GUÍA

ISO/IEC 42001 explicada para gerentes

Qué es la primera norma internacional de gestión de la inteligencia artificial, qué le exige a una organización y por qué empieza a pesar en las decisiones de compra en Colombia.

COGNOX · OCTUBRE DE 2026

Qué es

La ISO/IEC 42001 es la primera norma internacional que define un sistema de gestión de inteligencia artificial. La publicaron en diciembre de 2023 la ISO y la IEC, los mismos organismos detrás de normas como la ISO 9001 o la ISO/IEC 27001.

No certifica un algoritmo ni un producto. Certifica que la organización tiene un sistema para desarrollar, ofrecer o usar inteligencia artificial de forma responsable: quién decide, cómo se evalúan los riesgos, qué controles se aplican y cómo se demuestra todo eso ante un tercero.

Para quién es

Para cualquier organización que desarrolle, ofrezca o use sistemas de inteligencia artificial, sin importar su tamaño ni su sector. Pesa más donde un error de la IA tiene consecuencias serias: salud, farmacéutica, finanzas, seguros y gobierno.

Qué exige, en lenguaje de gerencia

Comparte la estructura de las demás normas de gestión ISO, así que se integra con lo que la empresa ya tenga en calidad o en seguridad de la información. En la práctica pide seis cosas:

1. Saber dónde está la IA. Definir el contexto, el alcance y qué sistemas de inteligencia artificial usa o desarrolla la organización.
2. Que alguien responda. Una política de IA aprobada por la dirección, con roles y responsabilidades claros.
3. Evaluar riesgos e impactos. Analizar los riesgos de cada sistema y su impacto sobre las personas y la sociedad, no solo sobre el negocio.
4. Elegir y justificar controles. Documentar qué controles se aplican y por qué, en una declaración de aplicabilidad.
5. Controlar todo el ciclo de vida. Desde los datos y el diseño hasta la operación, el monitoreo y el retiro del sistema.
6. Medir y mejorar. Auditorías internas, revisión por la dirección y mejora continua.

Qué no es

• No garantiza que un sistema de IA nunca se equivoque. Garantiza que hay un proceso para prevenir, detectar y corregir.
• No reemplaza el cumplimiento de leyes específicas, como las de protección de datos personales. Ayuda a demostrar diligencia frente a ellas.
• No es un trámite de una sola vez. Es un sistema que se audita y se mantiene.

Cómo funciona la certificación

Un organismo de certificación acreditado audita el sistema de gestión. Si lo encuentra conforme, emite un certificado, normalmente con vigencia de tres años y auditorías de seguimiento periódicas. El de Cognox, por ejemplo, lo emitió Normalización y Certificación NYCE, S.C., con el número 2025SGIA-002 y vigencia del 2 de julio de 2025 al 1 de julio de 2028.

Por qué importa en Colombia

Las empresas que usan inteligencia artificial en procesos críticos empiezan a necesitar algo más que buenas intenciones para mostrar a sus juntas directivas, a sus auditores y a sus clientes. El país adoptó en 2025 una Política Nacional de Inteligencia Artificial (CONPES 4144), y la Superintendencia de Industria y Comercio vigila el tratamiento de datos personales también cuando lo hace un sistema de IA. En sectores regulados, contratar a un proveedor que trabaja bajo un sistema de gestión certificado reduce el riesgo de la contratación.

Por dónde empezar

1. Hacer el inventario de los sistemas de IA que ya se usan, incluidos los que llegaron dentro de herramientas de terceros.
2. Nombrar a quién responde por cada uno.
3. Evaluar los riesgos y el impacto de los más críticos.
4. Decidir qué controles faltan.
5. Definir cómo se va a medir.

Este artículo es informativo y no reemplaza la lectura de la norma ISO/IEC 42001:2023.