La ISO 42001 es voluntaria y certificarse en ella no te da el aprobado europeo, porque la presunción de conformidad con el Reglamento de IA solo la conceden las normas armonizadas cuya referencia se ha publicado en el Diario Oficial de la Unión Europea, y de esas todavía no hay ninguna.
Esa frase, que cabe en un párrafo, es la que no vas a encontrar en la primera página de Google cuando busques la norma. Lo que hay allí son certificadoras y cursos, todos legítimos y todos vendiendo lo mismo.
Aun así merece la pena que sepas qué dice la ISO 42001, porque su estructura es lo más parecido a un guion ordenado que existe para gobernar la IA dentro de una empresa, y buena parte de ese guion lo puedes usar sin pagar una auditoría.
Claves en 30 segundos
- La ISO/IEC 42001 define un sistema de gestión de inteligencia artificial y es certificable. Su adopción es voluntaria y ninguna norma española o europea obliga a tenerla.
- Certificarte no te da presunción de conformidad con el Reglamento (UE) 2024/1689. Esa presunción exige que la referencia de la norma esté publicada en el DOUE, según su artículo 40.
- No hay todavía ninguna norma armonizada de IA citada en el DOUE. La candidata europea para el sistema de gestión de la calidad, prEN 18286, está en votación formal en CEN-CENELEC.
- El propio Ómnibus digital sobre IA aplazó las obligaciones de alto riesgo a diciembre de 2027 y agosto de 2028, y su considerando 40 alega el retraso en la disponibilidad de esas normas.
- Si tu empresa usa herramientas de terceros y no fabrica IA, la certificación suele ser desproporcionada. Lo que sí rinde es aprovechar su estructura.
Qué es la ISO 42001 y por qué aparece cuando buscas el Reglamento de IA
La ISO/IEC 42001 es la primera norma internacional que fija los requisitos para montar, mantener y mejorar un sistema de gestión de inteligencia artificial dentro de una organización. La publicaron ISO e IEC en diciembre de 2023 y comparte la misma arquitectura que la ISO 9001 de calidad o la ISO 27001 de seguridad de la información, de manera que quien ya convive con una de esas encontrará un terreno familiar.
En España conviene llamarla por su nombre actual, porque cambió hace poco y la mayoría de las páginas todavía no lo ha recogido. La versión española original, UNE-ISO/IEC 42001:2025, fue anulada el 8 de abril de 2026 y quedó sustituida por UNE-EN ISO/IEC 42001:2026, idéntica en contenido a la ISO/IEC 42001:2023 y elaborada por el comité técnico CTN 71/SC 42.
Ese cambio de nombre parece un detalle de catálogo y está en el origen de media confusión del sector. La norma pasó a llevar las siglas EN, que significan que existe una versión europea adoptada por CEN. Muchas empresas leen «europea» y entienden «armonizada con el Reglamento de IA», que es una cosa distinta y con consecuencias jurídicas muy distintas.
Si lo que buscas es el mapa completo de qué tiene que cumplir una empresa que usa IA, más allá de esta norma concreta, lo tienes en qué es el compliance de IA y qué capas tiene.
Voluntaria, con una letra pequeña que sí obliga
Ninguna ley te obliga a certificarte. El Reglamento (UE) 2024/1689 no menciona la ISO 42001 en su articulado, no la exige a ningún operador y no prevé sanción por no tenerla. Tampoco lo hace la normativa española.
La exigencia llega por otra puerta, la contractual. Cuando una empresa grande te mete en su cadena de proveedores, o cuando te presentas a una licitación pública, el pliego puede pedir acreditación de gobernanza de la IA, y en ese momento el certificado deja de ser voluntario para ti aunque siga siéndolo para el ordenamiento jurídico. Lo mismo ocurre cuando un cliente internacional traslada a sus proveedores europeos los requisitos que él tiene en su país.
Conviene tener clara esa diferencia antes de sentarse con nadie a hablar de presupuestos. Una cosa es que la ley te obligue y otra que te lo pida el mercado, y la segunda se negocia.
Por qué certificarte no te da la presunción de conformidad
La presunción de conformidad es la razón por la que muchas empresas se certifican, y funciona de una forma bastante menos intuitiva de lo que parece.
El artículo 40.1 del Reglamento (UE) 2024/1689 dice que los sistemas de IA de alto riesgo o los modelos de uso general «que sean conformes con normas armonizadas, o partes de estas, cuyas referencias estén publicadas en el Diario Oficial de la Unión Europea de conformidad con el Reglamento (UE) n.º 1025/2012 se presumirá que son conformes» con los requisitos del reglamento. La presunción de conformidad es un mecanismo potente, porque invierte la carga de la prueba y obliga a la autoridad de vigilancia a demostrar que tu sistema falla en lugar de obligarte a ti a demostrar que cumple.
La condición que impone esa frase es una sola y es muy concreta. La referencia de la norma tiene que estar publicada en el Diario Oficial, y esa publicación la decide la Comisión Europea después de comprobar que la norma responde a la petición de normalización que ella misma encargó. Que la norma exista, que sea internacional o que sea europea deja la cuestión donde estaba.
La ISO/IEC 42001 no nació de esa petición. Es una norma ISO e IEC, elaborada en el comité internacional, y no lleva el anexo ZA que identifica a una norma armonizada ni figura citada en el Diario Oficial bajo el Reglamento de IA. La consecuencia práctica está clara y ninguna certificadora la va a poner en su página de venta.
Podrías pensar que el hueco lo cubre otra norma. La candidata europea es la prEN 18286, sobre el sistema de gestión de la calidad con fines regulatorios del Reglamento de IA, elaborada por el comité conjunto CEN-CENELEC JTC 21. Entró en consulta pública el 30 de octubre de 2025, convirtiéndose en la primera norma armonizada de IA que llegaba a esa fase, y tras cerrar el plazo de comentarios pasó a votación formal por los organismos nacionales de normalización. Mientras esa referencia no aparezca en el Diario Oficial, nadie tiene presunción de conformidad, ni tú ni tu proveedor ni la multinacional que te pide el certificado.
Si crees que esto es una interpretación forzada, la propia Unión Europea lo ha admitido por escrito. El Reglamento (UE) 2026/1744, el Ómnibus digital sobre IA publicado en el Diario Oficial el 24 de julio de 2026, retrasó la aplicación de las obligaciones de alto riesgo al 2 de diciembre de 2027 para los sistemas del anexo III y al 2 de agosto de 2028 para los del anexo I. Su considerando 40 explica el motivo con estas palabras: «el retraso en la disponibilidad de normas, especificaciones comunes y orientaciones alternativas, así como en el establecimiento de las autoridades nacionales competentes, plantean retos que ponen en peligro la aplicación efectiva de dichas obligaciones». El legislador movió las fechas porque las normas técnicas no estaban listas.
(Verificado contra el portal de normalización del Reglamento de IA de la Comisión Europea y contra el boletín de CEN-CENELEC. Cuando alguna referencia se publique en el DOUE, este apartado se actualiza.)
Cuándo compensa certificarse en una pyme
La decisión, entonces, es de negocio. Hay tres preguntas que la resuelven casi siempre.
Primero, ¿fabricas IA o la usas? Si tu empresa desarrolla, entrena o pone en el mercado un sistema de IA con tu nombre, eres proveedor a efectos del reglamento, y si ese sistema es de alto riesgo te caen encima obligaciones de documentación técnica, gestión de riesgos y calidad que la 42001 te ayuda a ordenar de verdad. Si tu empresa compra licencias y usa herramientas de terceros, eres responsable del despliegue, tus obligaciones son bastante más ligeras y montar un sistema de gestión completo para atenderlas es matar moscas a cañonazos.
Segundo, ¿alguien te lo está pidiendo por escrito? Un pliego, un cuestionario de proveedor, una cláusula de contrato marco. Si la respuesta es sí, calcula qué contratos dependen de ello y ya tienes el retorno delante. Si la respuesta es que quizá algún día te lo pidan, esperar sale barato.
Tercero, ¿tienes ya un sistema de gestión certificado? Una empresa con ISO 27001 en marcha parte con la mitad del camino hecho, porque comparte estructura, comité, ciclo de auditoría y buena parte de la documentación. Para esa empresa el incremento es razonable. Para quien empieza de cero, la certificación implica levantar un sistema de gestión entero antes de poder auditarlo.
Hay una cuarta consideración que conviene no perder de vista. Si acabas siendo proveedor de un sistema clasificado como de alto riesgo, la certificación en la 42001 no sustituye a la evaluación de conformidad que exige el reglamento, y tendrás que pasar por el procedimiento de su artículo 43. Antes de decidir nada, mira cuándo un sistema entra en alto riesgo.
Lo que puedes aprovechar sin pasar por certificación
La 42001 organiza el gobierno de la IA en bloques de control, y esos bloques se pueden trabajar por dentro sin llamar a nadie. La tabla cruza cada bloque con lo que dice el Reglamento de IA, que casi nunca es lo que uno espera, porque buena parte de sus obligaciones se activan solo con sistemas de alto riesgo o recaen en quien fabrica.
| Bloque de la 42001 | Qué pide la norma | Qué dice el Reglamento de IA |
|---|---|---|
| Política de IA | Reglas escritas y aprobadas por la dirección | Ninguna norma la exige. Es la vía habitual para dejar evidencia del artículo 4, y tienes el modelo en una política de uso de IA firmada |
| Roles y supervisión | Alguien con el encargo por escrito | Obligatorio solo en alto riesgo. El artículo 26.2 exige competencia, formación y autoridad |
| Inventario de sistemas | Lista de qué IA usas y para qué | El reglamento no lo pide con ese nombre, y sin él no puedes clasificar. Va primero en el checklist para cumplir el Reglamento de IA en una pyme |
| Evaluación de impacto | Efectos del sistema sobre las personas | Artículo 27, y solo para el sector público, quien presta servicios públicos y el anexo III, punto 5, letras b) y c) |
| Ciclo de vida y calidad | Control de cambios y versiones | Artículo 17, y obliga al proveedor de alto riesgo. A ti te llega por contrato |
| Datos de entrenamiento | Procedencia y calidad de los datos | Artículo 10, y obliga al proveedor de alto riesgo. Tu parte es no meter datos que no debes |
| Transparencia | Avisar de que hay IA de por medio | Artículos 50.3 y 50.4: emociones, biometría, ultrasuplantación y texto de interés público |
| Cadena de valor | Qué exiges por contrato | Artículo 25. Si pones tu marca o cambias la finalidad, pasas a ser proveedor. De ahí nace la documentación que tienes que poder enseñar |
La tercera columna es la que suele sorprender. Una pyme que compra licencias y no fabrica IA tiene por delante bastante menos de lo que sugiere el índice de la norma, porque la mitad de esos bloques se activa solo con alto riesgo o recae en quien construye el sistema. Los cuatro que le compensan igualmente son la política, el inventario, la transparencia cuando toque y los contratos, y ninguno de los cuatro necesita un certificado.
Dos detalles del Ómnibus digital ayudan aquí y casi nadie los ha contado. Si tu empresa está obligada a la evaluación de impacto del artículo 27, el nuevo apartado 4 permite reutilizar por referencia cruzada la evaluación de impacto de protección de datos que ya hiciste bajo el artículo 35 del RGPD, y el apartado 5 encarga a la Oficina de IA un cuestionario modelo para simplificarla. Y para quien sí es proveedor, el artículo 17.2 quedó redactado de manera que el sistema de gestión de la calidad sea proporcional al tamaño de la organización, mencionando expresamente a las pymes.
Trabajar esos bloques te deja una carpeta con la que responder el cuestionario de un cliente y con la que llegar con los deberes hechos el día que la norma armonizada aparezca en el Diario Oficial.
Si decides ir a por ella, cómo es el camino
La certificación la emite una entidad independiente acreditada, y en España trabajan en este campo AENOR, Bureau Veritas, DNV, EQA y Applus, entre otras. El esquema es el habitual de los sistemas de gestión.
Primero implantas el sistema, que significa escribir las políticas, definir los roles, montar el inventario y dejar que funcione el tiempo suficiente para generar registros. Después llega la revisión documental por parte de la entidad certificadora, y a continuación la visita en la que se comprueba sobre el terreno que lo escrito coincide con lo que pasa. Superadas ambas, el certificado se emite con un ciclo de tres años y auditorías de seguimiento anuales, así que el compromiso no termina el día de la foto.
El coste depende del tamaño de la organización, del número de centros y de cuánto sistema de gestión tengas ya montado, y es una conversación que conviene tener con dos o tres entidades antes de decidir.
Preguntas frecuentes
¿Es obligatoria la ISO 42001 en España?
No. Es una norma de adopción voluntaria y ninguna ley española o europea exige tenerla. La obligación puede aparecer por vía contractual, cuando un cliente o un pliego de licitación la pide como requisito.
¿Certificarse en la ISO 42001 sirve para cumplir el Reglamento de IA?
Ayuda a ordenar el trabajo, aunque por sí sola no acredita cumplimiento ante una autoridad. El artículo 40.1 del Reglamento (UE) 2024/1689 reserva la presunción de conformidad a las normas armonizadas publicadas en el Diario Oficial de la Unión Europea, y la ISO/IEC 42001 no figura entre ellas.
¿Qué es la norma UNE-EN ISO/IEC 42001?
Es la versión española de la norma internacional, publicada en 2026 con contenido idéntico a la ISO/IEC 42001:2023. Sustituyó a la UNE-ISO/IEC 42001:2025, anulada el 8 de abril de 2026.
¿Puede certificarse una pyme que solo usa herramientas de terceros?
Puede, porque la norma está abierta a organizaciones de cualquier tamaño y sector. Otra cosa es que le convenga, ya que las obligaciones de quien solo despliega IA son más ligeras que las de quien la fabrica y el sistema de gestión hay que sostenerlo después.
¿Si mi proveedor tiene la ISO 42001, mi empresa ya cumple?
No. El certificado acredita el sistema de gestión de tu proveedor y tu empresa sigue respondiendo por la decisión de usar ese sistema, con qué finalidad y con qué datos. Lo que sí puedes hacer es apoyarte en su certificado al revisar el contrato.
¿Qué diferencia hay entre la ISO 42001 y la ISO 27001?
La 27001 gobierna la seguridad de la información y la 42001 gobierna el uso de la inteligencia artificial, incluidos los efectos sobre las personas. Comparten estructura, por lo que quien tiene la primera implantada avanza mucho más rápido con la segunda.
Una reflexión antes de cerrar
El certificado tiene algo de espejismo cuando se persigue antes de tiempo. Una empresa puede llegar convencida de que le hace falta el sello, cuando lo primero que le hace falta es saber qué está usando y quién responde de ello. El certificado es la foto de un sistema que ya funciona, de modo que empezar por la foto obliga a montar el decorado a toda prisa.
Para una pyme que usa IA comprada, lo sensato es trabajar los bloques que le corresponden, dejar la evidencia por escrito y esperar a que la norma armonizada aparezca en el Diario Oficial, que es cuando el certificado empezará a valer para algo más que enseñarlo. Si al llegar ese día ya tienes el inventario, la política y los contratos revisados, la certificación será un trámite en lugar de un proyecto.
Y si prefieres no llevar esto por dentro, en Iacta Studio lo hacemos con nuestro servicio de compliance de IA para empresas. Antes de hablar con nadie puedes hacer la autoevaluación del Reglamento de IA, que te devuelve un semáforo por bloques en unos minutos.
Este artículo tiene finalidad divulgativa y no constituye asesoramiento legal individualizado. Para evaluar las obligaciones concretas de tu empresa, contacta con nosotros.
