sobre la IA |
| A.9 Uso de la IA | Reglas para usar la IA de forma responsable dentro de la empresa |
| A.10 Terceros | Proveedores de IA, clientes y responsabilidades compartidas |
Los anexos B, C y D no son obligatorios, pero ayudan mucho. El B explica cómo implementar cada control. El C lista objetivos y fuentes de riesgo típicas de la IA. El D muestra cómo usar la norma en distintos sectores.
¿Cómo se certifica una empresa?
Primero, una aclaración que evita muchas confusiones: ISO no certifica a nadie. La certificación la hace un organismo independiente, que puede estar acreditado por el organismo nacional de acreditación. Desde 2025, la norma ISO/IEC 42006 define qué deben cumplir esos organismos para auditar sistemas de gestión de IA.
El camino típico tiene seis pasos:
- Inventario. Listar todas las herramientas y sistemas de IA que se usan, incluidas las que nadie aprobó.
- Análisis de brechas. Comparar lo que hay contra lo que pide la norma.
- Diseño del sistema. Política de IA, roles, metodología de riesgos e impacto, Declaración de Aplicabilidad.
- Implementación. Poner los controles a funcionar y capacitar a los equipos.
- Auditoría interna y revisión de la dirección. Probar que el sistema funciona antes de que llegue el auditor externo.
- Auditoría de certificación. Se hace en dos etapas: primero se revisa la documentación y luego se verifica que el sistema opera en la práctica.
El certificado dura tres años, con auditorías de seguimiento cada año.
¿Cuánto tarda y cuánto cuesta?
Depende de tres cosas: cuántos sistemas de IA tiene la empresa, si ya tiene ISO 27001 o ISO 9001, y si desarrolla IA o solo la usa.
Como referencia, una empresa mediana que usa IA (no la desarrolla) y tiene pocos sistemas suele tardar entre 4 y 9 meses en prepararse. Si ya tiene ISO 27001, puede reutilizar buena parte: gestión documental, auditorías internas, revisión de la dirección y gestión de proveedores.
El costo tiene dos partes que no se deben mezclar:
- Preparación. Diagnóstico, diseño e implementación. En MedInA, una auditoría de IA cuesta entre USD 2.500 y 3.500 y una consultoría estratégica de 3 meses entre USD 15.000 y 45.000.
- Certificación. La cobra el organismo certificador por días de auditoría. Pide cotización directa a dos o tres organismos.
ISO 42001 frente a ISO 27001: ¿necesito las dos?
No son lo mismo y no se reemplazan.
| ISO/IEC 27001 | ISO/IEC 42001 | |
|---|---|---|
| Protege | La información | El uso de la inteligencia artificial |
| Pregunta central | ¿Está segura la información? | ¿La IA se usa de forma responsable y controlada? |
| Riesgos típicos | Fugas, accesos indebidos, pérdida de datos | Sesgos, errores, falta de transparencia, IA en la sombra |
| Evaluación de impacto en personas | No la exige | Sí la exige |
Si tu empresa ya tiene ISO 27001, lo más eficiente es integrar ISO 42001 al mismo sistema de gestión. Comparten estructura, auditorías y buena parte de la documentación.
Por dónde empezar esta semana
No necesitas un proyecto de certificación para avanzar. Estas cuatro acciones ya te ponen en el camino, y coinciden con los primeros pasos que recomienda la propia ISO:
- Haz el inventario. Pregunta a cada área qué herramientas de IA usa. Te vas a sorprender.
- Nombra un responsable. Una persona que responda por la IA en la empresa.
- Escribe una política de una página. Qué está permitido, qué no y qué datos nunca deben entrar a una herramienta de IA.
- Elige el sistema de mayor riesgo y evalúa qué puede salir mal y a quién afectaría.
En la metodología M.E.D.I.N.A. esto vive en la fase de Normalizar: después de mapear, entrenar, diseñar e implementar, la IA se vuelve parte de las reglas de la empresa y no un experimento suelto.
Sobre el autor
Alejandro Medina es profesional certificado en ISO/IEC 42001:2023 por NYCE, A QIMA Company. Certificado N.º CSFUN-4341-26, vigente de enero de 2026 a enero de 2027, verificable en nyce.org.mx. Acompaña a empresas y entidades de Latinoamérica en el diagnóstico de uso de IA y la preparación para ISO 42001.
Ser profesional certificado no es lo mismo que ser organismo certificador: MedInA prepara a la empresa y un organismo independiente la audita. Si quieres saber en qué punto está tu empresa, el diagnóstico inicial es gratis.
Preguntas frecuentes
¿Qué es ISO/IEC 42001?
Es la norma internacional que define cómo crear, operar y mejorar un sistema de gestión de inteligencia artificial dentro de una organización. La publicaron ISO e IEC en diciembre de 2023 y sirve para cualquier empresa que desarrolle, venda o use IA, sin importar su tamaño o sector.
¿ISO 42001 es obligatoria en Colombia?
No. Es voluntaria. Colombia la adoptó como norma técnica en 2025, pero ninguna ley obliga a certificarse. Sirve para demostrar ante clientes, inversionistas y reguladores que la empresa gestiona la IA con reglas claras, y ayuda a prepararse para normas que sí obligan, como el Reglamento de IA de la Unión Europea.
¿Cuántos controles tiene ISO 42001?
El Anexo A trae 38 controles agrupados en 9 objetivos: políticas de IA, organización interna, recursos, evaluación de impactos, ciclo de vida del sistema, datos, información para las partes interesadas, uso de la IA y relaciones con terceros. La empresa decide cuáles aplica y justifica las exclusiones.
¿Quién certifica a una empresa en ISO 42001?
Un organismo de certificación independiente, idealmente acreditado. ISO no certifica a nadie. Un consultor tampoco: el consultor prepara a la empresa y el organismo de certificación la audita. Desde 2025, la norma ISO/IEC 42006 fija los requisitos que deben cumplir esos organismos.
¿Cuánto tarda una empresa en certificarse?
En una empresa mediana con pocos sistemas de IA, la preparación suele tomar entre 4 y 9 meses antes de la auditoría. Si ya tiene ISO 27001 o ISO 9001, el camino es más corto porque reutiliza la misma estructura de gestión. El certificado dura tres años con auditorías de seguimiento cada año.
¿Qué diferencia hay entre una persona certificada y una empresa certificada en ISO 42001?
Una persona certificada demostró ante un organismo que conoce la norma y sabe aplicarla. Una empresa certificada pasó una auditoría que comprobó que su sistema de gestión de IA cumple la norma. Alejandro Medina es profesional certificado por NYCE; eso le permite preparar empresas, no emitir certificados.