ISO 42001 para pymes: cómo preparar la gestión de la IA

La primera vez que muchas pymes oyen hablar de la ISO 42001 no es leyendo sobre normas, sino rellenando un cuestionario de proveedores. Un cliente grande pregunta: ¿utilizáis inteligencia artificial en el servicio que nos prestáis? ¿Quién la supervisa? ¿Qué controles tenéis? Y de repente, lo que era una herramienta más del día a día se convierte en algo que hay que saber explicar.

Si te ha pasado, o ves venir que te pasará, esta guía es para ti: qué es exactamente la ISO/IEC 42001, a quién le compensa planteársela y, sobre todo, qué conviene tener hecho antes de hablar de certificados.

Aclaración necesaria antes de empezar: esto es orientación general para situarte, no asesoramiento de certificación ni legal. La certificación la realizan entidades acreditadas mediante auditoría, y las obligaciones legales de cada caso se revisan con profesionales especializados.

Resumen

La ISO/IEC 42001 es la primera norma internacional certificable para gestionar la inteligencia artificial en una organización: pide saber qué IA se usa, con qué datos, bajo la responsabilidad de quién y con qué revisión. Para una pyme tiene sentido plantearla cuando vende servicios con IA a clientes que empiezan a pedir garantías, o cuando necesita poner orden interno de verdad. No es un requisito legal ni sustituye al Reglamento europeo de IA. Y el camino sensato no empieza en el certificado: empieza en el inventario de usos y en unas políticas que el equipo cumpla.

Qué es la ISO/IEC 42001 (y qué no es)

La ISO/IEC 42001 define un sistema de gestión de la inteligencia artificial: un conjunto de políticas, roles, procesos y evidencias para usar IA con control. Se publicó a finales de 2023 y pertenece a la misma familia que la ISO 9001 (calidad) o la ISO 27001 (seguridad de la información): no evalúa una herramienta concreta, evalúa cómo la organización gestiona lo que hace con ella.

Conviene tener igual de claro lo que no es:

• No es un sello de calidad de un modelo. No certifica que “tu IA funcione bien”; certifica que la gestionas con orden: sabes qué usas, para qué, con qué riesgos y quién responde de cada cosa.
• No la certifica ISO. ISO publica la norma; la certificación la realizan entidades de certificación acreditadas, con auditoría de por medio y renovaciones periódicas.
• No es obligatoria. Es voluntaria. Otra cosa es que el mercado, sobre todo los clientes grandes, empiece a pedirla en la práctica, como pasó en su día con la 9001 en tantos sectores.

A quién le compensa plantearla

Merece pensarse en serio cuando se da alguna de estas situaciones:

• Vendes servicios en los que la IA toca al cliente. Consultoría, gestión, software, marketing, análisis: si la IA participa en lo que entregas, tarde o temprano un cliente grande preguntará cómo la controlas. En licitaciones y cuestionarios de homologación de proveedores la pregunta ya aparece.
• Tu equipo usa IA por libre y lo sabes. Cada persona con su herramienta, sus datos y su criterio. La norma, incluso sin llegar a certificarse, da un guion probado para ordenar eso.
• Trabajas para sectores exigentes. Banca, salud, industria regulada, administración pública: cadenas de suministro donde las garantías se piden hacia abajo, proveedor a proveedor.

Y cuándo probablemente no compensa todavía:

• Si el uso de IA es ocasional y no forma parte del servicio que vendes.
• Si no hay nadie que pueda ser dueño del sistema de gestión: una norma sin responsable es papel mojado.
• Si el único motivo es tener un sello. Un sistema de gestión que no se usa cuesta dinero dos veces: al montarlo y al mantenerlo.

Qué exige, a grandes rasgos

Sin entrar en el detalle de cláusulas, el esqueleto resulta familiar para cualquiera que haya convivido con una norma de gestión:

Bloque	Qué significa en la práctica
Inventario de usos de IA	saber qué sistemas y herramientas se usan, para qué y con qué datos
Política y objetivos	reglas escritas y realistas sobre qué se puede hacer con IA y qué no
Roles y responsables	quién aprueba usos nuevos, quién revisa resultados, quién responde
Evaluación de riesgos e impactos	qué puede salir mal en cada uso y a quién afectaría
Control del ciclo de vida	proveedores, datos, cambios de versión, incidencias
Mejora continua	auditorías internas, revisión periódica, correcciones

Nada de esto es exótico: es la pregunta “¿sabemos lo que hacemos con la IA?” convertida en método. Por eso mismo, gran parte del valor está disponible sin certificarse: el inventario y las políticas ya cambian la conversación con los clientes y con el propio equipo.

Si en tu empresa aún no existe ese inventario, ese es el primer paso, con norma o sin ella: podemos levantarlo contigo, con sus riesgos y sus responsables, y decidir después si el camino de la certificación aporta algo a tu caso.

Qué relación tiene con el Reglamento europeo de IA

Se confunden a menudo y no son lo mismo. El Reglamento europeo de inteligencia artificial es ley: clasifica los sistemas de IA por nivel de riesgo e impone obligaciones según ese nivel, con su propio calendario de aplicación. La ISO 42001, en cambio, es una norma voluntaria de gestión.

La relación práctica es de ayuda, no de equivalencia: la norma genera el orden y las evidencias que el cumplimiento legal necesita (saber qué sistemas usas y con qué riesgos es el punto de partida de casi cualquier obligación), pero certificarse no equivale a cumplir el reglamento, ni cumplir el reglamento exige certificarse. El texto legal completo está publicado en castellano como Reglamento (UE) 2024/1689. Y si tus usos de IA tratan datos personales, la guía de la AEPD sobre adecuación al RGPD de tratamientos con IA es lectura previa casi obligada, junto con una política de privacidad puesta al día.

Para dudas concretas de clasificación de riesgo u obligaciones aplicables, la recomendación es la de siempre: profesional especializado, no una entrada de blog.

El camino sensato antes de certificar

Imagina una consultora de gestión de 14 personas en Zaragoza. Usa IA para preparar borradores de informes, resumir documentación de clientes y apoyar algún análisis. Un cliente industrial le envía un cuestionario de homologación con un bloque nuevo dedicado a la IA. ¿Debería correr a certificarse? Mal orden. El camino con sentido es este:

1. Inventario honesto. Qué herramientas se usan de verdad, incluidas las que el equipo utiliza por su cuenta. Con qué datos, de quién y adónde van.
2. Políticas cortas que se cumplan. Qué está permitido, qué está prohibido, qué requiere aprobación previa. Una página que el equipo entiende vale más que treinta que nadie lee. El control de accesos y permisos forma parte de este bloque.
3. Un responsable con nombre. Alguien aprueba usos nuevos y revisa incidencias. Sin dueño no hay sistema, hay documentos.
4. Evidencias mínimas. Registro de usos aprobados, revisiones hechas, incidencias y decisiones tomadas. Es exactamente lo que un cliente, o un auditor, querrá ver.
5. Solo entonces, hablar de certificar. Con ese trabajo hecho, pedir a una entidad acreditada un análisis de carencias te dirá cuánto falta y cuánto costará. Sin ese trabajo, la respuesta será siempre “mucho”.

Con los cuatro primeros pasos, la consultora del ejemplo puede responder el cuestionario de su cliente con solvencia. Quizá eso le baste durante años. Quizá el mercado acabe pidiéndole el certificado. Pero el orden del camino no cambia.

Errores frecuentes

• Empezar por el certificado y no por el problema. El sello sin sistema real detrás se nota en la primera auditoría de seguimiento, y antes aún en el primer incidente.
• Comprar políticas de plantilla. Documentos genéricos que no describen cómo trabaja tu empresa: los auditores los detectan y el equipo los ignora.
• Olvidar la IA de los proveedores. El CRM con funciones de IA, la herramienta de marketing, el software de terceros: también son usos que hay que conocer y gestionar.
• Confundir norma con ley. Cumplir la ISO no exime de ninguna obligación del reglamento europeo ni del RGPD.
• Tratarlo como un proyecto con final. Un sistema de gestión vive: revisiones, cambios, mejora. Si nadie lo mantiene, caduca solo.

Preguntas frecuentes

¿Puede certificarse una pyme pequeña en ISO 42001?

Sí. La norma está pensada para organizaciones de cualquier tamaño y el alcance puede acotarse a una parte del negocio. La pregunta correcta no es si se puede, sino si compensa: para muchas pymes, tener el inventario, las políticas y las evidencias en orden resuelve lo que el mercado les pide, sin necesidad de llegar al certificado.

¿Cuánto cuesta y cuánto se tarda en conseguirla?

Depende del alcance, del tamaño de la empresa y del punto de partida, así que desconfía de cifras universales. La vía fiable: con el inventario y las políticas hechos, pedir propuesta a dos o tres entidades de certificación acreditadas y comparar plazos, alcance y precio con la misma información.

¿Certificarse en ISO 42001 garantiza cumplir el Reglamento de IA?

No. Son cosas distintas: la norma ordena la gestión interna y el reglamento impone obligaciones legales según el riesgo de cada sistema. La norma ayuda a llegar ordenado al cumplimiento, pero la verificación legal del caso concreto es trabajo de profesionales especializados.

Siguiente paso

Antes de decidir sobre certificados hace falta la foto: qué IA se usa ya en tu empresa, con qué datos y bajo la supervisión de quién. Si quieres esa foto con una primera lectura honesta de riesgos y prioridades, cuéntanos tu caso, sin compromiso.