Si tu empresa usa IA, ya tiene algo que gobernar.

El malentendido de fondo es creer que ISO 42001 es para quien entrena modelos. El primer paso es identificar tu rol frente a cada sistema de IA (lo desarrollas, lo provees o lo usas) y los controles cambian radicalmente según la respuesta.

Una empresa que consume un modelo de lenguaje de un tercero no gestiona lo mismo que quien lo entrena, pero sí tiene obligaciones: uso responsable, información a las partes interesadas y gestión de proveedores. Y necesita algo que casi nadie tiene: un inventario de sistemas de IA, incluida la IA embebida en el software que ya compró sin darse cuenta.

El numeral 6.1.4, evaluación de impacto de los sistemas de IA, no tiene equivalente en 9001, 27001 ni 27701. Y se confunde constantemente con la evaluación de riesgos del 6.1.2. Son dos ejercicios distintos y los dos son obligatorios: 6.1.2 mira qué puede salirle mal a la organización; 6.1.4 mira qué consecuencias tiene el sistema para las personas, los grupos y la sociedad.

Ese segundo ejercicio es el que un auditor va a mirar con lupa, porque es la razón de ser de la norma. La guía para hacerlo es ISO/IEC 42005:2025.

Conviene tener esto claro antes de invertir. ISO 42001 ayuda a cumplir el reglamento europeo de IA, pero no es norma armonizada y no da presunción de conformidad. El AI Act tiene obligaciones propias (prohibiciones, régimen de alto riesgo, deberes de transparencia) con sanciones que llegan a 35 millones de euros o al 7 % de la facturación global.

Y no copies la Declaración de Aplicabilidad de tu ISO 27001: los 38 controles del Anexo A de 42001 están repartidos en 9 dominios y son de inteligencia artificial, no de seguridad de la información.