ISO/IEC 42001: qué es la norma de sistemas de gestión de inteligencia artificial y quién debería considerarla

¿Qué es la ISO 42001?

La ISO/IEC 42001:2023, cuyo título oficial es Information technology — Artificial intelligence — Management system, es la norma internacional que especifica los requisitos para establecer, implementar, mantener y mejorar de forma continua un sistema de gestión de inteligencia artificial (AIMS, por sus siglas en inglés). Según su ficha oficial en ISO, se publicó el 18 de diciembre de 2023, la elaboró el comité técnico ISO/IEC JTC 1/SC 42, dedicado a inteligencia artificial, tiene 51 páginas y es su primera edición.

ISO la presenta como la primera norma de sistemas de gestión de IA del mundo. Sirve para organizaciones de cualquier tamaño y sector que desarrollen, provean o usen productos o servicios basados en IA, incluidos organismos públicos y entidades sin fines de lucro.

Un sistema de gestión de IA es, según la guía explicativa de ISO, el conjunto de políticas, procesos y controles con los que una organización gobierna cómo diseña, desarrolla, despliega y usa la inteligencia artificial: define responsabilidades, evalúa riesgos, asegura transparencia y rendición de cuentas, cuida la calidad de los datos y monitorea los sistemas en todo su ciclo de vida. Es una norma de gestión: se enfoca en cómo la organización gobierna la IA, no en certificar un modelo concreto. El concepto está desarrollado en gobierno de la IA.

¿Qué requisitos tiene?

ISO resume así los requisitos principales. La columna de la derecha muestra cómo se traducen en una empresa que opera agentes de IA:

Para empezar, ISO sugiere identificar dónde se usa IA, definir roles de supervisión, evaluar los riesgos, documentar las políticas de uso y de gobierno de datos, monitorear el desempeño y los impactos, y planificar acciones correctivas. Esos pasos sirven aunque la empresa nunca se certifique.

¿Es obligatoria la ISO 42001?

No. ISO aclara que la certificación es voluntaria y que la norma no reemplaza leyes ni regulaciones: ofrece un marco de gestión para cumplirlas mejor. En Ecuador, ni la LOPDP ni su Reglamento la exigen.

Lo que sí hace la LOPDP es permitir que una empresa demuestre su responsabilidad proactiva apoyándose en estándares, sistemas de certificación o sellos (art. 10, letra k) y en estándares internacionales de gestión de riesgos y de seguridad de la información (art. 37). Adherirse a una certificación es voluntario y no exime de cumplir la ley (art. 52).

Hay dos señales regulatorias que apuntan en esa dirección. La estrategia nacional de IA, publicada en enero de 2026, incluye como línea de acción desarrollar o adoptar normas técnicas y certificaciones de calidad, seguridad y ética en IA, con referencia en estándares internacionales. Y la norma de gran escala de la Superintendencia permite que las auditorías que deben hacer, al menos cada 12 meses, quienes tratan datos a gran escala se basen en estándares, metodologías o certificaciones reconocidas, siempre que evalúen adecuadamente el cumplimiento de la LOPDP (art. 17). El estado completo de la regulación está en ley de inteligencia artificial en Ecuador.

¿Cómo se relaciona con ISO 27001, ISO 27701 y otras normas de IA?

En términos simples: la 27001 protege la información, la 27701 los datos personales y la 42001 el uso de la IA. Si ya tienes una de ellas, conviene coordinarlas para no duplicar políticas, auditorías ni registros. Los controles de seguridad de los proveedores de modelos están en seguridad de datos al usar inteligencia artificial.

¿Cómo se relaciona con la LOPDP?

Certificarse en ISO 42001 no equivale a cumplir la LOPDP, ni a las certificaciones de cumplimiento que pueden emitir las entidades certificadoras reconocidas por la Superintendencia (art. 54 de la LOPDP). Pero varios de sus requisitos producen la evidencia que la ley y la Superintendencia piden:

La 42001 tampoco reemplaza el expediente de la LOPDP: evaluación de impacto, registro de actividades y auditoría de los agentes en producción, que en Advise forman el módulo de cumplimiento LOPDP.

¿Quién debería considerarla?

• Empresas que desarrollan o venden servicios basados en IA y necesitan demostrar gobierno ante clientes, directorios o auditores.
• Empresas con tratamientos de datos a gran escala, que ya deben auditarse al menos cada 12 meses (norma de gran escala, art. 17).
• Sectores con datos sensibles o decisiones de alto impacto, como servicios financieros o clínicas y salud privada.
• Empresas que ya operan con ISO 27001 y quieren extender esa disciplina a sus proyectos de IA.

Para una empresa que recién empieza con uno o dos agentes, lo prioritario es cumplir la LOPDP; la 42001 puede ser el paso siguiente.

¿Qué errores conviene evitar al adoptarla?

• Creer que el certificado cubre la ley. La 42001 ordena la gestión, pero la evaluación de impacto, el registro de actividades y la atención de los derechos de las personas siguen siendo obligaciones de la LOPDP.
• Empezar por la documentación y no por el inventario. Sin una lista real de los sistemas y agentes de IA que operan, con sus datos y sus proveedores, las políticas quedan en el papel.
• Dejar fuera a los proveedores de modelos. Buena parte del riesgo está en terceros: lo que procesan, dónde lo hacen y qué información te entregan sobre su sistema, una información que el encargado debe darte desde la reforma de 2026 a la norma de IA de la Superintendencia.
• No medir. El monitoreo del desempeño es parte de la norma; si nadie revisa errores, quejas y decisiones corregidas por personas, la mejora continua no ocurre.
• Certificar un alcance que no incluye los procesos críticos. Un certificado sobre un piloto menor dice poco de los agentes que tocan dinero o datos sensibles.

¿Quién certifica la ISO 42001 y cuánto cuesta?

ISO no certifica a organizaciones: lo hacen organismos de certificación independientes, que pueden estar acreditados por organismos nacionales de acreditación. La ISO/IEC 42006:2025 fija los requisitos adicionales que esos organismos deben cumplir para auditar la 42001. Antes de contratar, pide al certificador su acreditación y verifica que el alcance cubra la ISO/IEC 42001; en Ecuador, la acreditación de los organismos de evaluación de la conformidad está a cargo del Servicio de Acreditación Ecuatoriano (SAE).

El documento de la norma cuesta CHF 225 en la tienda de ISO, según consulta del 11 de noviembre de 2026; el precio puede cambiar. ISO no publica el costo de la certificación, que depende del alcance y del organismo certificador.