La ISO/IEC 42001 es la norma internacional que define un sistema de gestión de inteligencia artificial (AIMS); el EU AI Act es la ley de la Unión Europea que impone obligaciones por nivel de riesgo. Una es voluntaria y sistémica; la otra es obligatoria y jurídica. Implementar el AIMS es la ruta práctica para demostrar el cumplimiento del AI Act.
Ambas nacen del mismo problema —las organizaciones empezaron a construir y operar sistemas de IA más rápido de lo que la gobernanza pudo acompañar— pero lo responden de maneras distintas. La norma da un método para gestionar la IA con responsabilidad a lo largo del tiempo; la ley establece qué es obligatorio para quien coloca sistemas de IA en el mercado europeo. Entender dónde termina una y empieza la otra es lo que evita construir dos programas paralelos cuando uno solo, bien estructurado, satisface a ambas.
¿Qué es la ISO/IEC 42001 y qué es un AIMS?
La ISO/IEC 42001 es el primer estándar internacional de sistema de gestión dedicado a la inteligencia artificial. No certifica que un modelo sea "seguro" o "ético" —certifica que existe un sistema que identifica los riesgos del uso y del desarrollo de IA, decide qué hacer con ellos y mantiene esas decisiones vivas a lo largo del ciclo de vida de los sistemas.
Un AIMS (Artificial Intelligence Management System) sigue la misma estructura de alto nivel de las demás normas de gestión de ISO —la misma lógica de la ISO/IEC 27001 para seguridad de la información. Esto significa cláusulas de contexto, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora, organizadas en torno a un ciclo de planificar, hacer, verificar y actuar. Quien ya opera un ISMS reconoce el formato de inmediato, y buena parte de la estructura de gobernanza puede reaprovecharse.
Lo que la 42001 añade es el contenido específico de IA. El Anexo A de la norma trae objetivos de control y controles orientados a las cuestiones que plantean los sistemas de IA: políticas de uso responsable, roles y responsabilidades, gestión de datos a lo largo del ciclo de vida, evaluación del impacto de los sistemas sobre personas y grupos, transparencia, supervisión humana y gestión de proveedores de IA. La organización selecciona los controles aplicables a partir de su evaluación de riesgo —no es una lista obligatoria para marcar ítem por ítem.
La idea central: la 42001 gobierna cómo desarrollas, adquieres y operas IA, no un sistema aislado. Cubre el modelo comprado a terceros, el agente construido internamente y el pipeline de datos que alimenta a ambos, bajo un mismo conjunto de reglas de gestión.
¿Qué obligaciones impone el EU AI Act y a quién?
El EU AI Act —el Reglamento (UE) 2024/1689— es una ley de alcance extraterritorial: se aplica a quien desarrolla, distribuye o usa sistemas de IA cuyo resultado se utilice en la Unión Europea, sin importar dónde tenga sede la empresa. Una organización latinoamericana que ofrezca un producto de IA a clientes europeos entra en el ámbito. Clasifica los sistemas por nivel de riesgo e impone obligaciones proporcionales a cada nivel:
-
Riesgo inaceptable — prácticas prohibidas. Algunos usos de IA están vedados por considerarse incompatibles con derechos fundamentales, como ciertos sistemas de puntuación social y de manipulación conductual. No hay cumplimiento posible: el uso está prohibido.
-
Alto riesgo — el núcleo regulatorio. Los sistemas usados en contextos sensibles (como componentes de seguridad, selección de personas, crédito o servicios esenciales) deben cumplir requisitos estrictos: sistema de gestión de riesgo, gobernanza de datos, documentación técnica, registro de eventos (logs), transparencia hacia el usuario, supervisión humana efectiva y robustez, precisión y ciberseguridad. Antes de entrar al mercado, pasan por una evaluación de conformidad.
-
Riesgo limitado — obligaciones de transparencia. Los sistemas que interactúan con personas (chatbots), que generan contenido sintético o que producen deepfakes deben dejar claro que el contenido o la interacción es generado por IA.
-
Riesgo mínimo — la mayoría de las aplicaciones. Sin obligaciones específicas más allá de las buenas prácticas generales.
Existe además una capa propia para modelos de IA de propósito general (GPAI): obligaciones de documentación técnica, información para quien integra el modelo y respeto a los derechos de autor, con exigencias adicionales para los modelos que presenten riesgo sistémico. La aplicación del reglamento es escalonada: las prohibiciones entran en vigor primero, seguidas de las obligaciones para GPAI y, por último, de los requisitos para sistemas de alto riesgo. El incumplimiento expone a la organización a multas administrativas significativas, calculadas como porcentaje de la facturación global.
¿Cómo se relacionan la ISO/IEC 42001 y el EU AI Act?
La relación es de medio y fin. El AI Act dice qué es obligatorio; la ISO/IEC 42001 da un método reconocido de cómo llegar allí y sostenerlo en el tiempo. Los requisitos del AI Act para sistemas de alto riesgo —gestión de riesgo, gobernanza de datos, documentación, logs, supervisión humana, robustez— tienen correspondencia directa con los controles del AIMS. Un sistema de gestión bien implementado produce la evidencia que la ley exige.
| Criterio | ISO/IEC 42001 | EU AI Act |
|---|---|---|
| Naturaleza | Norma técnica voluntaria, certificable | Ley obligatoria y directamente aplicable |
| Alcance | Cualquier organización que desarrolle o use IA | Sistemas de IA con efecto en el mercado de la UE |
| Foco | Cómo gestionar la IA (sistema de gestión) | Qué se permite y se exige (obligaciones por riesgo) |
| Estructura | Ciclo de gestión + controles del Anexo A | Clasificación de riesgo + requisitos por clase |
| Consecuencia | Certificado por organismo acreditado | Multas administrativas y restricción de mercado |
| Rol práctico | Medio para demostrar gobernanza y cumplimiento | Fin regulatorio a cumplir |
La lectura correcta no es elegir entre una y otra. Para quien tiene exposición al mercado europeo, el AI Act es innegociable; la 42001 es la forma más eficiente de ordenar la casa para cumplirlo —y sirve igualmente a quien no está bajo el AI Act pero necesita demostrar gobernanza de IA a clientes, reguladores sectoriales o socios. Cabe la misma advertencia de cualquier norma de gestión: la certificación 42001 no es, por sí sola, presunción de cumplimiento legal del AI Act. Estructura y evidencia la gobernanza; la clasificación jurídica exige el análisis de los requisitos específicos aplicables a cada sistema.
¿Cuál es la ruta práctica para adecuarse?
Adecuarse es transformar principios en un sistema que opera y produce evidencia. Los pasos siguientes sirven tanto para implementar la 42001 como para cumplir el AI Act, porque atacan los mismos puntos.
-
Inventariar y clasificar los sistemas de IA. Ninguna gobernanza empieza sin saber qué existe. Releva todos los sistemas de IA —desarrollados, adquiridos y embebidos en productos de terceros— y clasifica cada uno por el nivel de riesgo del AI Act. Ese inventario define el alcance del AIMS y revela dónde están las obligaciones más pesadas.
-
Definir gobernanza, política y roles. Establece la política de IA responsable, el comité o los responsables de la gobernanza y las responsabilidades a lo largo del ciclo de vida. Es el requisito de liderazgo de la norma y la base para la supervisión humana que el AI Act exige.
-
Evaluar riesgos e impactos. Realiza la evaluación de riesgo de cada sistema y, para los de mayor impacto, la evaluación de impacto sobre personas y grupos afectados. Aquí entra la gobernanza de datos: origen, calidad y representatividad de los datos de entrenamiento y operación.
-
Implementar los controles del AIMS. Pon en operación los controles seleccionados —gestión de datos, transparencia, supervisión humana, robustez y ciberseguridad de los sistemas de IA, gestión de proveedores. Probar la resiliencia técnica de los modelos y agentes frente al abuso forma parte de esta etapa.
-
Documentar y evidenciar. Produce la documentación técnica, los registros de eventos y las instrucciones de uso que la ley exige para sistemas de alto riesgo y que la norma pide como evidencia. La documentación ausente es la no conformidad más común, y la más cara de corregir a última hora.
-
Monitorear, auditar y mejorar. Mide el desempeño de los controles, realiza la auditoría interna, trata incidentes y no conformidades y lleva los resultados a la revisión por la dirección. Es el ciclo que mantiene el sistema vivo y listo para una auditoría de certificación o una fiscalización.
Los pasos no son estrictamente secuenciales. Inventario, evaluación de riesgo y controles forman un núcleo que se retroalimenta a medida que nuevos sistemas de IA entran en producción.
¿Cuánto tiempo lleva y qué determina el esfuerzo?
No existe un plazo estándar. El tiempo de adecuación depende de cuántos sistemas de IA opera la organización, de cuántos caen en las categorías de mayor riesgo y de cuánta gobernanza ya existe —no del sector por sí solo.
Los principales factores de esfuerzo y costo son el tamaño y la diversidad del portafolio de IA (más sistemas y más proveedores amplían el inventario y la evaluación de riesgo), la cantidad de sistemas de alto riesgo en el alcance (que concentran los requisitos más pesados del AI Act), la madurez de la gobernanza de datos ya existente y la distancia entre la documentación actual y la exigida. Describir estos factores es más honesto que prometer un número: son ellos los que definen cuántos meses ocupa el proyecto.
Cómo lo ejecuta Berghem
Berghem estructura la adecuación a partir del inventario y de la clasificación de riesgo de los sistemas de IA, y no de un modelo genérico. Empezamos mapeando lo que la organización desarrolla, adquiere y opera, encuadramos cada sistema en el AI Act y medimos la distancia real entre la gobernanza actual y los requisitos de la 42001 —para que el plan de tratamiento ataque las brechas que importan, en el orden que reduce más riesgo.
A partir de ahí, apoyamos la política de IA, la evaluación de riesgo e impacto, la implementación de los controles del AIMS y la documentación técnica, dejando el sistema listo para auditoría y para demostrar cumplimiento. El detalle del enfoque y de los entregables está en nuestra página de consultoría y gobernanza de IA bajo la ISO/IEC 42001.
Como la gobernanza sin verificación técnica es papel, conectamos la trilla de la 42001 con pruebas que producen la evidencia de robustez que el AI Act exige — seguridad en agentes de IA y ejercicios de Red Team — y con los demás frentes de cumplimiento de la misma organización, como la adecuación a la LGPD, la ISO/IEC 27001 y la directiva NIS2. Como empresa de seguridad de la información en São Paulo, ajustamos alcance, profundidad y cronograma al perfil de riesgo de cada operación.
Preguntas frecuentes
¿La ISO 42001 reemplaza el cumplimiento del EU AI Act?
No. La 42001 es una norma de gestión voluntaria y el AI Act es ley obligatoria. Certificarse en la 42001 estructura y evidencia la gobernanza de IA, lo que facilita mucho cumplir las obligaciones del AI Act, pero no es, por sí sola, presunción legal de cumplimiento. La clasificación jurídica de cada sistema sigue siendo necesaria.
Mi empresa está fuera de la Unión Europea. ¿El AI Act se aplica a mí?
Puede aplicarse. El reglamento tiene alcance extraterritorial: si el resultado de tu sistema de IA se utiliza en la UE, o si ofreces el sistema a usuarios europeos, entras en el ámbito, sin importar dónde tenga sede la empresa. Una organización latinoamericana con productos de IA orientados al mercado europeo necesita evaluar su encuadre.
Ya tenemos ISO 27001. ¿Cuánto de eso aprovecha para la ISO 42001?
Bastante. Las dos normas comparten la misma estructura de sistema de gestión, así que liderazgo, gestión de riesgo, auditoría interna y revisión por la dirección son reaprovechables. Lo que la 42001 añade es el contenido específico de IA: gobernanza de datos de entrenamiento, evaluación de impacto, transparencia y supervisión humana. Integrar los dos sistemas suele ser más eficiente que operarlos en paralelo.