El sello es precioso. Ahora enséñame el alcance.

Un logotipo en el pie de página. Debajo, cuatro números: ISO 42001. Y ya está. Ni quién lo emitió, ni qué se evaluó, ni desde cuándo. Dos palabras muy cómodas para quien vende y extraordinariamente poco informativas para quien compra.

No estoy contra las certificaciones. Trabajo con normas todos los días y me parecen bastante mejores que la improvisación. Estoy contra usar el prestigio de una categoría para vender garantías de otra. Si el sello tiene valor, aguanta media docena de preguntas normales. Si no lo tiene, se le nota en la tercera.

Qué es la ISO 42001 y qué no es

ISO/IEC 42001 especifica requisitos para implantar y mantener un sistema de gestión de inteligencia artificial dentro de una organización. Ese es su objeto: la gestión. No la corrección de cada respuesta que produce un modelo. Fuente primaria ↗

Traducido al idioma en el que trabajamos: la norma habla de cómo se organiza una empresa para decidir qué hace con la IA, quién responde, qué riesgos identifica y qué ocurre cuando algo sale mal. Es un mapa de responsabilidades, no un certificado de verdad. Un despacho puede tener el sistema de gestión impecable y entregar un dictamen equivocado el martes. Las dos cosas caben en la misma semana.

Ahí está la verdad fea: cuando alguien te enseña la ISO 42001 para contestar a «¿esto es fiable?», te está respondiendo a otra pregunta.

La certificación ISO 42001 responde por la organización, no por el resultado

Imagina un proveedor sintético, inventado para este ejemplo. Vende un asistente que redacta escritos. Enseña el sello. Tú preguntas qué pasa si el asistente cita una norma derogada. Y la respuesta que recibes es que están certificados.

Eso no es una respuesta. Es un cambio de tema con acento institucional. Una certificación de sistema de gestión dice que existe un procedimiento y que alguien externo lo revisó. No dice que el procedimiento se haya aplicado a tu caso, ni que la salida concreta que tienes delante haya pasado por él.

La pregunta que sí funciona es más aburrida y da menos titulares: enséñame el control que impide que esa cita derogada llegue al cliente, y enséñame la evidencia de que ese control se ejecutó la semana pasada.

El alcance es la letra pequeña que no cabe en la portada

Un certificado tiene un titular y un alcance. El alcance es la frase que dice qué actividades quedan dentro y en qué ubicaciones. También dice, por omisión, todo lo que queda fuera. Conviene leer ese alcance concreto antes de dar por bueno el certificado que se exhibe.

Otro caso sintético: una empresa certifica su sistema de gestión de IA para el desarrollo de su plataforma. El tratamiento real de tus expedientes lo hace un subcontratista que no aparece en ese alcance. El sello es auténtico. La cobertura de lo que a ti te importa, cero.

No hace falta suponer mala fe. Basta con que el comprador lea el logotipo y no lea la frase. El logotipo es grande y va en la home. La frase está en un documento que casi nadie abre. Pídelo. Es un papel, no un secreto industrial.

Un sistema de gestión de inteligencia artificial no es un archivador de PDF

La parte incómoda de cualquier norma de gestión es que la carpeta no es el sistema. Puedes tener una política de uso de IA redactada con esmero y guardada en una unidad compartida que nadie ha vuelto a abrir desde el día de la auditoría.

Mi prueba preferida no mira el documento bonito: mira una excepción. Elijo un caso en el que faltó un dato, o en el que un revisor devolvió una conclusión, y pido el rastro completo. Qué se detectó, quién lo paró, qué se cambió, qué versión salió al final y quién autorizó esa salida.

Si el sistema funciona, ese rastro ya existe y nadie tiene que fabricarlo para enseñármelo. Si el sistema es decorado, aparece un correo suelto y una sonrisa. La diferencia se ve en treinta segundos.

Las preguntas que le haría a quien exhibe un sello ISO 42001

Ninguna de estas preguntas es agresiva. Todas son contestables en un minuto por quien tenga el expediente en orden.

Una: qué norma exactamente, con su versión. Dos: quién es el titular del certificado, porque el grupo no es la filial, y la filial no es el producto. Tres: qué organismo lo emitió y bajo qué acreditación. Cuatro: cuál es el alcance literal, copiado del documento, no resumido de memoria. Cinco: hasta cuándo está vigente y qué seguimiento posterior tiene. Seis: qué evidencia de operación respalda el procedimiento escrito, no el procedimiento escrito en sí.

Y hay una séptima que suele doler: distinguir una auditoría externa de una autoevaluación, y una certificación de un curso. «Hemos usado esta guía» y «cumplimos íntegramente esta norma» son frases distintas. Una frase comercial no debería borrar esa diferencia.

La ISO 42001 no te resuelve el Reglamento europeo de IA

El Reglamento europeo de inteligencia artificial contempla requisitos de registros y supervisión para sistemas de alto riesgo, entre otros. La clasificación depende de la finalidad y del encaje normativo, no de llamar «jurídica» a una herramienta ni de colgar un sello en el pie de la web. Antes de atribuir obligaciones hay que revisar el rol que se ocupa y el uso concreto, con la versión aplicable y su calendario. Fuente primaria ↗

Son dos planos distintos: una norma voluntaria de gestión y un reglamento que obliga. Conviene no presentar la primera como si despachara la segunda. Tampoco al revés: la ausencia de sello no convierte a nadie en infractor.

Qué haría yo sin certificado

Aquí está la trampa simétrica. No tener sello tampoco absuelve. Si le exijo alcance y evidencia a un proveedor, tengo que poder enseñar lo mío cuando me lo pidan a mí.

En un equipo pequeño empezaría describiendo cada tarea con su riesgo y su responsable, y qué evidencia deja. Una hoja por proceso, no un manual de doscientas páginas. Después probaría el circuito en el peor día posible: falta un documento, un revisor discrepa, hay que retirar una entrega ya enviada.

El perfil de NIST para IA generativa acompaña a su marco de gestión de riesgos y se presenta para uso voluntario. Sirve para estructurar esas preguntas y esos controles; no es una certificación de nadie que lo cite, esta web incluida. Fuente primaria ↗

Esa base puede servir más adelante para una evaluación formal. Lo que no haría es anunciarla como si ya se hubiera realizado. La distancia entre «trabajamos con este marco» y «estamos certificados» es exactamente la distancia que separa un expediente de un anuncio.

No pido menos rigor institucional. Pido que el alcance y la evidencia existan fuera del logotipo.

Lo que me preguntan cuando cierro el portátil.

¿Qué es la ISO 42001?

Es la norma internacional que fija requisitos para establecer y mantener un sistema de gestión de inteligencia artificial dentro de una organización. Describe cómo se decide y quién responde, y qué se hace cuando algo falla. Ordena la gestión de la IA en la empresa; no evalúa si una respuesta concreta del sistema es correcta.

¿La ISO 42001 es obligatoria?

No. Es una norma voluntaria: cada organización decide si implanta el sistema de gestión y si busca además una certificación externa. Distinto es la normativa que obliga por sí misma según la finalidad y el uso del sistema de IA. Tener el certificado no sustituye ese análisis legal, y no tenerlo tampoco lo evita.

¿Qué certifica la ISO 42001 y qué no certifica?

Certifica que una organización tiene implantado un sistema de gestión de IA dentro de un alcance concreto, con sus actividades y ubicaciones. No certifica que cada salida del modelo sea exacta, ni cubre lo que quede fuera de ese alcance. Por eso conviene leer el alcance literal del documento antes que el logotipo.

El expediente detrás del artículo.

ISO/IEC 42001:2023 ↗International Organization for Standardization · 2023
Norma de sistema de gestión de IAReglamento europeo de inteligencia artificial ↗EUR-Lex · Reglamento (UE) 2024/1689 · 2024
Normativa UE; comprobar versión y calendarioPerfil de riesgos de IA generativa ↗NIST · AI 600-1 · 2024
Marco técnico voluntario

Fuentes consultadas el 9 de septiembre de 2026. Las recomendaciones y ejemplos son elaboración editorial: no se atribuyen íntegramente a estas fuentes. Comprueba versión y ámbito antes de aplicar una norma.

Divulgación general. Ninguna herramienta de esta web certifica la revisión, seguridad o conformidad de un proceso.