Qué es la ISO 42001 y qué exige

La empresa de servicios financieros había incorporado un modelo para priorizar solicitudes de crédito y un asistente que respondía a clientes. Cuando un banco corresponsal le envió su cuestionario de proveedores, una sección nueva preguntaba quién aprobaba los sistemas de inteligencia artificial, cómo se evaluaba su impacto en las personas y qué datos se habían usado para entrenarlos. El área de tecnología sabía cómo funcionaban los modelos. Nadie sabía quién respondía por ellos.

Qué es la ISO 42001

La ISO/IEC 42001 es la norma internacional que especifica los requisitos de un sistema de gestión de inteligencia artificial. Se publicó a finales de 2023 y aplica a cualquier organización que desarrolle, ofrezca o use sistemas de IA, sin importar su tamaño ni su sector. No evalúa si un modelo es bueno: define cómo la organización gobierna el uso de la IA de forma responsable y cómo lo mejora con el tiempo. Es certificable por un organismo acreditado.

Cómo está organizada

La norma sigue la estructura común de los sistemas de gestión ISO, con cláusulas de contexto, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora. Eso permite integrarla con la ISO 9001 o la ISO 27001. Además tiene anexos:

• —Anexo A: controles de referencia, agrupados en objetivos como políticas de IA, organización interna, recursos, evaluación de impactos, ciclo de vida del sistema, datos, información para las partes interesadas, uso de los sistemas y relaciones con terceros.
• —Anexo B: guía para implementar esos controles.
• —Anexo C: objetivos organizacionales y fuentes de riesgo relacionados con la IA.
• —Anexo D: uso del sistema de gestión en distintos dominios y sectores.

Qué exige

• —Una política de IA aprobada por la dirección, con roles y responsabilidades claros.
• —Un inventario de los sistemas de IA que la organización desarrolla o usa, con su propósito.
• —Evaluación de riesgos de IA y tratamiento de esos riesgos con controles seleccionados.
• —Evaluación del impacto de los sistemas de IA en personas, grupos y sociedad.
• —Una declaración de aplicabilidad que justifique qué controles del Anexo A se aplican y cuáles no.
• —Control del ciclo de vida: requisitos, diseño, verificación, validación, despliegue, monitoreo y retiro.
• —Gestión de la calidad, procedencia y preparación de los datos usados por los sistemas.
• —Información transparente para usuarios y afectados, y control de proveedores de modelos y servicios de IA.

Errores frecuentes

• —Tratarla como un tema exclusivo del área de tecnología, sin participación de la dirección ni de las áreas que usan los sistemas.
• —No incluir en el inventario las herramientas de IA de terceros que el personal ya usa.
• —Confundir la evaluación de riesgos con la evaluación de impacto, que mira a las personas afectadas y no solo a la organización.
• —Copiar los controles de la ISO 27001 y suponer que cubren sesgo, transparencia o supervisión humana.
• —Validar un modelo una vez y no monitorear su desempeño después de desplegarlo.

Dónde se rompe en la operación

La adopción de IA suele empezar en proyectos aislados de cada área, y el gobierno llega después, cuando un cliente o un regulador pregunta. En la Ciudad de México, donde se concentran los corporativos, las instituciones financieras, las aseguradoras y las empresas de tecnología que ya usan IA con clientes, ese momento está llegando por la vía de los cuestionarios de proveedores. Integrar la política, el inventario, la evaluación de riesgos e impacto y el control de proveedores de IA a un sistema de gestión que ya funciona es parte de lo que se trabaja en la Consultoría ISO 9001 en Ciudad de México, donde la estructura común de las normas ISO permite sumar la gestión de IA sin empezar de cero.

En resumen

La ISO 42001 especifica los requisitos de un sistema de gestión de inteligencia artificial. Sigue la estructura común de las normas ISO y agrega controles sobre políticas, evaluación de impactos, ciclo de vida, datos, transparencia y terceros. Exige un inventario de sistemas, evaluación de riesgos e impacto, declaración de aplicabilidad y monitoreo continuo, y es certificable por un organismo acreditado.