ISO/IEC 42001 es la norma internacional que define un sistema de gestión de inteligencia artificial (AIMS): política, gestión de riesgo, ciclo de vida y gobernanza de IA auditables. Berghem prepara su organización para la certificación — del gap analysis a la auditoría interna — integrando la norma en su programa de seguridad y compliance.
ISO/IEC 42001 es la primera norma internacional para un Sistema de Gestión de Inteligencia Artificial (AIMS). Define requisitos para gobernar el ciclo de vida de la IA de forma responsable — política, evaluación de impacto, controles del Anexo A y mejora continua — permitiendo que las organizaciones demuestren un uso confiable y auditable de la IA y busquen certificación acreditada.
A diferencia de un checklist técnico puntual, el AIMS es un sistema de gestión: define cómo la organización gobierna la IA de extremo a extremo, genera evidencia auditable y sostiene la certificación por un organismo acreditado. Berghem estructura ese sistema y lo conecta a su trabajo de seguridad ofensiva de IA, garantizando que la gobernanza en el papel corresponda al comportamiento real de los modelos y agentes en producción.
El camino hacia ISO/IEC 42001 es un proyecto de sistema de gestión, no una prueba aislada: gap analysis › implementación del AIMS › auditoría interna › Stage 1 › Stage 2 › mantenimiento. Conducimos las fases que llevan del estado actual a la preparación para la auditoría de certificación.
Evaluamos la madurez actual de su gobernanza de IA frente a ISO/IEC 42001, mapeando brechas de política, riesgo, documentación y controles operativos. El resultado es un informe de gaps priorizado por esfuerzo y riesgo, con roadmap de adecuación.
Definimos alcance, política de IA, roles y responsabilidades, objetivos y la estructura documental del AIMS — adaptada a su contexto como proveedor, integrador o usuario de IA, y alineada a los objetivos de negocio.
Implantamos el proceso de evaluación de riesgo de IA y la evaluación de impacto de los sistemas de IA sobre personas y sociedad. Cada modelo, agente o caso de uso pasa a tener riesgo documentado, tratado y reevaluado en su ciclo de vida.
Operacionalizamos los controles del Anexo A, generamos la evidencia auditable y conducimos la auditoría interna que antecede al organismo certificador. Cerramos las no conformidades antes de las auditorías Stage 1 y Stage 2.
ISO/IEC 42001 sigue la estructura de alto nivel (HLS) común a las normas de sistema de gestión ISO. Los requisitos auditables están en las cláusulas 4 a 10 — contexto de la organización, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora —, la misma columna vertebral de ISO/IEC 27001.
El Anexo A de ISO/IEC 42001:2023 incluye 38 controles, organizados en objetivos de control, que la organización selecciona y justifica en una declaración de aplicabilidad según los riesgos de IA identificados. Berghem mapea cada cláusula y cada control del Anexo A a su contexto, produciendo la evidencia que exige el organismo certificador.
ISO/IEC 42001 organiza la gobernanza de IA en torno a un conjunto de dominios reflejados en los controles del Anexo A. Estructuramos cada uno con política, proceso y evidencia.
Política de IA aprobada por la dirección, con objetivos, principios de uso responsable y compromiso con la mejora continua — la base del sistema de gestión.
Proceso formal para identificar, analizar, tratar y monitorear el riesgo de IA a lo largo del tiempo, integrado a la gestión de riesgo corporativa.
Análisis del impacto de los sistemas de IA sobre individuos y grupos — sesgos, transparencia, contestabilidad y consecuencias — documentado y reevaluado.
Gobernanza de datos, desarrollo, validación, despliegue y monitoreo de modelos y agentes, con controles en cada etapa del ciclo de vida.
Documentación técnica, información a las partes interesadas y registros que sostienen la trazabilidad de las decisiones automatizadas.
Definición de responsabilidades, competencias necesarias y concientización de los equipos que diseñan, operan y supervisan los sistemas de IA.
Las tres normas comparten la misma estructura de sistema de gestión y pueden integrarse. Cada una gobierna un objeto distinto.
| Aspecto | ISO/IEC 42001 | ISO/IEC 27001 | ISO/IEC 27701 |
|---|---|---|---|
| Objeto | Gestión de inteligencia artificial (AIMS) | Seguridad de la información (SGSI) | Privacidad de la información (PIMS) |
| Enfoque | Gobernanza responsable del ciclo de vida de la IA | Confidencialidad, integridad y disponibilidad | Tratamiento de datos personales y privacidad |
| Anexo de controles | Anexo A — 38 controles | Anexo A — 93 controles | Extensión de privacidad de ISO 27001 |
| Certificable | Sí, por organismo acreditado | Sí, por organismo acreditado | Sí, como extensión de ISO 27001 |
| Relación | Reutiliza el SGSI existente | Base de seguridad de la información | Extiende ISO 27001/27002 |
La certificación no sustituye la ley, pero crea la base de gobernanza, riesgo y evidencia que la regulación de IA exige cada vez más — en Brasil y fuera de él.
El proyecto de ley brasileño que propone el marco legal de la IA, con deberes de gobernanza, evaluación de riesgo y transparencia. El AIMS anticipa gran parte de esos requisitos.
Las normas del Banco Central sobre gestión de riesgo y uso de tecnología se aplican a modelos y agentes de IA en instituciones financieras. El AIMS organiza la gobernanza que la supervisión espera.
El reglamento europeo de IA clasifica los sistemas por riesgo e impone obligaciones de gestión. ISO/IEC 42001 es la principal vía de conformidad organizacional reconocida por el mercado.
El framework de gestión de riesgo de IA del NIST (EE. UU.) es voluntario y complementa ISO/IEC 42001: el AIMS operacionaliza las funciones de gobernanza que el RMF describe.
El impacto del AIMS varía según el sector y el perfil de riesgo de los sistemas de IA en uso.
Bancos, fintechs y aseguradoras usan IA en crédito, prevención de fraude y atención. El AIMS estructura la gobernanza de modelos que reguladores y clientes exigen cada vez más, integrándose al SGSI y la gestión de riesgo existentes.
Los sistemas de IA en diagnóstico, triaje y gestión clínica manejan datos sensibles y decisiones de alto impacto. El AIMS documenta evaluación de impacto, supervisión humana y trazabilidad, sosteniendo la conformidad con la LGPD y la seguridad del paciente.
Use este checklist inicial para evaluar qué tan cerca está su organización de la auditoría de certificación:
Términos clave usados en la norma y en el proceso de certificación.
AI Management System — el sistema de gestión de inteligencia artificial definido por ISO/IEC 42001, análogo al SGSI de ISO 27001.
El anexo normativo de ISO/IEC 42001:2023 con 38 controles de IA, de los cuales la organización selecciona los aplicables en la declaración de aplicabilidad.
Análisis del impacto de los sistemas de IA sobre individuos, grupos y sociedad — sesgos, transparencia y consecuencias — exigido por la norma.
Entidad de certificación independiente y acreditada que conduce las auditorías Stage 1 y Stage 2 y emite el certificado ISO/IEC 42001.
ISO/IEC 42001 no reemplaza sus demás controles — los organiza. Conectamos el AIMS al resto de su programa de seguridad y conformidad.
El pilar completo de gobernanza, riesgo y conformidad para inteligencia artificial.
El sistema de gestión de seguridad de la información sobre el que se apoya el AIMS.
Auditoría de TI, GRC, gap analysis y tests regulatorios para los principales frameworks.
Controles y tests para agentes autónomos — el riesgo operativo que el AIMS debe gobernar.
Ataque adversarial a modelos y agentes de IA para validar los controles en la práctica.
Test de intrusión de aplicaciones de IA y LLM, mapeado al OWASP LLM Top 10.
En una conversación de 30 minutos mapeamos su madurez en gobernanza de IA y diseñamos el camino hacia la certificación ISO/IEC 42001 — del gap analysis a la auditoría.
Hablar con un especialista