Certificación ISO 42001: qué es, qué exige y cuándo compensa

La certificación ISO 42001 se ha convertido en el primer sello internacional que acredita que una empresa gestiona su inteligencia artificial con orden. Es decir, con criterios escritos y no a base de improvisaciones. Si te la están pidiendo en una licitación, o si un cliente grande te ha preguntado por ella, aquí tienes qué es, qué exige y cuánto trabajo real hay detrás.

Qué es exactamente la certificación ISO 42001

La norma ISO/IEC 42001 se publicó en 2023 y define un sistema de gestión de inteligencia artificial, lo que en la jerga se llama un AIMS. Sin embargo, no certifica un modelo ni un algoritmo concreto. Certifica la forma en que tu organización decide, documenta y supervisa el uso de la IA.

Por tanto, no te dice qué herramienta usar. Te obliga a demostrar que sabes qué herramientas usas, para qué, con qué datos, quién responde si fallan y cómo te enteras de que han fallado.

Además, en abril de 2026 se publicó la versión española y europea, la UNE-EN ISO/IEC 42001:2026, idéntica al texto internacional de 2023. Así que ya puedes trabajar con la norma en español, lo que facilita bastante la vida al comité de dirección.

Por qué de repente todo el mundo pregunta por ella

Hay tres motivos, y conviene distinguirlos porque llevan a decisiones distintas.

• Presión de cliente. Las grandes cuentas han empezado a incluir preguntas sobre gobernanza de IA en sus cuestionarios de proveedor.
• Licitaciones públicas. Cada vez aparece más como criterio valorable, igual que pasó con la ISO 27001 hace una década.
• El Reglamento Europeo de IA. La norma no equivale al cumplimiento legal, aunque sí construye buena parte de la evidencia que te van a pedir.

Ese último punto merece una aclaración. En primer lugar, la certificación ISO 42001 no te exime de nada. Lo que hace, en cambio, es que cuando llegue la obligación tengas los registros ya montados en lugar de empezar de cero.

Qué te va a exigir la certificación ISO 42001 en la práctica

Aquí es donde la mayoría de proyectos se atascan, porque la norma pide cosas muy concretas.

1. Un inventario de sistemas de IA. Todos. Incluso el GPT que montó alguien de marketing por su cuenta.
2. Una evaluación de impacto por cada sistema, con riesgos para las personas y no solo para el negocio.
3. Roles y responsabilidades asignados con nombre y apellidos.
4. Controles sobre los datos: origen, calidad, permisos de uso y retención.
5. Supervisión humana documentada en las decisiones que afectan a personas.
6. Un proceso de incidencias y, por último, una revisión periódica por dirección.

En la práctica, lo que más cuesta no es la tecnología. Es el inventario. De hecho, casi todas las empresas descubren que tienen entre tres y cuatro veces más IA en marcha de la que creían, repartida en suscripciones individuales y automatizaciones domésticas.

Cuánto tarda y qué pasa con la auditoría

El calendario realista para una pyme ronda los cuatro a ocho meses, ya que depende de cuántos sistemas tengas y de lo ordenada que esté tu documentación. Después, el proceso tiene dos fases de auditoría: primero una revisión documental y luego la auditoría de certificación sobre el terreno.

Hay un detalle importante y poco conocido. En 2025 se publicó la ISO/IEC 42006, que fija los requisitos que deben cumplir las entidades que auditan y certifican sistemas de gestión de IA. Por eso, antes de firmar con una certificadora, pregúntale si su alcance para la 42001 está acreditado y por quién. No todas las ofertas del mercado son equivalentes.

Quién la está sacando ya en España

También conviene mirar los casos reales, porque ayudan a calibrar el esfuerzo. Iberdrola España certificó su sistema de gestión de IA con AENOR, mientras que el despacho ECIJA fue el primer bufete español en lograrlo. No son perfiles pequeños, aunque demuestran que el camino está abierto y que las certificadoras ya tienen rodaje.

Para una empresa de veinte a doscientas personas la pregunta no es si se puede. Es si compensa ahora, o si conviene esperar a tener algo que certificar.

Cuándo NO deberías ir a por la certificación ISO 42001

Vamos a decirlo claro, aunque sea nuestro propio servicio. Si tu empresa usa IA de forma anecdótica, con dos personas probando un chatbot y ningún proceso que dependa de ello, certificarte es poner un sello sobre casi nada. En consecuencia, gastarás dinero y tiempo en documentar un sistema que todavía no existe.

En cambio, tiene sentido cuando se cumple al menos una de estas tres condiciones:

• Hay un proceso de negocio real que ya depende de la IA.
• Un cliente o una licitación te lo está pidiendo por escrito.
• Tratas datos personales, o tomas decisiones que afectan a personas, con apoyo de IA.

Si no se cumple ninguna, lo sensato es empezar por una política de uso de IA y por el inventario. Son los dos primeros entregables de la norma y, además, sirven igual cuesten lo que cuesten.

Cómo empezar sin tirar el dinero

El orden que recomendamos es siempre el mismo. Primero, inventario y política. Después, evaluación de riesgos de los dos o tres sistemas que de verdad importan. Luego los controles de datos. Y finalmente la auditoría, cuando ya haya evidencia que mostrar.

Hacerlo al revés, contratando la auditoría antes de tener el sistema, es la forma más cara de descubrir que te faltaba todo. Por otro lado, puedes consultar el texto oficial en la tienda de AENOR si quieres leer la norma antes de decidir.

Preguntas frecuentes sobre la certificación ISO 42001

¿Es obligatoria?

No, porque es voluntaria. Lo que puede volverse obligatorio de facto es que tus clientes la exijan en sus procesos de compra.

¿Sirve para cumplir el Reglamento Europeo de IA?

Ayuda mucho, aunque no sustituye al cumplimiento. Son dos cosas distintas y conviene no venderlas como una sola.

¿Vale la ISO 27001 que ya tenemos?

Suma, ya que comparten estructura y buena parte de los controles de seguridad. Aun así, la 42001 añade requisitos propios sobre datos de entrenamiento, sesgo y supervisión humana.

¿Cuánto cuesta?

Depende del número de sistemas y de la certificadora. Por ello, pide siempre presupuesto desglosado entre consultoría y auditoría, porque son conceptos separados.

Si te lo están pidiendo, hablemos

En ArtiLabs acompañamos el proceso completo, desde el inventario hasta la auditoría. Así que, si quieres saber en qué punto estás antes de gastar un euro, cuéntanos tu caso y lo vemos.