Las necesarias hacen funcionar el sitio. Las demás miden qué páginas ayudan y qué anuncios traen a quien necesita a DM11. Tú eliges, y puedes revisarlo desde el pie de página.
ISO/IEC 42001
La ISO/IEC 42001 es la norma internacional del sistema de gestión de inteligencia artificial, publicada en diciembre de 2023 por ISO e IEC. No evalúa si tu modelo es bueno. Evalúa si existe una forma definida de decidir dónde entra la IA, quién aprueba, qué se consideró antes de llegar a producción y qué ocurre cuando el resultado sale mal. Es la primera norma de IA que termina en un certificado emitido por un organismo independiente.
La DM11 prepara a tu empresa para la ISO/IEC 42001 y no certifica a nadie. La propia ISO declara que no certifica organizaciones: quien emite el certificado es un organismo de certificación independiente, que puede estar acreditado por un organismo nacional de acreditación. Quien prepara no puede auditar, y esa separación es lo que hace que el certificado valga algo.
Quién conduce la implantación
CGEIT, gobierno corporativo de TI, por ISACA
ISO/IEC 27001 Lead Auditor certificado por BSI
CISA, auditoría de sistemas de información
17 años de gobernanza, riesgos y cumplimiento
QUÉ ES
La ISO/IEC 42001:2023 especifica requisitos para establecer, implantar, mantener y mejorar continuamente un sistema de gestión de inteligencia artificial. Dicho de forma más directa: exige que exista una manera escrita, practicada y verificable de que la empresa decida sobre IA, y no una colección de decisiones que solo recuerda quien las tomó. La publican conjuntamente ISO e IEC, en su primera edición, y viene del comité ISO/IEC JTC 1/SC 42, el comité de inteligencia artificial.
Esta es la diferencia que cambia la conversación comercial. El NIST AI RMF es un marco voluntario, sin organismo certificador y sin sello. Los principios de IA responsable que publican las grandes empresas no tienen auditoría de terceros. La ISO/IEC 42001 sí: la empresa monta el sistema de gestión, un organismo de certificación independiente audita, y el resultado es un certificado que tu cliente puede comprobar. La ISO deja explícito en la ficha de la norma que ella misma no certifica organizaciones, y que los organismos que certifican pueden estar acreditados por organismos nacionales de acreditación.
Conviene ajustar la expectativa pronto, porque es la confusión más común. La norma no dice si tu modelo acierta, no mide precisión, no aprueba una arquitectura y no valida un algoritmo concreto. Lo que exige es el entorno: qué usos de IA existen en la empresa, quién autorizó cada uno, qué se evaluó antes de pasar a producción, cómo se sigue el desempeño después, qué se hace cuando el resultado perjudica a alguien, y cómo todo eso queda probado. Un modelo excelente en una empresa sin esas respuestas suspende. Un modelo modesto en una empresa que sabe responder aprueba.
La ISO describe el público de la norma como organizaciones de cualquier tamaño que proporcionan o utilizan productos y servicios basados en IA, en cualquier sector, incluidos organismos públicos y entidades sin ánimo de lucro. Eso significa que la norma alcanza a la empresa que entrena modelos propios y alcanza también, con un alcance muy distinto, a la que contrató una herramienta de IA y la puso delante del cliente. El segundo caso es hoy la mayoría absoluta del mercado, y el que suele llegar sin preparación a la primera pregunta de un cliente grande.
Una es norma técnica voluntaria que termina en certificado. El otro es ley europea, obligatoria para quien esté en su ámbito, con plazos fijados y sin certificado que comprar. Tener la 42001 no hace que una empresa cumpla automáticamente el reglamento, y cumplir el reglamento no te libra de la norma si tu cliente exige el certificado. Lo que sí existe entre ambos es reaprovechamiento real: inventario de sistemas de IA, evaluación de impacto, funciones definidas, supervisión humana y registro de lo decidido sirven a los dos trabajos, y por eso hacerlos a la vez cuesta mucho menos que hacerlos por separado.
QUIÉN SUELE NECESITARLA
Ninguna empieza con la empresa queriendo una norma. Todas empiezan con alguien de fuera preguntando algo que la empresa no puede responder por escrito.
Es la vía más común, y llega junto con la renovación del contrato. El comprador quiere saber qué sistemas de IA tocan sus datos, si hay supervisión humana, qué pasa cuando el modelo se equivoca y quién responde. La empresa suele hacer varias de esas cosas, y no puede probar ninguna en el formato pedido. Un certificado emitido por un tercero cierra la discusión en una línea, y por eso empezó a aparecer en licitaciones.
El Reglamento Europeo de IA es ley, y el certificado de la 42001 no es un pase libre. Pero la mayor parte del trabajo que la ley exige, inventario, evaluación de impacto, funciones, supervisión humana y registro, es el mismo que pide la norma. Las empresas que van a necesitar ambos suelen descubrir tarde que hicieron el mismo trabajo dos veces, con dos proveedores y dos presupuestos.
Asistentes contratados con la tarjeta de un área, funcionalidad de IA que apareció en una actualización de un sistema que ya existía, uso personal de una herramienta pública con datos de la empresa. Aquí la exigencia todavía no ha llegado de fuera, y va a llegar. El valor de la norma en esta etapa es menos el certificado y más el inventario: es la primera vez que la dirección ve la lista entera.
TRADUCIENDO LA PETICIÓN
La frase que escribe el cliente rara vez describe el trabajo. Estas son las cuatro que más aparecen, con lo que significa cada una en la práctica y lo que cambia el tamaño del proyecto.
| Qué pidieron | Qué significa realmente | Qué cambia el tamaño |
|---|---|---|
| ¿Estáis certificados en ISO 42001? | El comprador quiere un documento emitido por un tercero, no una declaración tuya. El camino es montar el sistema de gestión y contratar a un organismo de certificación independiente para auditarlo. | Cuántos usos de IA entran en el alcance, si la empresa desarrolla modelos o solo los consume, y cuánto sistema de gestión ya existe por la ISO 27001. |
| Necesitamos cumplir el Reglamento Europeo de IA | Es ley, no norma, y no hay certificado que comprar. El trabajo es clasificar cada sistema de IA, cumplir lo que esa clasificación exige y guardar la prueba. | El papel de la empresa en cada sistema, si algún uso cae en las categorías de mayor exigencia y si el servicio se ofrece en el mercado europeo. |
| Queremos una política de uso de IA | Suele ser el primer paso, y por sí sola no sostiene una auditoría. Una política sin inventario describe un mundo que nadie comprobó, y es el documento que antes se convierte en letra muerta. | Si existe inventario de usos de IA, cuántas áreas se van a entrevistar y si la política debe alcanzar también a los proveedores. |
| Necesitamos evaluar el riesgo de nuestros usos de IA | Es la evaluación de impacto, y es el corazón de los dos caminos. Hecha una vez, en el formato correcto, responde a la norma, a la ley y al cuestionario del cliente. | Cuántos sistemas se evalúan, si alguno decide algo sobre una persona y si hay datos personales o decisiones automatizadas de por medio. |
Nada de esto exige comprar la norma para empezar. La conversación de alcance ocurre antes, y el primer entregable útil casi siempre es el inventario, porque es el que revela el tamaño real de todo lo demás.
HISTORIAS
Cambiamos los nombres de los clientes con el mismo sigilo que va a proteger a tu empresa después. Los nombres cambian, el patrón de los problemas se repite. Cuando el cliente lo autoriza, mostramos referencias con nombre en una conversación.
Software como servicio
La renovación de un contrato grande llegó con un anexo nuevo, con preguntas sobre qué sistemas de IA tocaban los datos del cliente, quién supervisaba y qué pasaba cuando el modelo se equivocaba. Producto respondió una cosa, atención respondió otra, y el área jurídica frenó el envío porque ninguna de las dos respuestas podía sostenerse con un documento.
Levantamos el inventario antes de escribir ninguna política, porque la divergencia entre áreas era síntoma de que no existía una lista única. Cada uso recibió responsable y finalidad, incluidos los que habían venido embebidos en productos contratados antes. Después evaluamos por impacto, y no por tecnología, y la supervisión humana se definió donde el resultado iba directo al cliente.
El cuestionario pasó a tener una sola respuesta, escrita, con el registro detrás de cada afirmación. Y la conversación interna cambió de tema: en lugar de discutir quién responde al cliente, el equipo pasó a discutir qué usos de IA valían la supervisión que exigían.
Servicios financieros
La dirección pidió un mapa del uso de IA creyendo que recibiría una página. Lo que había era un asistente contratado con la tarjeta de un área, una funcionalidad de IA activada en una actualización de un sistema antiguo que nadie había leído, y uso de una herramienta pública con documentos internos dentro. Ninguno había pasado por aprobación, y ninguno era irregular, porque no había regla.
Hicimos el levantamiento sin caza de brujas, que es la única forma de que salga completo: quien declaró un uso no recibió sanción, y la lista se trató como retrato y no como acusación. Después escribimos la política sobre lo que existía de hecho, con lo libre, lo que exige aprobación y lo prohibido, y definimos quién aprueba un uso nuevo y quién puede frenar uno ya decidido.
La lista final era varias veces mayor que la estimación de quien la pidió, y esa fue la entrega más valiosa del proyecto. Dos usos se descontinuaron por decisión de la propia área cuando la finalidad quedó escrita, y los demás entraron en el flujo de aprobación con registro.
Industria exportadora
La empresa tenía un proyecto contratado para atender al reglamento europeo de IA y una exigencia de certificación llegando por un cliente, gestionados por equipos distintos y con proveedores distintos. Nadie había comparado los dos alcances, y las dos frentes estaban a punto de pedir el mismo inventario y la misma evaluación de impacto a las mismas personas.
Paramos las dos frentes durante una semana y cruzamos lo que exigía cada una. Inventario, evaluación de impacto, funciones, supervisión humana y registro de las decisiones atienden a la norma y al reglamento cuando se hacen una vez, en el formato que sirve a ambos. Lo que era realmente específico de cada lado quedó separado y explícito, para que nadie los confundiera después.
El trabajo común se hizo una sola vez, con un equipo y un cronograma. La empresa pasó a saber, por escrito, qué parte del esfuerzo responde a la ley, cuál responde a la norma y cuál responde a las dos, que era la información que faltaba para que la dirección decidiera el orden.
AUTODIAGNÓSTICO
Veintiuna preguntas, unos cuatro minutos. El resultado aparece entero en pantalla, con nota por frente y el retrato de tu perfil de uso de IA. No pedimos correo para mostrar el resultado, y ninguna franja promete certificación.
QUIÉN HACE QUÉ
Esta separación no es una elección comercial nuestra, es cómo funciona la certificación, y la propia ISO lo declara en la ficha de la norma. Quien prepara no puede auditar, porque un auditor que evalúa su propio trabajo no produce ninguna garantía. Conviene conocer los cuatro papeles antes de contratar cualquiera de ellos.
CÓMO LO CONDUCIMOS
El orden importa aquí más que en cualquier otra norma, porque la tentación es empezar por la política, que es la parte fácil de escribir y la que menos resiste una auditoría sin el resto debajo.
Empieza aquí y no por la política, porque una política escrita sobre un mundo que nadie comprobó describe otra empresa. Levantamos los sistemas de IA en uso, los que vinieron embebidos en software que ya existía, los contratados por áreas fuera de TI y el uso de herramientas públicas con datos de la empresa. Cada elemento recibe responsable, finalidad y qué decide o sugiere.
Lista de los usos de IA, con responsable y finalidad declarada en cada uno
Qué decide, sugiere o genera cada sistema, y sobre quién
Origen de cada uno: desarrollado, contratado o embebido en otro producto
Los usos que aparecieron fuera del radar de TI, listados sin caza de brujas
Hito de entregaLa dirección ve por primera vez la lista entera, y suele ser mayor que la estimación de quien la pidió.
Con la lista en la mano, cada uso se evalúa por lo que puede causar, y no por la tecnología que emplea. Un clasificador simple que decide sobre una persona pesa más que un modelo sofisticado que resume documentos internos. La evaluación se hace una vez, en el formato que sirve a la norma, al reglamento europeo y al cuestionario del cliente a la vez.
Evaluación de impacto por sistema, con lo que se consideró y por parte de quién
Clasificación de cada uso ante el Reglamento Europeo de IA, cuando aplique
Riesgos de seguridad, privacidad, discriminación y reputación, por separado
Decisión registrada por uso: seguir, seguir con condiciones, o no seguir
Hito de entregaCada uso de IA tiene una decisión escrita, con el nombre de quien decidió y lo que se tuvo en cuenta.
Ahora la política tiene sentido, porque describe un mundo que existe. Definimos quién aprueba un uso nuevo, qué debe ocurrir antes de que un sistema pase a producción, dónde la supervisión humana es obligatoria y qué se hace cuando alguien impugna un resultado. Donde la empresa ya tiene ISO 27001, buena parte de la estructura se reaprovecha en lugar de duplicarse.
Política de uso de IA, con lo permitido, lo que exige aprobación y lo prohibido
Funciones y responsabilidades, incluido quién puede decir que no
Flujo de aprobación de un caso de uso nuevo, con lo que debe estar listo antes
Ruta de reclamación y corrección, y qué hacer cuando el resultado perjudica a alguien
Hito de entregaUn caso de uso nuevo recorre el flujo de principio a fin, y ese registro es la primera evidencia del sistema.
Una auditoría no evalúa intenciones, evalúa evidencias. Organizamos la prueba en el formato que espera el auditor, con rastro de quién decidió qué y cuándo, y conducimos un ensayo de auditoría con tu equipo. El objetivo del ensayo es que el día real no traiga sorpresas, y que las sorpresas aparezcan mientras todavía son baratas.
Evidencia organizada por requisito, con responsable de cada una
Monitorización definida: qué se sigue después de que el sistema pasa a producción
Ensayo de auditoría con el equipo, con las brechas listadas y priorizadas
Plan de corrección con responsable y plazo, antes de llamar al organismo
Hito de entregaLas brechas aparecen en el ensayo y no en la auditoría de certificación, que es donde salen caras.
CUÁNTO TARDA
No publicamos plazos estándar, porque un plazo publicado se convierte en promesa y aquí el alcance varía mucho más que en otras normas. Estos son los factores que más mueven el reloj, y la primera conversación ya muestra en cuál está tu empresa.
Quien solo consume IA de proveedor tiene un alcance bastante menor: la evaluación recae sobre la elección, la contratación, la supervisión y la monitorización, y no sobre datos de entrenamiento y ciclo de vida del modelo. Quien entrena o ajusta modelos propios carga con todo eso también. Las dos certifican, y el trabajo no es del mismo tamaño.
Una empresa certificada en ISO 27001 ya tiene la estructura que la 42001 aprovecha: política aprobada, revisión por la dirección, gestión de no conformidades, auditoría interna y control documental. En ese caso el proyecto es de añadidura, y no de construcción. Quien parte de cero construye las dos capas a la vez, y es honesto decir que eso lleva más tiempo.
Es el factor más subestimado de los tres. El inventario es rápido cuando la IA está concentrada en producto y en tecnología. Cuando ha aparecido en marketing, en atención al cliente, en jurídico y en recursos humanos, cada una con su proveedor, el levantamiento se convierte en el trabajo principal de la primera fase, y es el que define el tamaño de todo lo que viene después.
POR QUÉ QUIEN PREPARA NO AUDITA
Todo mercado de certificación funciona así, y conviene conocer la regla antes de contratar. Si la misma empresa que escribió la política también firmara su auditoría, el certificado no informaría nada a quien lo recibe: sería la opinión de alguien sobre su propio trabajo. Por eso la DM11 prepara y no certifica, y por eso el organismo de certificación lo contratas directamente tú.
La DM11 diagnostica, implanta con tu equipo y organiza la prueba
El organismo de certificación audita y emite el certificado, contratado por ti
El organismo de acreditación reconoce al organismo de certificación
Desconfía de quien ofrezca preparación y certificación en el mismo contrato
El ensayo de auditoría que hacemos no es una auditoría, y no vale como tal
PREGUNTAS FRECUENTES
Las dudas que aparecen en casi toda primera reunión, respondidas sin rodeos.
Lo es, y esa es la característica que la separa de casi todo lo que existe en gobernanza de IA. La empresa monta el sistema de gestión, un organismo de certificación independiente audita, y el resultado es un certificado que tu cliente puede comprobar. La propia ISO deja explícito que no certifica organizaciones: quienes certifican son organismos independientes, que pueden estar acreditados por organismos nacionales de acreditación. La DM11 prepara y no certifica, y quien ofrezca las dos cosas en el mismo contrato está ofreciendo un certificado que vale menos.
Desde julio de 2025 esa pregunta tiene respuesta escrita, y es lo bastante reciente como para faltar en la mayor parte del material del mercado. La ISO/IEC 42006 define los requisitos que un organismo debe cumplir para auditar y certificar sistemas de gestión de IA, sobre la base que ya valía para cualquier certificación de sistema de gestión, la ISO/IEC 17021-1. En términos prácticos: es la que hace que tu certificado signifique lo mismo que el certificado de otra empresa, emitido por otro organismo, en otro país. Al elegir, pregunta por escrito si el organismo opera según la ISO/IEC 42006 y qué organismo de acreditación lo reconoce. Quien no responde a esas dos, responde a todo lo demás.
No. La ISO/IEC 42001 es una norma de sistema de gestión por derecho propio, y una empresa puede buscarla sin tener la 27001. Dicho esto, quien ya tiene la 27001 llega con una ventaja concreta y no pequeña: política aprobada, revisión por la dirección, auditoría interna, tratamiento de no conformidades y control documental son estructuras que la 42001 aprovecha en lugar de exigirlas de nuevo. En ese caso el proyecto es de añadidura. Para quien parte de cero, las dos capas se construyen a la vez, y es honesto decir que eso lleva más tiempo.
No automáticamente, y desconfía de quien diga que sí. Una es norma técnica voluntaria que termina en certificado; el otro es ley europea obligatoria para quien esté en su ámbito, con plazos fijados y sin certificado que comprar. Lo que sí existe entre ambos es reaprovechamiento real de trabajo: inventario de sistemas de IA, evaluación de impacto, funciones definidas, supervisión humana y registro de las decisiones sirven a los dos. Hacerlos a la vez cuesta bastante menos que hacerlos por separado, y esa es la conversación que vale tener antes de empezar.
El reglamento entró en vigor el 1 de agosto de 2024 y se aplica por etapas. Los usos prohibidos y las reglas de formación aplican desde febrero de 2025; las reglas para modelos de uso general, desde agosto de 2025; la aplicación general del reglamento empezó el 2 de agosto de 2026. Las obligaciones de los sistemas de alto riesgo listados en el Anexo III aplican desde el 2 de diciembre de 2027, y las de la IA integrada en productos regulados del Anexo I desde el 2 de agosto de 2028. Esos dos últimos plazos los fijó el Reglamento (UE) 2026/1744, el Digital Omnibus on AI, en vigor desde el 27 de julio de 2026. Si el material que tienes trae otras fechas para alto riesgo, es anterior a esa modificación.
La diferencia que decide la elección es qué produce cada uno al final. El NIST AI RMF es un marco de uso voluntario, publicado en enero de 2023, sin organismo certificador y sin sello: es excelente para ordenar el pensamiento sobre riesgo de IA y no genera un documento que enseñar a un cliente. La ISO/IEC 42001 termina en un certificado emitido por un tercero independiente. Quien necesita demostrar algo a un comprador va por la ISO. Quien quiere estructurarse internamente, sin exigencia externa, encuentra en el NIST un punto de partida gratuito. Los dos conviven, y el trabajo hecho para uno adelanta buena parte del otro.
Se aplica, con un alcance bastante menor, y esa es hoy la situación de la mayoría. La ISO describe el público de la norma como organizaciones que proporcionan o utilizan productos y servicios basados en IA, y utilizan está ahí a propósito. Lo que cambia es el contenido del trabajo: la evaluación recae sobre la elección del proveedor, la contratación, quién supervisa el uso y qué se hace con el resultado, y no sobre datos de entrenamiento y ciclo de vida del modelo. El error típico de este perfil es presumir que la responsabilidad es del proveedor. Quien pone el resultado delante del cliente responde por él.
No publicamos plazos, y el motivo no es reserva comercial: un plazo publicado se convierte en promesa, y tres cosas mueven ese número más que el tamaño de la empresa. Si la empresa desarrolla modelos propios o solo consume IA de terceros, cuánto sistema de gestión ya existe en casa por otra norma, y cuántas áreas usan IA sin pasar por TI, que es el factor más subestimado de los tres. La primera conversación ya muestra en cuál de esos escenarios estás, y el inventario de la primera fase es el que dimensiona el resto con números en lugar de estimaciones.
Por el inventario, y no por la política. Es contraintuitivo, porque la política es la parte fácil de escribir y la que parece dar resultado rápido, pero una política escrita sobre un mundo que nadie comprobó describe otra empresa y no resiste la primera auditoría. El levantamiento de los usos de IA cabe en pocas semanas, no exige comprar la norma y suele ser la primera vez que la dirección ve la lista entera, incluido lo que vino embebido en sistemas antiguos y lo que se contrató fuera de TI. Después de eso, la conversación sobre alcance pasa a ser sobre números.
Una conversación corta ya muestra si tu caso es de certificación, de cumplimiento regulatorio o de ordenar el uso que ya existe. Si prefieres empezar por tu cuenta, el autodiagnóstico de arriba entrega el retrato en pantalla, sin registro obligatorio.
ISO/IEC · ISO/IEC 42001:2023, edição 1, publicada em dezembro de 2023 · consultado el
ISO/IEC · ISO/IEC 42006:2025, edição 1, publicada em julho de 2025 · consultado el
Parlamento Europeu e Conselho da União Europeia · Jornal Oficial de 12/07/2024, em vigor desde 01/08/2024 · consultado el
Parlamento Europeu e Conselho da União Europeia · Digital Omnibus on AI, em vigor desde 27/07/2026 · consultado el
NIST, instituto nacional de padrões e tecnologia dos Estados Unidos · NIST AI 100-1, publicado em 26/01/2023, de uso voluntário · consultado el
ISO/IEC · ISO/IEC 27001:2022, edição 3, com a emenda 1:2024 · consultado el
Esta página es informativa y describe cómo la DM11 lee y aplica las fuentes anteriores. No reproduce el texto de las normas, no sustituye la lectura del documento oficial y no sustituye una auditoría, una certificación, una evaluación independiente ni el asesoramiento jurídico. Donde la norma exige evaluación formal, quien la conduce es un organismo, auditoría o evaluador acreditado, siempre separado de quien preparó.