ISO/IEC 42001: cómo se audita la inteligencia artificial de una empresa

Cuando una empresa grande evalúa a un proveedor de IA, la conversación llega siempre al mismo punto: ¿quién responde si el modelo se equivoca? Hasta hace poco la respuesta era una promesa comercial. ISO/IEC 42001 existe para que sea un certificado.

Qué es un SGIA

ISO/IEC 42001:2023 es la primera norma internacional dedicada a establecer un Sistema de Gestión de Inteligencia Artificial (SGIA). No es una norma técnica sobre cómo entrenar modelos: es un marco de gestión que define cómo una organización desarrolla, provee y usa sistemas de IA de forma responsable, transparente y trazable. Es, además, la única norma de IA que admite certificación por tercera parte.

La distinción importa. Una norma de gestión no dicta qué arquitectura usar; exige que exista un proceso documentado para decidirla, revisarla y corregirla. Esa es precisamente la pregunta que un auditor —o un cliente corporativo— necesita responder.

Qué exige, en términos prácticos

• Gobernanza de IA y toma de decisiones responsable, con roles y responsabilidades nombradas.
• Políticas de IA alineadas con la estrategia de negocio, no documentos genéricos descargados de internet.
• Gestión de riesgos específicos de IA, desde el diseño hasta la operación y el retiro del sistema.
• Consideraciones éticas y de transparencia frente a las personas afectadas por el sistema.
• Auditorías internas y mejora continua, con evidencia de los hallazgos y su corrección.

Los riesgos que son propios de la IA

Esta es la parte donde un SGIA se diferencia de un SGSI, y donde los proyectos subestiman el trabajo. Los riesgos de un sistema de IA no se agotan en la confidencialidad, integridad y disponibilidad del dato.

1. 1

   Deriva del modelo

   Un sistema que funcionaba bien al desplegarse degrada silenciosamente cuando el mundo cambia y los datos de entrada dejan de parecerse a los de entrenamiento. Sin medición continua, nadie se entera hasta que el daño es visible en los números del negocio.

2. 2

   Sesgo y resultados dispares

   El modelo puede rendir de forma distinta según grupo de personas sin que eso aparezca en la métrica agregada. Exige medir el desempeño por segmento, no solo el promedio global.

3. 3

   Explicabilidad proporcional al impacto

   Mientras más consecuencias tenga una decisión automatizada, mayor es la exigencia de poder explicarla en términos comprensibles para la persona afectada, y no solo para el equipo técnico.

4. 4

   Dependencia de terceros

   Si el sistema se apoya en un modelo de un proveedor externo, los cambios de versión, de política de uso o de disponibilidad son riesgos operacionales heredados que hay que documentar y monitorear.

5. 5

   Trazabilidad del dato de entrenamiento

   Saber con qué datos se entrenó o afinó un modelo, con qué autorización y con qué restricciones de uso. Es el punto que más cuesta reconstruir cuando no se registró desde el inicio.

Por qué conviene hacerlo antes de que lo exijan

ISO/IEC 42001 no es obligatoria en Chile. Su valor hoy es doble y bastante concreto: permite demostrar ante un cliente corporativo que la IA está gobernada, y adelanta buena parte del trabajo que el proyecto de ley chileno y el reglamento europeo van a exigir por otras vías. Las capacidades se solapan de forma casi total.