ISO/IEC 42001, requisitos de un sistema de gestión de IA

ISO/IEC 42001 es una norma de sistema de gestión: dice qué debe tener y hacer una organización para gestionar la IA de forma sistemática, y una entidad independiente puede auditarla y certificarla. Eso la diferencia del marco del NIST, que es voluntario y orienta sin certificar.

Sigue la estructura de las normas de sistemas de gestión de ISO: requisitos numerados del 4 al 10 que recorren un ciclo desde el contexto hasta la mejora, más un anexo con controles específicos de IA que se seleccionan según el riesgo y se justifican en una declaración de aplicabilidad. Quien conoce ISO/IEC 27001 reconoce la forma.

Los documentos de un sistema de gestión no se firman una vez: se revisan. La política interna de Higuera exige una revisión al menos anual. Al auditor le basta mirar la fecha para ver si la evidencia está viva, y los procedimientos que nacieron con el programa suelen ser los primeros que se quedan atrás.

Abre reglas_del_ejercicio y evidencia_del_sistema_de_gestion; usa la fecha de corte de la regla 1.

Cada cláusula de requisitos debe poder demostrarse con algún documento o registro. Una cláusula sin evidencia es un hallazgo directo: la norma se cumple en todas partes salvo ahí. Se detecta cruzando la lista de cláusulas con las que la evidencia cita.

Cruza clausulas con la columna clausula de la evidencia.

La declaración de aplicabilidad dice qué temas de control aplican y por qué. Excluir un tema es legítimo cuando se justifica; excluirlo con un guion no es una decisión, es un olvido. La regla 3 del ejercicio lo exige.

Higuera planea anunciar «certificada en IA responsable» cuando termine la auditoría. Un certificado de ISO/IEC 42001 acredita que el sistema de gestión cumple la norma dentro de su alcance: no evalúa si cada sistema de IA individual es seguro, ni equivale a cumplir una ley.