ISO 42001
Qué es la ISO 42001, qué certifica y cómo encaja con el AI Act
Respuesta corta
La ISO/IEC 42001:2023 es la norma internacional para certificar el sistema de gestión de IA de una empresa, no un modelo ni un producto. Es voluntaria y no da presunción de conformidad con el AI Act, cuya primera norma armonizada es la EN 18286:2026 (artículo 17). La certifica una certificadora independiente, nunca tu consultora, en una auditoría de dos fases; según Novaciber (octubre de 2026), el proyecto dura 6–12 meses, menos si ya tienes la ISO 27001. A 20 de octubre de 2026, el buscador de ENAC no muestra ninguna entidad acreditada para la ISO/IEC 42001, así que los certificados acreditados en España llevan la acreditación de organismos extranjeros, como ANAB o RvA.
¿Qué es la ISO/IEC 42001?
La ISO/IEC 42001:2023 es la norma internacional que fija los requisitos para establecer, implantar, mantener y mejorar de forma continua un sistema de gestión de la inteligencia artificial (SGIA; en inglés, AIMS): el conjunto de políticas, objetivos, procesos y responsabilidades con los que una organización gestiona los riesgos y las oportunidades de la IA. La publicaron ISO e IEC en diciembre de 2023 (primera edición, 51 páginas), la elaboró el comité ISO/IEC JTC 1/SC 42 y es, según ISO, la primera norma del mundo sobre sistemas de gestión de IA. Su versión española es la UNE-ISO/IEC 42001:2025.
Sirve para organizaciones de cualquier tamaño que desarrollan, suministran o usan productos o servicios basados en IA, y sigue el ciclo PDCA: planificar, hacer, verificar y actuar. No evalúa cada aplicación de IA, sino cómo la empresa la gestiona. Tiene la misma estructura que la ISO/IEC 27001 y la ISO 9001 (cláusulas 4 a 10), un anexo A con controles de referencia propios de la IA y una Declaración de Aplicabilidad: el documento que recoge qué controles aplicas y justifica cuáles incluyes y cuáles excluyes.
¿Qué certifica exactamente la ISO 42001?
Un certificado ISO 42001 cubre el sistema de gestión de IA de tu empresa dentro de un alcance que defines tú, que puede limitarse a un producto o servicio. Se certifica cómo gestionas la IA, no el modelo ni el producto, y lo que quede fuera del alcance no está certificado.
El AI Act da sus propios nombres a quien desarrolla, ofrece o usa IA, y un mismo SaaS puede tener varios papeles (artículo 3):
- Proveedor: quien desarrolla un sistema de IA o un modelo de IA de uso general, o lo encarga, y lo introduce en el mercado o lo pone en servicio con su propio nombre o marca.
- Proveedor posterior: el proveedor de un sistema de IA que integra un modelo de IA, propio o de otra entidad por contrato.
- Responsable del despliegue: quien usa un sistema de IA bajo su propia autoridad, salvo en una actividad personal no profesional.
Ejemplo: un SaaS que integra el LLM de un tercero
Un SaaS añade a su producto un asistente con el modelo de lenguaje (LLM) de otra empresa, al que llama por API. En la ISO 42001:
- El asistente es un sistema de IA que el SaaS desarrolla y ofrece: entra en el alcance, con su evaluación de riesgos y de impacto.
- El modelo del tercero es IA que el SaaS usa, y su empresa, un proveedor de IA que hay que gestionar: qué datos le envías y en qué condiciones.
- Las herramientas de IA del equipo, como un asistente de programación, van al inventario de sistemas de IA, incluida la IA «en sombra» que nadie ha aprobado; el auditor lo contrasta con los sistemas reales (Summum Calidad).
Con las definiciones del AI Act, ese SaaS es proveedor y proveedor posterior del asistente, y sus clientes, responsables del despliegue. Las obligaciones de cada uno dependen de su papel y del uso del sistema; por ejemplo, de si es de alto riesgo.
¿Necesita una startup SaaS la ISO 42001?
No es obligatoria: la ISO/IEC 42001 es una norma voluntaria, y certificarla es una decisión comercial. Tiene sentido sobre todo en tres casos:
- Te la piden. Un cliente, un pliego o un cuestionario de seguridad pregunta cómo gestionas la IA, y un certificado que incluya tu producto en su alcance es una evidencia independiente que puedes enseñar.
- Tu sistema de IA puede ser de alto riesgo. El anexo III del AI Act incluye, por ejemplo, la IA para seleccionar personal o evaluar la solvencia de personas físicas. Desde el 2 de diciembre de 2027, los proveedores de esos sistemas necesitan un sistema de gestión de la calidad (artículo 17), y la norma armonizada que lo cubre se diseñó para ponerse encima de normas como la ISO/IEC 42001.
- Ya tienes la ISO 27001. La ISO 42001 comparte su estructura, y Novaciber da un plazo de 6–9 meses con la ISO 27001, frente a 6–12 meses sin ella (octubre de 2026).
Si nadie te la pide y tu IA no decide sobre personas, certificarla puede esperar. Mientras, contesta con verdad las preguntas de IA de los cuestionarios, como explicamos en qué hacer cuando tu cliente te pide la ISO 27001.
ISO 42001 y el AI Act: qué cubre y qué no
La ISO 42001 no te hace cumplir el AI Act de forma automática: no es una norma armonizada del reglamento y no da presunción de conformidad con ninguno de sus requisitos. El AI Act es el Reglamento (UE) 2024/1689, modificado por el Reglamento (UE) 2026/1744 («Ómnibus digital sobre IA»), en vigor desde el 27 de julio de 2026.
Una norma armonizada es una norma europea cuya referencia se publica en el Diario Oficial de la UE (DOUE) para aplicar un reglamento. Cumplirla da presunción de conformidad: se presume que cumples los requisitos del reglamento que esa norma cubre. La primera del AI Act es la EN 18286:2026, «Artificial intelligence - Quality management system for EU AI Act regulatory purposes», de CEN y CENELEC, publicada en el DOUE mediante la Decisión de Ejecución (UE) 2026/2274 (Comisión Europea, 19 de octubre de 2026):
- Da presunción de conformidad con los requisitos del artículo 17 (sistema de gestión de la calidad) que cubre, y está pensada para los proveedores de sistemas de IA de alto riesgo.
- Está diseñada para ponerse encima de normas como la ISO/IEC 42001 o la ISO 9001, no para sustituirlas; quien no tiene la ISO/IEC 42001 puede usarla para ampliar su sistema de calidad o montar uno que cumpla el artículo 17.
La ISO 42001 tampoco sustituye las obligaciones concretas del AI Act, que dependen de tu papel y del riesgo del sistema. Por ejemplo, las de transparencia del artículo 50: salvo excepciones, el proveedor tiene que garantizar que las personas sepan que interactúan con una IA y marcar en formato legible por máquina el audio, la imagen, el vídeo o el texto sintéticos que genera su sistema.
Las prohibiciones, la transparencia y los modelos de uso general ya se pueden hacer cumplir; las reglas de alto riesgo llegan en diciembre de 2027 y agosto de 2028.
| Fecha | Qué se aplica |
|---|---|
| 2 de agosto de 2026 | Se pueden hacer cumplir las prohibiciones, las obligaciones de transparencia (artículo 50) y las reglas de los modelos de IA de uso general (GPAI). |
| 2 de diciembre de 2026 | Fin del plazo de los proveedores de sistemas de IA ya en el mercado antes del 2 de agosto de 2026 para marcar el contenido sintético (artículo 50, apartado 2). Se aplican las nuevas prohibiciones sobre generar o manipular material íntimo no consentido y de abuso sexual infantil. |
| 2 de diciembre de 2027 | Reglas de los sistemas de IA de alto riesgo del anexo III (por ejemplo, selección de personal o solvencia de personas físicas). |
| 2 de agosto de 2028 | Reglas de los sistemas de IA de alto riesgo integrados en productos regulados del anexo I, como máquinas, juguetes o ascensores. |
Fuentes: AI Act Service Desk y Comisión Europea.
ISO 42001 e ISO 27001: cómo se integran
La ISO 42001 y la ISO 27001 comparten la estructura común de las normas ISO de sistemas de gestión (cláusulas 4 a 10), así que puedes llevar un solo sistema integrado y añadirle lo propio de la IA.
Si la certificadora certifica las dos normas, puede auditarlas a la vez en una auditoría integrada. Según el documento obligatorio de IAF para estas auditorías (IAF MD 11, traducido por ENAC en el anexo VII del CGA-ENAC-CSG), el tiempo de cada norma se calcula por separado, se suma y se ajusta, con una rebaja máxima del 20 % según lo integrado que esté tu sistema y si los auditores son competentes en las dos normas.
Qué reaprovechas de tu sistema de gestión de seguridad de la información (SGSI) y qué añade la ISO 42001:
| Área | Lo que ya tienes con la ISO 27001 | Lo que añade la ISO 42001 |
|---|---|---|
| Alcance | Servicios, sistemas, sedes y personas del SGSI. | Inventario de los sistemas de IA que desarrollas, suministras o usas, y cuáles entran en el alcance. |
| Política | Política de seguridad de la información. | Política de IA, aprobada por la dirección. |
| Riesgos | Análisis y tratamiento de los riesgos de seguridad de la información. | Riesgos propios de la IA y evaluación de impacto de los sistemas de IA. |
| Controles | Anexo A de 93 controles y Declaración de Aplicabilidad. | Anexo A con controles de referencia propios de la IA y su Declaración de Aplicabilidad. |
| Proveedores | Seguridad de la información con los proveedores, como el de cloud. | Gestión de los proveedores de IA, como la empresa del modelo que integras. |
Resumen propio de las dos normas; la política de IA y el inventario de sistemas de IA los recoge también Summum Calidad.
¿Quién certifica la ISO 42001 en España?
La ISO 42001 la certifica una certificadora independiente, nunca la consultora que te ayuda a implantarla: la ISO/IEC 17021-1, la norma que siguen las certificadoras de sistemas de gestión, les prohíbe hacer consultoría (European Accreditation). Para la ISO 42001, su norma de referencia es la ISO/IEC 42006:2025, publicada en julio de 2025: añade a la ISO/IEC 17021-1 los requisitos para auditar y certificar sistemas de gestión de IA y puede usarse como criterio para acreditarlas.
La auditoría de certificación tiene dos fases. En la fase 1, el auditor revisa el alcance, la política de IA, el inventario, la Declaración de Aplicabilidad y la metodología de riesgos; en la fase 2 comprueba que los controles funcionan, con entrevistas, registros y el inventario contrastado con los sistemas reales (Summum Calidad).
En España ofrecen la certificación ISO 42001, entre otras, AENOR, Bureau Veritas, DNV y SGS. A 20 de octubre de 2026, el buscador de ENAC no muestra ninguna entidad acreditada por ENAC para la ISO/IEC 42001; ENAC ya ha publicado el alcance para acreditarlas: la plantilla «AS - SG Inteligencia Artificial», para certificar sistemas de gestión de IA según la UNE-ISO/IEC 42001:2025, con la UNE-EN ISO/IEC 17021-1:2015 y la ISO/IEC 42006:2025 como normas de referencia (ENAC).
Mientras tanto, hay certificados ISO 42001 acreditados por organismos de acreditación de otros países. DNV anunció en diciembre de 2024 su acreditación para la ISO/IEC 42001 por RvA, el organismo de acreditación de los Países Bajos, y el despacho español ECIJA anunció en junio de 2026 un certificado emitido por SGS y acreditado por ANAB, de Estados Unidos.
Cómo comprobar un certificado ISO 42001
- Norma y vigencia: ISO/IEC 42001:2023, o su versión UNE, y en vigor.
- Alcance: que cubra el servicio o el producto que te interesa.
- Acreditación: qué organismo lo respalda, ENAC u otro firmante de los acuerdos de reconocimiento de IAF o de EA; si no lo dice, pregunta a la certificadora.
- Registro: búscalo en IAF CertSearch; si no aparece, pide confirmación a la certificadora.
¿Cuánto cuesta la ISO 42001 y cuánto se tarda?
Para una pyme tecnológica o SaaS con un alcance acotado, la ISO 42001 cuesta 6.000–15.000 € el primer año, sumando consultoría y auditoría, y se tarda 6–12 meses, o 6–9 meses si ya tienes la ISO 27001. Son rangos publicados por consultoras a octubre de 2026, no precios de Briblo.
| Concepto | Rango de mercado |
|---|---|
| Primer año (consultoría y auditoría), microempresa de baja complejidad | 3.000–6.000 €Novaciber |
| Primer año (consultoría y auditoría), pyme tecnológica o SaaS con alcance acotado | 6.000–15.000 €Novaciber |
| Primer año, organización grande | Desde 18.000 €Novaciber |
| Auditoría de certificación (fases 1 y 2) | 3.000–8.000 €Summum Calidad. Novaciber: el 20–30 % del total del primer año |
| Auditoría de seguimiento (años 2 y 3) | 1.500–3.500 €Cada año. Summum Calidad |
| Plazo del proyecto | 6–12 meses6–9 meses si ya tienes la ISO 27001. Novaciber |
Fuentes: Novaciber y Summum Calidad (actualizada el 4 de octubre de 2026). Según Novaciber, la consultoría y la implantación son el 55–70 % del total, y las horas de tu equipo van aparte.
Qué encarece y alarga la ISO 42001, y qué la abarata
- El número de sistemas de IA en el alcance. Más sistemas, más análisis y más auditoría; acotar el alcance es lo que más abarata (Novaciber).
- IA propia o de terceros. La propia exige más análisis técnico, y la de terceros, más gestión de proveedores (Novaciber).
- Decisiones sobre personas. Cuanto más críticas son (contratación, crédito, salud), más profundo es el análisis de riesgos (Novaciber).
- La madurez previa. Tener la ISO 27001 o la ISO 9001 reduce el coste y el plazo (Novaciber); si también necesitas la ISO 27001, desglosamos su coste en cuánto cuesta la ISO 27001 en España.
- El tamaño. Más personas y procesos, más días de auditoría y horas de implantación; partiendo de cero y con muchos sistemas de IA, el proyecto puede pasar de 12 meses (Novaciber).
- La agenda de la certificadora. Con mucha demanda, puede tardar semanas en darte fecha para la fase 2 (Summum Calidad).
Preguntas frecuentes
¿Es obligatoria la ISO 42001?
No: es una norma voluntaria que certificas si te la pide un cliente o quieres demostrar cómo gestionas la IA.
¿La ISO 42001 me hace cumplir el AI Act?
No de forma automática: no es una norma armonizada del AI Act ni da presunción de conformidad, y las obligaciones que te tocan por tu papel y el riesgo de tu sistema las cumples aparte.
¿Necesito desarrollar mis propios modelos de IA para certificarme?
No. La ISO/IEC 42001 sirve también para quien usa o integra IA de otra empresa; según Novaciber, la IA de terceros exige más gestión de proveedores, y la propia, más análisis técnico.
¿Puedo certificar la ISO 42001 junto con la ISO 27001?
Sí: las dos normas comparten estructura (cláusulas 4 a 10), y una certificadora que certifique las dos puede hacer una auditoría integrada, con hasta un 20 % menos de tiempo que auditándolas por separado (IAF MD 11).
¿Hay certificadoras acreditadas por ENAC para la ISO 42001?
No: a 20 de octubre de 2026, el buscador de ENAC no muestra ninguna entidad acreditada para la ISO/IEC 42001. Comprueba en el certificado qué organismo de acreditación lo respalda y que su alcance cubre el servicio.
¿Cuánto cuesta la ISO 42001?
3.000–6.000 € el primer año para una microempresa de baja complejidad y 6.000–15.000 € para una pyme tecnológica o SaaS con un alcance acotado, consultoría y auditoría incluidas (Novaciber, octubre de 2026). No son precios de Briblo.
¿Cuánto dura el certificado ISO 42001?
Tres años como máximo: es el ciclo de certificación de los sistemas de gestión, con dos auditorías de seguimiento y una de recertificación antes de que caduque (ISO/IEC 17021-1, que la ISO/IEC 42006 complementa, y reglamento de certificación de AENOR). Cada seguimiento cuesta 1.500–3.500 € según los rangos que publica Summum Calidad a octubre de 2026; no son precios de Briblo.
Sobre los autores
Eduard Masip
Certified Lead Implementer ISO/IEC 27001 (PECB). Ingeniero informático, con más de 7 años de experiencia en seguridad de la información. Certificaciones implantadas: ISO 27001 e ISO 42001. Perfil en LinkedIn.
Jordi Espasa
Certified Auditor ISO/IEC 27001 (PECB). Ingeniero industrial, con 4 años de experiencia en seguridad de la información. Certificaciones conseguidas: ISO 27001 e ISO 42001. Perfil en LinkedIn.
Hemos sido CTOs, hemos pasado la ISO 27001 desde dentro y hemos respondido cuestionarios de seguridad para empresas del IBEX 35. Conoce al equipo.
Fuentes
Consultadas el 20 de octubre de 2026. Las cifras de consultoras son las que publican ellas mismas.
- ISO. ISO/IEC 42001:2023, Information technology — Artificial intelligence — Management system, primera edición, diciembre de 2023, 51 páginas, comité ISO/IEC JTC 1/SC 42 (en inglés). La versión española es la UNE-ISO/IEC 42001:2025.
- ISO. ISO/IEC 42006:2025, requisitos para las entidades que auditan y certifican sistemas de gestión de IA, primera edición, julio de 2025 (en inglés).
- ISO. ISO/IEC 27001:2022, requisitos del sistema de gestión de seguridad de la información (anexo A).
- Comisión Europea, AI Act Service Desk. When does enforcement start?, calendario de aplicación del AI Act (en inglés).
- Comisión Europea, AI Act Service Desk. Texto del Reglamento (UE) 2024/1689 consolidado a 27 de julio de 2026: artículo 3 (definiciones), artículo 17 (sistema de gestión de la calidad), artículo 50 (transparencia) y anexo III (sistemas de IA de alto riesgo).
- EUR-Lex. Reglamento (UE) 2024/1689, de inteligencia artificial (AI Act).
- EUR-Lex. Reglamento (UE) 2026/1744, de 8 de julio de 2026 («Ómnibus digital sobre IA»), DOUE L de 24 de julio de 2026.
- Comisión Europea. AI Omnibus enters into force, 27 de julio de 2026 (en inglés).
- Comisión Europea. First harmonised standard supporting the AI Act published in the Official Journal, 19 de octubre de 2026: EN 18286:2026 y Decisión de Ejecución (UE) 2026/2274 (en inglés).
- ENAC. Buscador de entidades acreditadas: búsquedas «42001» y «42006» del 20 de octubre de 2026, sin entidades acreditadas.
- ENAC. Nuevos documentos: plantilla «AS - SG Inteligencia Artificial», alcance de acreditación para certificar sistemas de gestión de IA según la UNE-ISO/IEC 42001:2025.
- ENAC. CGA-ENAC-CSG Rev. 16, criterios generales de acreditación de certificadoras de sistemas de gestión, marzo de 2026 (PDF); su anexo VII traduce IAF MD 11, el documento obligatorio de IAF para auditorías de sistemas de gestión integrados.
- European Accreditation. Pregunta 38.18, ISO/IEC 17021-1 y la prohibición de que la certificadora haga consultoría (en inglés).
- IAF. IAF CertSearch, base de datos de certificados acreditados (en inglés).
- AENOR. Reglamento General de Certificación de Sistemas de Gestión y de sus Marcas de Conformidad, 12 de diciembre de 2024 (PDF): validez de tres años, auditorías de seguimiento y recertificación.
- AENOR. Gestión de la Inteligencia Artificial UNE-ISO/IEC 42001.
- Bureau Veritas. ISO 42001 Sistema de Gestión de Inteligencia Artificial.
- DNV. DNV acknowledged as accredited certification body for AI management systems, 16 de diciembre de 2024 (en inglés).
- ECIJA. ECIJA, primer despacho de abogados en España en certificar su sistema de gestión de IA conforme a la norma ISO 42001 con acreditación internacional, 4 de junio de 2026: certificado emitido por SGS y acreditado por ANAB.
- Novaciber. Cuánto cuesta la ISO 42001 en 2026: precios reales: rangos del primer año, reparto entre consultoría y auditoría, plazos y factores de coste.
- Summum Calidad. Cómo certificar ISO 42001 en una pyme: guía paso a paso para 2026, 15 de junio de 2026, actualizada el 4 de octubre de 2026: auditoría y seguimientos, fases 1 y 2, inventario y validez del certificado.