Definición. Llamamos ISO/IEC 42001 a la norma internacional que especifica los requisitos de un sistema de gestión de la inteligencia artificial, es decir, el conjunto de políticas, objetivos y procesos con los que una organización desarrolla, ofrece o usa IA de forma responsable.
La ISO 42001 es la norma internacional que explica cómo organizar la gestión de la inteligencia artificial en una empresa: quién decide, qué riesgos se miran, qué se comprueba y cómo se mejora. Su nombre completo es ISO/IEC 42001:2023 y ISO la publicó en diciembre de 2023. Si un cliente o una licitación te la ha nombrado, aquí tienes qué pide, qué no es y si a una empresa de 10 a 50 personas le compensa.
Mi criterio viene de seis años de experiencia con ISO 9001 e ISO 14001. No lo cuento como currículum, sino para que sepas desde dónde está escrito: el de qué trabajo supone de verdad mantener un sistema de gestión. Lo que es opinión mía lo marco como tal; lo que dice la norma o un organismo oficial lleva su enlace.
¿Qué es la ISO 42001 y para qué sirve?
La ISO/IEC 42001 es la norma internacional que fija los requisitos de un sistema de gestión de la inteligencia artificial. Según la ficha de ISO, sirve para establecer, implementar, mantener y mejorar de forma continua ese sistema dentro de una organización. Un sistema de gestión de IA es el conjunto de políticas, objetivos y procesos con los que una organización desarrolla, ofrece o usa IA de forma responsable.
Se aplica a organizaciones de cualquier tamaño que desarrollen, ofrezcan o usen productos o servicios con IA. Usar también cuenta: no hace falta ser quien programa el modelo. ISO la clasifica como norma de sistema de gestión y dice que sigue el ciclo de planificar, hacer, verificar y actuar.
Importa tanto lo que no es. No es una norma técnica que mida si un modelo acierta, y no es una ley: ISO aclara que no sustituye leyes ni reglamentos. Dicho de otro modo (lectura mía), la norma no evalúa tu herramienta de IA, evalúa cómo gestiona tu organización el uso que hace de ella.
Sobre dónde conseguirla: la norma completa es de pago. A 13 de octubre de 2026, la tienda de ISO la ofrece por 225 francos suizos. En español la publica UNE, y con la referencia conviene ser cuidadoso: UNE anunció en abril de 2025 la UNE-ISO/IEC 42001:2025, mientras que el INCIBE, en julio de 2026, cita la UNE-ISO/IEC 42001:2026. No hemos podido consultar el catálogo de UNE para saber cuál de las dos está vigente hoy, así que no lo afirmamos. Lo que sí consta, y es lo que de verdad te importa, es que el contenido técnico es el mismo: la lista mensual de CENELEC recoge la norma europea EN ISO/IEC 42001:2026 como adopción de la ISO/IEC 42001:2023, es decir, sobre el texto de 2023. Antes de comprar, comprueba la referencia vigente en el catálogo de UNE.
Las páginas públicas de ISO describen la norma, pero no reproducen sus cláusulas. Por eso, del contenido exacto solo afirmo lo que ISO y los organismos oficiales publican en abierto.
¿Qué te pide la ISO 42001 en una empresa pequeña?
La ISO 42001 te pide, en resumen, tener ordenada la IA que usas u ofreces. ISO resume sus requisitos en siete áreas, y esta tabla las traduce a una empresa de 10 a 50 personas. La columna de la derecha es mi lectura, no una cita de la norma.
| Área según ISO | Qué significa en una empresa pequeña (mi lectura) |
|---|---|
| Liderazgo y contexto | La dirección decide usar IA a propósito y reparte quién responde de qué. |
| Política y objetivos | Un documento corto que dice para qué usas IA y para qué no. |
| Riesgos de los sistemas de IA | Una lista de las IA que usas u ofreces y de qué puede salir mal con cada una. |
| Datos y ciclo de vida | Qué datos entran, de dónde salen y quién aprueba una herramienta nueva o un cambio. |
| Transparencia | Qué cuentas a clientes y empleados sobre dónde hay IA. |
| Evaluación y seguimiento | Cómo compruebas que la IA sigue funcionando como esperabas. |
| Mejora continua | Qué haces cuando algo falla y cómo queda escrito lo que has corregido. |
El INCIBE añade a esa lista las auditorías internas, la revisión por la dirección y la formación del personal. Quien haya pasado una auditoría de calidad reconocerá el esqueleto.
Una advertencia sobre esta tabla: el texto exacto de las cláusulas y de los controles del anexo es de pago y no lo he leído. Si vas a implantar la norma, o a contratar a alguien que lo haga, trabaja con la norma comprada y no con un resumen, ni con este.
¿En qué se parece y en qué no a una ISO 9001 o 14001?
La ISO 42001 se parece a la ISO 9001 y a la ISO 14001 en la forma, y se diferencia en el objeto que gestiona. ISO cita la 9001, la 14001 y la 27001 como normas de sistema de gestión ya consolidadas, y la 42001 es de la misma familia.
Lo que se parece, según mi experiencia con las dos primeras:
- La dirección tiene que implicarse. Una política que firma la dirección y no se vive no sobrevive a la primera revisión.
- Hay política, objetivos y responsables con nombre. Y revisiones periódicas con acciones correctivas cuando algo falla.
- Hay auditoría interna y revisión por la dirección. El INCIBE las incluye también para la 42001.
Lo que cambia, y aquí hablo ya de opinión:
- El objeto. En una 9001 gestionas procesos que tú describes y controlas. En la 42001 gestionas sistemas de IA que muchas veces no controlas del todo, porque la herramienta de un proveedor puede cambiar sin que toques nada. Por eso el primer trabajo es saber qué sistemas hay, antes de escribir un solo procedimiento.
- El riesgo, por sistema. ISO incluye la gestión de riesgos de los sistemas de IA entre las áreas de la norma y lista aparte la ISO/IEC 23894, una guía sobre riesgos de IA, entre las normas relacionadas.
- Temas nuevos para una ISO clásica. Los datos que alimentan la IA, la transparencia hacia las personas y el seguimiento de cómo se comporta el sistema una vez en uso.
- Menos recorrido. La norma es de diciembre de 2023, así que hay menos casos conocidos y menos auditores con rodaje que en la 9001 o la 14001.
¿Qué relación tiene con la ISO 27001?
La ISO 27001 gestiona la seguridad de la información y la ISO 42001 gestiona la inteligencia artificial: son dos normas distintas que pueden convivir. ISO define la 27001 como los requisitos de un sistema de gestión de la seguridad de la información; la 42001 es, para la IA, un sistema de gestión del mismo tipo.
En la práctica, y es lectura mía, la 27001 se centra en proteger la información, incluida la que alimenta una IA, mientras que decidir dónde y cómo usar IA y vigilar los riesgos propios de cada sistema es el terreno de la 42001. ISO ofrece ambas en un paquete conjunto, y AENOR describe la 42001 como integrable con la ISO 9001, la ISO/IEC 27001 y la ISO 20000-1 (es una descripción comercial, no una prueba).
¿Hace falta tener la 27001 antes? Las páginas de ISO que he leído no la presentan como requisito previo. Si ya la tienes, partes con ventaja (opinión): ya existen una política, una auditoría interna y una revisión por la dirección que se pueden aprovechar.
¿Cumplir la ISO 42001 es cumplir el AI Act?
Cumplir la ISO 42001 no es lo mismo que cumplir el AI Act, y ninguna fuente oficial de las que he leído dice que lo sea. El AI Act es un reglamento europeo, de cumplimiento obligatorio; la ISO 42001 es una norma voluntaria. ISO afirma que su norma no sustituye leyes ni reglamentos y que ofrece un marco de gestión para cumplir mejor las obligaciones.
Tampoco se puede dar por hecho lo contrario, y aquí la respuesta no está en una página web sino en el propio Reglamento. Su artículo 40 concede la presunción de conformidad a los sistemas de IA de alto riesgo y a los modelos de uso general que cumplan «normas armonizadas, o partes de estas, cuyas referencias estén publicadas en el Diario Oficial de la Unión Europea». Esa frase tiene tres condiciones y las tres cuentan: la presunción solo la dan las normas armonizadas, solo si su referencia está publicada en el Diario Oficial, y solo para los requisitos que la norma cubra. No es un salvoconducto general para todo el Reglamento. Para conseguir esas normas, la Comisión pidió a CEN y CENELEC trabajo en diez áreas, entre ellas la gestión de la calidad; a 13 de octubre de 2026, la ISO/IEC 42001 no figura en esa página.
Que exista una versión europea de la ISO 42001 no cambia esto por sí solo, y no es una opinión nuestra: se sigue del artículo que acabamos de citar. Una norma europea la publican CEN y CENELEC; una norma armonizada es la que, además, ha pasado la evaluación de la Comisión y tiene su referencia publicada en el Diario Oficial. Lo segundo no viene incluido con lo primero.
La norma de gestión de la calidad pensada para el AI Act es además otra: CEN-CENELEC presentó en julio de 2026 la EN 18286 como requisitos de sistema de gestión de la calidad para las organizaciones que proveen sistemas de IA. No hemos verificado en qué punto de su tramitación está, ni si su referencia se ha publicado ya en el Diario Oficial, que es lo único que decidiría si da presunción. Si ese camino te interesa, compruébalo ahí antes de contar con él.
Lo útil, dicho con prudencia y como lectura mía: montar un sistema de gestión de IA te obliga a tener a mano lo que cualquier revisión de IA te va a preguntar, es decir, qué sistemas usas y quién responde de cada uno. Qué te exige la ley lo explican nuestras guías sobre qué es el AI Act y sobre las obligaciones de la empresa usuaria. La última palabra la tiene tu asesor legal.
¿Quién certifica la ISO 42001 y qué significa certificarse?
La certificación de la ISO 42001 la hace una entidad de certificación externa e independiente, no ISO. ISO lo dice así: no realiza certificaciones ni emite certificados, y una empresa no puede ser certificada por ISO. Ailitica tampoco es entidad de certificación ni emite certificados. Además, la certificación de la 42001 es voluntaria.
¿Y la acreditación? Es el reconocimiento, por un organismo independiente, de que la entidad certificadora es competente. ISO aclara que no es obligatoria y que su ausencia no significa que la entidad no sea fiable. En España, la Entidad Nacional de Acreditación (ENAC) evalúa la competencia técnica de las entidades de certificación, y su buscador de acreditados permite buscar por código de norma. No he encontrado en fuentes oficiales qué entidades están acreditadas para la 42001, así que pregunta a la que te presupueste y compruébalo.
Las reglas del juego de esas entidades están en otra norma, la ISO/IEC 42006, publicada en julio de 2025: añade requisitos a la ISO/IEC 17021-1 para los organismos que auditan y certifican sistemas de gestión de IA. Una pregunta razonable (opinión mía) para cualquier entidad: ¿trabajáis según la ISO/IEC 42006?
Entidades como AENOR ofrecen certificación de la norma UNE-ISO/IEC 42001, y no es la única del mercado: la cito como ejemplo de producto, no como recomendación, y lo sano es pedir oferta a varias. Sobre el coste: no he encontrado tarifas publicadas en fuentes oficiales, y depende de la entidad y del alcance, así que pide más de un presupuesto. En mi experiencia con la 9001 y la 14001, lo que más pesa no es la factura de la entidad sino el tiempo interno de la empresa (opinión).
Un último filtro, ahora desde el otro lado: si un proveedor de IA presume de ISO 42001, pídele el certificado y quién lo emitió. Esa y otras preguntas están en nuestra guía para elegir un proveedor de IA.
¿Le sirve la ISO 42001 a una empresa de 10 a 50 personas?
La ISO 42001 le sirve a una pyme cuando alguien de fuera se la pide o cuando ofrece IA a terceros; en los demás casos suele bastar con una gobernanza sencilla. Es una opinión, y esta es mi forma de decidirlo con tres preguntas:
- ¿Te la pide por escrito un cliente o una licitación? Antes de gastar, pregunta qué piden exactamente: un certificado, o basta demostrar un sistema de gestión equivalente. Si es una licitación, la ley juega a tu favor: el artículo 93 de la Ley de Contratos del Sector Público obliga al órgano de contratación, en los contratos sujetos a regulación armonizada, a reconocer los certificados equivalentes de otros Estados miembros y a aceptar también otras pruebas de medidas equivalentes de garantía de la calidad. Con un cliente privado no existe esa obligación y manda lo que ponga el contrato.
- ¿Ofreces productos o servicios con IA a otras empresas? La norma está pensada también para quien ofrece IA, no solo para quien la usa. Aquí el certificado puede ser un argumento de venta, si tus clientes lo valoran.
- ¿Solo usas IA de terceros dentro de la empresa? La norma también te alcanza, pero mi recomendación es empezar por lo pequeño: la gobernanza de IA en dos páginas, una política de uso de IA y alguien con nombre y apellidos que responda (cómo decidirlo, en ¿necesitas un responsable de IA?). Si más adelante te piden la norma, esa base te sirve.
¿Dónde se pierde el tiempo al implantar un sistema de gestión así?
El tiempo se pierde casi siempre en lo mismo que en una 9001 o una 14001: en lo que se escribe sin que nadie lo use. Esto es opinión mía, de seis años con esas dos normas, y no un dato.
- Empezar por los documentos. Se redacta el procedimiento antes de saber qué se hace de verdad. En IA el orden sano es el inventario: qué sistemas hay, quién los usa y con qué datos.
- Un alcance demasiado grande. Querer cubrir toda la empresa desde el primer día. Es más manejable acotar a los sistemas y áreas donde está el riesgo, y ampliar después.
- Plantillas que describen otra empresa. Un documento que no refleja lo que haces te obliga a mantener dos realidades: la tuya y la del papel.
- Tratarlo como un proyecto con fecha de fin. La norma habla de mejora continua. Es un hábito que se mantiene, no una obra que se entrega.
- Dejarlo todo en manos de un consultor. Puede ayudarte a ordenar y a redactar. Lo que no puede es hacer que el sistema funcione por ti si dentro nadie lo entiende.
¿Cómo empezar esta semana, sin pensar aún en certificarte?
La guía de ISO propone seis pasos para empezar. Adaptados a una empresa de 10 a 50 personas:
- Identifica dónde usas IA: una lista con la herramienta, para qué se usa y quién.
- Define quién responde de la supervisión de cada una.
- Evalúa los riesgos de cada sistema, con una pregunta simple: qué pasa si falla o se equivoca.
- Documenta las reglas de uso de IA y de manejo de datos, en pocas páginas.
- Vigila cómo se comporta la IA y qué efectos tiene.
- Planifica qué corriges cuando algo falla, y revisa de forma periódica.
Esta lista no sustituye a ninguna certificación, pero te deja un sistema que funciona y, si un día decides certificarte, una base real sobre la que hacerlo. Mi respuesta corta a si tu pyme necesita la ISO 42001: no por defecto, sí si alguien con quien trabajas la pide o si vendes IA. Lo que sí necesita casi cualquier pyme que usa IA es orden, y eso no espera a ninguna norma (opinión).