Certificación ISO 42001
¿Qué es el estándar ISO 42001?
La norma ISO 42001 (ISO/IEC 42001:2023) es el estándar internacional que especifica los requisitos para establecer, implementar, mantener y mejorar constantemente un Sistema de Gestión de Inteligencia Artificial (AIMS) por parte de las organizaciones.
Ha sido diseñado para todas las entidades que proporcionan o utilizan productos y servicios basados en el uso de la Inteligencia Artificial, garantizando el desarrollo y el uso responsable de los sistemas de IA. El estándar proporciona un marco flexible, adaptable a las necesidades y capacidades de organizaciones de cualquier tamaño.
Las ventajas de la Certificación ISO 42001 para las empresas
Adoptar el estándar ISO/IEC 42001 representa una elección estratégica para cualquiera que desarrolle o utilice sistemas de Inteligencia Artificial.
Un Sistema de Gestión de la IA certificado puede ser un activo fundamental por diversas razones:
-
Gestión de riesgos específica para la IA: A diferencia de la ISO 27001 (Seguridad de la Información), la ISO 42001 aborda los riesgos específicos de la Inteligencia Artificial, como los sesgos algorítmicos, la falta de transparencia y de trazabilidad.
-
Confianza por parte del mercado y los stakeholders: La certificación demuestra a clientes y socios que la IA es ética, segura y se gestiona según estándares internacionales, facilitando alianzas con administraciones públicas y grandes corporaciones.
-
Cumplimiento de los Reglamentos europeos sobre IA: El estándar ISO 42001 actúa como un puente operativo para la Ley de IA de la UE (EU AI Act), el reglamento europeo que impone obligaciones estrictas, especialmente para los sistemas clasificados como de alto riesgo.
-
Ventaja competitiva en licitaciones: Cada vez con más frecuencia, la Certificación del Sistema de Gestión de Inteligencia Artificial representa un requisito preferente en las licitaciones públicas y privadas.
ISO 42001 y EU AI Act: cumplimiento europeo
La Ley de IA de la UE, aprobada mediante el Reglamento (UE) 2024/1689, es el primer reglamento del mundo sobre Inteligencia Artificial y tiene como objetivo garantizar sistemas de IA seguros, transparentes y que operen respetando los derechos fundamentales, proporcionando una base sólida para la innovación y la competitividad europea.
El estándar ISO 42001, lanzado en 2023 por la Organización Internacional de Normalización (ISO), ofrece una estructura capaz de hacer operativos los requisitos legales de la Ley de IA de la UE, ayudando a las organizaciones a gestionar, demostrar y mejorar continuamente un programa de gobernanza de la IA.
¿Es obligatoria la ISO 42001?
La adopción por parte de las empresas de un Sistema de Gestión de Inteligencia Artificial (AIMS) es de carácter voluntario.
Sin embargo, para las empresas que operan en sectores críticos como la sanidad, las infraestructuras y los recursos humanos, la Ley de IA de la UE hace obligatorio el cumplimiento de determinados requisitos de gestión. En este marco, el estándar ISO 42001 se configura como la herramienta más sencilla e internacionalmente reconocida para demostrar el cumplimiento ante las autoridades. Certificarse puede ser la opción más eficaz para evitar sanciones.
Integración de la ISO/IEC 42001 con otros sistemas de gestión
El estándar está diseñado según la Estructura de Alto Nivel (HLS), lo que permite la plena integración y armonización con otros estándares ISO.
Integración entre ISO 9001 e ISO 42001
La integración con la ISO 9001 (Sistema de Gestión de Calidad) permite, por ejemplo, extender los principios del control de calidad a los flujos de trabajo basados en algoritmos.
Integración entre ISO 27001 e ISO 42001
En el ámbito de la ciberseguridad, si la ISO/IEC 27001 constituye la base para la protección de los activos de información, la ISO/IEC 42001 actúa como una extensión especializada que aborda las vulnerabilidades peculiares de las tecnologías emergentes, como la integridad de los conjuntos de datos de entrenamiento y la resiliencia de los modelos contra ciberataques.
¿Cómo obtener la certificación ISO 42001?
Los trámites de la certificación se articulan en cuatro fases:
Solicitud de certificación
En esta primera parte se acuerdan los aspectos económicos y las actividades que ejecutarán los auditores durante la actividad de certificación. Esta parte concluye con la firma de un contrato.
El proceso de certificación es, de hecho, un contrato entre la empresa y el organismo de certificación.
Normalmente tiene una duración trienal.
Auditoría preliminar (opcional y eventualmente solicitado por el cliente)
Tiene como objetivo examinar el nivel de preparación del sistema de gestión objeto de certificación. Este tipo de auditoría no entra en los trámites de certificación; por tanto, posibles mejoras se expiden como recomendación y no se notifican en forma oficial en el informe de auditoría.
Auditoría de certificación – Etapa 1
La auditoría se lleva a cabo en la sede corporativa. Durante esta fase, el auditor recopila información y comprueba la documentación inherente al sistema de gestión que ha de certificarse. Determina cuáles son las normas obligatorias y voluntarias de referencia para el sistema por certificar. Este paso es preparatorio para la segunda auditoría de certificación.
Auditoría de certificación – Etapa 2
Durante esta fase, el auditor comprueba que la empresa aplique el sistema de gestión.
Al final de esta segunda etapa, en ausencia de no conformidades graves, el auditor presenta petición al órgano que delibera la emisión de la certificación ISO.