El sistema de gestión de IA de ISO/IEC 42001

ISO/IEC 42001:2023 es la norma de sistemas de gestión de inteligencia artificial: establece requisitos para crear, implementar, mantener y mejorar de forma continua un sistema de gestión de IA. Como las demás normas de gestión de ISO, sus requisitos obligatorios están en las cláusulas 4 a 10 —contexto y alcance, liderazgo y política, planificación, apoyo, operación, evaluación del desempeño y mejora— y se complementa con un Anexo A de controles de referencia, que según las fuentes consultadas se agrupan en nueve objetivos (de A.2 a A.10), y un Anexo B con orientación para aplicarlos.

La diferencia con el marco del NIST es de naturaleza. El marco es voluntario y no se certifica: describe resultados deseables. La norma de ISO pide un sistema que un organismo de certificación pueda auditar contra sus requisitos. Ninguna de las dos reemplaza a la otra, y una organización puede usar la primera para estructurar su riesgo y la segunda para demostrarlo ante terceros.

La cláusula de contexto pide determinar los límites y la aplicabilidad del sistema de gestión, teniendo en cuenta el contexto de la organización. Cántaro no fabrica el modelo de Mochuelo: lo integra sobre el de un proveedor y lo despliega a asegurados. Su borrador de alcance fija un criterio: entran los sistemas de IA que tocan datos de asegurados.

Un criterio de alcance es fácil de verificar. Mira la tabla de sistemas, que dice si cada uno toca datos de asegurados y si el borrador de alcance lo incluye, y busca la fila que contradice el criterio.

La declaración de aplicabilidad es el documento que, para cada grupo de controles del Anexo A, dice si aplica, por qué y en qué estado está. Un auditor no la lee como una lista: la contrasta con el resto del expediente. Una exclusión se sostiene solo si la justificación es verdadera.

En el borrador de Cántaro hay un grupo excluido porque «Mochuelo no interactúa con asegurados de forma directa». Mira el alcance: sus usuarios son asegurados, por la aplicación móvil y el portal web.

La columna de estado dice «implementado» en cuatro grupos. En una auditoría, «implementado» sin evidencia es una afirmación, no un hecho: el auditor pide el documento, el registro o la captura que lo respalda. La columna de evidencia del borrador tiene un código en la mayoría de las filas y la palabra «ninguna» en otras.

Filtra lo declarado como implementado y busca el grupo al que no se le cita ninguna evidencia.

El Anexo A no es una lista que se cumple completa por defecto: es el conjunto de controles de referencia contra el que la organización compara los que necesita. En la planificación del tratamiento del riesgo la empresa determina los controles necesarios, los contrasta con el Anexo A y redacta la declaración de aplicabilidad, con una justificación de por qué incluye cada uno y por qué excluye los que excluye. Puede añadir controles propios que el anexo no recoja.

La consecuencia práctica es doble: no se excluye por comodidad, y no se incluye por inercia.