ISO 42001 : definición
La ISO/IEC 42001:2023 es la primera norma internacional de sistema de gestión de la inteligencia artificial. Está publicada por la ISO y la CEI, tal como se presenta en la página oficial de la ISO. Especifica los requisitos para establecer, implementar, mantener y mejorar continuamente un sistema de gestión de la IA, a menudo abreviado como SGIA, o AIMS en inglés.
Está dirigida a organizaciones que desarrollan, suministran o utilizan sistemas de IA, independientemente de su tamaño y sector. Por tanto, una PYME industrial que utiliza una herramienta de IA de terceros está tan afectada como una empresa de desarrollo de software.
¿Para qué sirve la norma?
El objetivo es lograr que el uso de la IA sea controlado, trazable y responsable. En términos prácticos, el sistema de gestión ayuda a :
- definir una política de IA y roles claros
- identificar los riesgos y los impactos de un sistema de IA en las personas y en la organización
- gestionar los datos, los proveedores y el ciclo de vida de los sistemas
- supervisar el rendimiento y tratar las desviaciones
- mejorar el dispositivo de forma continua
Estructura de la norma
La ISO 42001 sigue la estructura común de las normas de sistemas de gestión (cláusulas 4 a 10), la misma que las ISO 9001, 14001 o 45001 :
- contexto de la organización
- liderazgo
- planificación (riesgos, objetivos, evaluación de impacto)
- apoyo (recursos, competencias, documentación)
- realización de las actividades operativas
- evaluación del desempeño (auditoría interna, revisión por la dirección)
- mejora
Este parentesco facilita la integración en un sistema de gestión existente, punto desarrollado en nuestro artículo sobre la integración de la norma ISO 42001 en el sistema de gestión QHSE.
El anexo A : las medidas de control
La norma incluye un anexo A que enumera las medidas de control divididas en grandes áreas : políticas relacionadas con la IA, organización interna, recursos, evaluación de impacto, ciclo de vida del sistema, datos, información a las partes interesadas, uso y relaciones con terceros. La organización elige las que responden a sus riesgos y justifica sus decisiones. El texto detallado de estas medidas figura en la norma, disponible a través de ISO o AFNOR.
Certificación : ¿qué esperar?
La certificación es voluntaria. Es emitida por un organismo acreditado tras una auditoría en varias etapas, seguida de auditorías de seguimiento. AFNOR Certification presenta su oferta de certificación ISO 42001 y el proceso previsto. Las organizaciones que no necesiten un certificado también pueden utilizar la norma como marco de referencia interno.
ISO 42001 y Ley de IA : un punto de atención
El reglamento europeo sobre IA (Ley de IA) impone obligaciones legales según el nivel de riesgo de los sistemas. La norma ISO 42001 es voluntaria. Hasta la fecha, no es una norma armonizada conforme a la Ley de IA : por tanto, seguirla no implica presunción de conformidad. Sin embargo, proporciona una base de gobernanza útil para prepararse. Los detalles se encuentran en nuestro artículo ISO 42001 y Ley de IA. Para conocer las obligaciones del reglamento en sí, consulte nuestra guía sobre las obligaciones de la Ley de IA para las empresas usuarias.
¿Por dónde empezar?
Tres primeras acciones concretas, accesibles sin necesidad de un proyecto de certificación :
- Inventariar las herramientas de IA utilizadas en la empresa, incluidas aquellas adoptadas por los equipos sin validación formal.
- Clasificar cada uso según su impacto (datos personales, decisiones que afectan a personas, seguridad).
- Designar a un responsable y establecer una norma de uso sencilla.
Para profundizar en los retos de los datos personales en el uso de la IA para la prevención, descargue el libro blanco sobre IA, prevención, seguridad QHSE y RGPD.
