Certificación ISO 42001

ISO/IEC 42001:2023 es la norma de sistema de gestión para la inteligencia artificial, y llega pronto. En los 365 días hasta el 11 de agosto de 2026 aparece en 18 anuncios de licitación pública de la UE en TED, frente a 3.408 de ISO 27001. La razón honesta para certificarse en 2026 es que un cliente, un inversor o una lista de compras la pide.

No es un plazo legal, y no es una vía a la conformidad con el Reglamento de IA de la UE. Si ya tiene ISO 27001, la segunda norma cuesta una fracción de la primera, porque los capítulos 4 a 10 son compartidos y lo que añade son 38 controles, un nuevo tipo de evaluación y los registros que la acompañan. Si aún no tiene nada, empiece por la norma que nombran sus clientes.

Si es pronto, medido en lugar de supuesto

TED es el portal de contratación de la propia UE y su API de búsqueda es pública, así que esto es comprobable en lugar de afirmado. En los 365 días hasta el 11 de agosto de 2026:

Dieciocho. Nadie está perdiendo hoy licitaciones públicas por falta de ISO 42001. Los recuentos de certificados dicen lo mismo desde el otro lado: en la primavera de 2026 los recuentos publicados de certificados ISO 42001 en el mundo llegaban a unos pocos cientos de organizaciones, frente a unos 96.000 certificados ISO 27001 en el ISO Survey. La certificación acreditada solo fue posible en la segunda mitad de 2025, cuando se publicó ISO/IEC 42006, la norma que dice a las entidades de certificación cómo auditar contra 42001.

Lo que los números no captan es la compra privada. Los cuestionarios de homologación de proveedores de los grandes clientes han empezado a llevar una sección de "gobernanza de la IA", y un certificado es la respuesta más corta. Eso es demanda real. Viene de compras, llega por cuestionario, y es la razón para hacer esto en 2026 si lo hace.

Lo que no es: una vía al Reglamento de IA

Esta es la afirmación con la que hay que tener cuidado, porque mucho marketing la hace.

ISO 42001 no da presunción de conformidad con el Reglamento de IA de la UE. Los organismos europeos de normalización, el CEN y el Cenelec, redactaron una norma europea propia para el sistema de gestión de la calidad del Reglamento: EN 18286.

El 14 de octubre de 2026 la Decisión de Ejecución (UE) 2026/2274 de la Comisión citó EN 18286:2026 en el Diario Oficial, la primera norma armonizada del Reglamento de IA; 42001 no está citada. Incluso esa cita llega menos lejos de lo que parece. El artículo 40 presume la conformidad con los artículos 8 a 15, en la medida en que una norma citada los contemple. El propio sistema de gestión de la calidad se comprueba frente al artículo que lo exige. Lo que EN 18286 aporta a un proveedor, y lo que no. Las propias obligaciones de alto riesgo fueron aplazadas por el Reglamento (UE) 2026/1744 al 2 de diciembre de 2027 (sistemas del anexo III) y al 2 de agosto de 2028 (sistemas integrados del anexo I).

Lo que 42001 sí le da es el andamiaje de gobernanza sobre el que se apoyará cualquier trabajo posterior sobre el Reglamento de IA: roles, un inventario de sistemas de IA, evaluaciones de impacto, registros de datos, una revisión por la dirección que incluye la IA. Nuestra propia lectura relaciona los controles de 42001 con cada aspecto que nombra el artículo 17, apartado 1, punto por punto. La frase defendible es "42001 prepara a la organización"; la indefendible es "42001 hace conforme al sistema".

Lo que exige

Los capítulos 4 a 10 son la Estructura Armonizada, el mismo esqueleto que ISO 27001, ISO 9001 y cualquier otra norma actual de sistemas de gestión: contexto, liderazgo, planificación, apoyo, operación, evaluación del desempeño, mejora. Si tiene ISO 27001 ya ha construido los siete, y los registros cuentan para ambas normas. Una declaración de alcance, una política, objetivos, un método de riesgos, registros de competencia, una auditoría interna, una revisión por la dirección: un solo conjunto, dos certificados.

Tres cosas son nuevas.

El rol de la organización para cada sistema de IA. 42001 le pide decir, para cada sistema del alcance, si usted es su proveedor, su desarrollador, su desplegador o su usuario, porque las obligaciones difieren. Una empresa que despliega el modelo de un proveedor y una que entrena el suyo tienen declaraciones de aplicabilidad distintas, y el alcance tiene que enumerar los sistemas, no solo las unidades de negocio.

La evaluación de impacto del sistema de IA, apartado 6.1.4. Es el apartado sin ningún equivalente en ISO 27001, y es la razón por la que una auditoría 42001 no es una auditoría 27001 con controles extra.

Donde 27001 pregunta qué podría salir mal para la organización, 42001 pregunta qué hace el sistema a las personas a las que toca y a la sociedad: quién se ve afectado, cuál es la finalidad prevista, cómo es un mal uso razonablemente previsible, y cuáles son las consecuencias de una salida errónea para un individuo. Un auditor pedirá la evaluación de un sistema concreto y esperará un documento, no un registro de riesgos filtrado.

Los 38 controles del anexo A. Agrupados de A.2 a A.10: política de IA; organización interna; recursos para sistemas de IA (datos, herramientas, cómputo, humanos); evaluación de impacto; el ciclo de vida del sistema de IA desde los objetivos hasta la verificación, el despliegue y la supervisión; datos para sistemas de IA (procedencia, calidad, preparación); información para las partes interesadas; uso de sistemas de IA; y relaciones con terceros y clientes.

Como en 27001, usted determina cuáles aplican y justifica los que no en una declaración de aplicabilidad, y el anexo B da orientación de implantación para cada uno. Los controles de datos de A.7 son los que las empresas subestiman: un auditor querrá ver de dónde salieron los datos de entrenamiento y evaluación, cómo se evaluó su calidad y cómo se prepararon, con fechas.

Lo que cuesta, y por qué el rango publicado es inútil

Una sola página de resultados de búsqueda para "ISO 42001 certification cost" mostraba cifras de 7.000 $ a 650.000 $. Ambas pueden ser ciertas para alguien. Ninguna le dice nada sobre su empresa. El coste tiene tres partes, y solo una de ellas la fija una regla.

La tarifa de auditoría de la entidad de certificación. Según ISO/IEC 42006, la entidad determina el tiempo de auditoría a partir del número de sistemas de IA en el alcance, su complejidad y el tamaño de la organización, y luego cobra una tarifa diaria. Las entidades no publican tarifas; espere el mismo orden que los días de auditor de ISO 27001, que en Europa rondan los 1.200 € a 2.000 € por día.

Si la misma entidad ya tiene su certificado 27001, pida una auditoría integrada: los capítulos compartidos se auditan una vez y el trabajo específico de 42001 se añade encima, que son días añadidos y no días duplicados.

Su tiempo interno. Para una empresa que ya opera un SGSI son las evaluaciones de impacto, el inventario de sistemas de IA, los registros de datos y las 38 decisiones sobre controles. Semanas del tiempo de una persona, no meses de un equipo. Para una empresa que parte de cero es construir primero el sistema de gestión, que es el proyecto ISO 27001 con otro nombre.

Ayuda, si la compra. Un consultor vende criterio sobre el alcance y sobre las evaluaciones de impacto, que es donde una primera auditoría 42001 sale mal. Las plantillas no son la parte escasa.

Así que la aritmética honesta para una empresa de 40 personas con un certificado ISO 27001 y dos sistemas de IA en el alcance es un pequeño número de días de auditor adicionales más unas semanas de trabajo interno. Para la misma empresa sin sistema de gestión, es el proyecto ISO 27001 más eso.

Si ya tiene ISO 27001

Haga la segunda norma sobre la columna vertebral de la primera. Amplíe la declaración de alcance para enumerar los sistemas de IA. Añada la determinación del rol al registro de contexto. Añada "consecuencias para los individuos y para la sociedad" a los criterios de riesgo, porque 42001 lo exige y 27001 no. Realice la evaluación de impacto de cada sistema del alcance y consérvela como documento propio. Decida los 38 controles. Entonces la auditoría interna y la revisión por la dirección cubren ambas normas en un ciclo, y las auditorías de seguimiento se alinean.

El error a evitar es un segundo conjunto de registros, separado, para un mismo sistema. Las empresas que hacen 27001 con una herramienta y 42001 con una hoja de cálculo acaban describiendo dos veces el mismo control de acceso, el mismo proveedor y el mismo incidente, y un auditor que ve que las dos versiones discrepan tiene un hallazgo.

Nuestra cobertura apartado por apartado de ISO 42001 dice, para cada apartado, qué guarda el producto y dónde se cerraron las entradas, en el mismo formato que el registro 27001. Léala antes de decidir nada.

Si aún no tiene nada

Empiece por la norma que piden sus clientes. Con los números de arriba, para casi cualquier empresa de Europa en 2026 es ISO 27001. Constrúyala de modo que la norma de IA pueda añadirse después: incluya los sistemas de IA en el inventario de activos desde el principio, y escriba los criterios de riesgo con los individuos y la sociedad como columna aunque quede vacía un año.

Certifique 42001 primero solo si el cliente que la pide es el que la paga. Algunos lo son: un proveedor de IA cuyo mayor cliente exige en compras un certificado de gobernanza de IA está exactamente en esa posición, y para él 42001 primero es racional. Todos los demás compran una opción sobre 2028, y las opciones son más baratas cuanto menos se gasta en ellas.

Fuentes

• Recuentos TED: scripts/ted-by-country.mjs contra la API de búsqueda de TED, 365 días hasta el 11 de agosto de 2026; véase ISO 27001 o SOC 2 en Europa.
• ISO/IEC 42001:2023, capítulos 4 a 10, 6.1.4, anexo A (38 controles, A.2 a A.10), anexo B.
• ISO/IEC 42006:2025, requisitos para las entidades que auditan y certifican sistemas de gestión de IA.
• JTC 21 de CEN-CENELEC y EN 18286:2026, citada por la Decisión de Ejecución (UE) 2026/2274 de la Comisión, de 12 de octubre de 2026 (DO L, 2026/2274, 14.10.2026), leída en CELLAR el 17 de octubre de 2026; Reglamento (UE) 2026/1744 (en vigor el 27 de julio de 2026), que aplaza las obligaciones de alto riesgo del anexo III al 2 de diciembre de 2027 y las del anexo I al 2 de agosto de 2028. Resúmenes de Hunton, White & Case y Mayer Brown, julio de 2026; el texto del DO se citará directamente antes de la publicación.
• Recuentos de certificados: ISO Survey (ISO 27001, ~96.000 certificados); recuentos de ISO 42001 a abril de 2026 a partir de conteos del sector recopilados en nuestra investigación regulatoria. Trate la cifra de 42001 como un orden de magnitud.
• Tarifas diarias de auditores: Cuántos días de auditor requiere ISO 27001.