Certificación ISO 42001 para sistemas de gestión de inteligencia artificial

ISO/IEC 42001 es la primera norma internacional de sistemas de gestión creada específicamente para la inteligencia artificial. La certificación confirma que una organización opera un sistema de gestión de inteligencia artificial (SGIA) en funcionamiento. Eso significa identificar y evaluar el riesgo de la IA, asignar la responsabilidad por lo que decide un modelo y documentar los datos que lo entrenan y alimentan. Luego, un organismo de certificación acreditado verifica, con evidencia, que el sistema opera de la forma descrita.

Cualquier organización que desarrolle, implemente o utilice sistemas de IA puede optar a la certificación ISO 42001, sin importar su tamaño o sector. Los detonantes más comunes son las compras corporativas y los cuestionarios de seguridad que piden evidencias de gobernanza de IA, la preparación para la Ley de IA de la UE en sistemas de IA de alto riesgo y los usos regulados de la IA en salud, finanzas y recursos humanos.

No de forma universal, pero la Ley de IA de la UE establece requisitos regulatorios vinculantes para los sistemas de IA de alto riesgo, e ISO/IEC 42001 ofrece una vía reconocida internacionalmente para demostrar la gobernanza. Muchos compradores empresariales y reguladores financieros están empezando a exigirla en los contratos con proveedores.

No existe un precio único para la certificación ISO 42001, porque el costo depende del número de días-auditor que requiere su alcance. Los días-auditor dependen del número de empleados dentro del alcance, la cantidad y el riesgo de los sistemas de IA cubiertos, el número de sitios o unidades de negocio y si se certifica junto con ISO 27001. Accredify Global revisa su alcance de forma gratuita y luego emite una propuesta de tarifa fija que cubre la auditoría de certificación, las auditorías de seguimiento anuales y la recertificación, sin costos ocultos añadidos después. Una evaluación de brechas opcional se cotiza por separado de la auditoría.

La auditoría de certificación en sí suele durar de 6 a 12 semanas: 6–8 semanas para organizaciones con controles documentados maduros, 8–10 semanas con una madurez moderada y 10–12 semanas para alcances con varios sitios o complejos. De principio a fin, incluidas la evaluación de brechas y la documentación, una organización mediana con uno o dos sistemas de IA dentro del alcance debe prever de tres a seis meses. Si parte de cero, planifique cerca de nueve meses.

Tres años. Las auditorías de seguimiento anuales durante ese período confirman que el sistema de gestión de inteligencia artificial sigue funcionando tal como fue certificado, y se requiere una auditoría de recertificación antes de que finalice el período de validez de tres años.

Los auditores ISO 42001 de Accredify Global están capacitados para evaluar evidencias específicas de IA, no solo controles genéricos de seguridad de la información. Esto incluye la metodología de pruebas de sesgo, los registros de cambios de modelos, las evaluaciones del impacto de los sistemas de IA y los registros de riesgos que abarcan la deriva del modelo y la dependencia excesiva. Cada proyecto está dirigido por un auditor sénior, en el mismo marco de acreditación que Accredify Global utiliza para ISO 27001 e ISO 9001. Sea cual sea el organismo que elija, pregunte cuántas auditorías ISO 42001 han realizado realmente sus auditores líderes.

Accredify Global realiza las auditorías de certificación ISO 42001 e ISO 27001 mediante un programa de auditoría coordinado, en lugar de proveedores distintos para cada norma. Ambas normas comparten la misma estructura de alto nivel, por lo que se aprovechan las evidencias de evaluación de riesgos, controles de acceso, auditoría interna, revisión por la dirección y respuesta a incidentes. El trabajo específico de IA, como las pruebas de sesgo y las categorías de riesgo propias de los modelos, se agrega encima.

Accredify Global certifica sistemas de gestión de IA conforme a ISO 42001 para organizaciones que deben cumplir requisitos de compras corporativas. En la debida diligencia corporativa, lo que importa es lo que respalda al certificado. Los compradores buscan un organismo de certificación acreditado y un alcance documentado que corresponda con lo que el sistema de IA realmente hace en producción. También esperan que el organismo de certificación explique cómo se realizó la auditoría si su equipo de seguridad hace preguntas de seguimiento. Ese es el estándar con el que se realizan las auditorías ISO 42001 de Accredify Global.

Accredify Global es un organismo de certificación con sede en Dallas–Fort Worth, Texas, Estados Unidos. Emite certificados ISO 42001 en un marco acreditado, en lugar de operar como un organismo internacional con solo una presencia comercial en Estados Unidos. Las auditorías pueden realizarse de forma presencial, remota o en formato híbrido.

El tamaño de la empresa cambia la forma de un proyecto ISO 42001 más que sus requisitos. Una empresa mediana con uno o dos sistemas de IA en el alcance, el perfil de la mayoría de los solicitantes actuales de ISO 42001, suele pasar de la evaluación de brechas a la certificación en tres a seis meses. Accredify Global está preparada para ese perfil: un auditor sénior en cada proyecto, una cotización con tarifa fija tras la definición del alcance y la opción de combinar ISO 42001 con ISO 27001 en un solo programa de auditoría.

Accredify Global asigna a cada cliente un auditor sénior dedicado durante todo el proyecto, desde la definición del alcance hasta la certificación y el cumplimiento continuo. En ISO 42001 esto importa más de lo habitual, porque el auditor debe juzgar si las evaluaciones de riesgos de IA, las evaluaciones de impacto y las evidencias de pruebas de sesgo son realmente adecuadas, no solo si existen los documentos.

Sí. Una vez revisado su alcance, Accredify Global emite una propuesta de tarifa fija basada en los días-auditor que requiere su sistema de gestión de inteligencia artificial. Cubre las etapas de la auditoría de certificación, sin costos ocultos ni ampliaciones de alcance una vez acordada la propuesta.

Sí. Las auditorías de Etapa 1 y Etapa 2 pueden realizarse en sitio, de forma remota o en formato híbrido, según el alcance y el riesgo del sitio. Esto sigue las orientaciones de ISO 19011:2018 e IAF MD 4:2018 sobre auditorías con tecnologías de la información y la comunicación. El formato adecuado se confirma durante la revisión de alcance.

ISO 27001 certifica un sistema de gestión de seguridad de la información. ISO 42001 certifica un sistema de gestión de inteligencia artificial y abarca riesgos que ISO 27001 no aborda directamente, como el impacto de los sistemas de IA, el sesgo, la transparencia, la explicabilidad y los datos utilizados para entrenar modelos. Ambas usan la misma estructura de alto nivel, por lo que las organizaciones ya certificadas con ISO 27001 normalmente obtienen la certificación ISO 42001 más rápido y pueden realizar ambas auditorías juntas.

No por sí sola. La Ley de IA de la UE es un reglamento con sus propias obligaciones y evaluaciones de la conformidad para sistemas de IA de alto riesgo. ISO 42001 está ampliamente reconocida como el marco de sistema de gestión más alineado con esos requisitos. La certificación le aporta evidencia estructurada y auditable de la gestión de riesgos, la gobernanza de datos, la transparencia y la rendición de cuentas, que respalda la preparación para la Ley de IA de la UE.