Certificación ISO 42001: proceso y coste

La certificación ISO 42001 demuestra que una organización opera un sistema de gestión de IA eficaz (SGIA; en inglés Artificial Intelligence Management System, AIMS) conforme a la ISO/IEC 42001:2023. Una entidad de certificación acreditada comprueba, mediante una auditoría en dos fases, si las políticas, los procesos, los roles y las evaluaciones de riesgos y de impacto cumplen los requisitos de la norma. El certificado tiene una validez de tres años.

Una aclaración importante antes de empezar: se certifica el sistema de gestión, no un sistema o modelo de IA concreto. La afirmación habitual «nuestra IA tiene la certificación ISO 42001» es simplista, cuando no engañosa. Lo correcto es: «El AIMS de la organización X está certificado según la ISO/IEC 42001:2023, con el alcance Y (según la Declaración de Aplicabilidad, versión Z)».

Tres respuestas rápidas:

• Proceso: análisis de brechas → implantación del AIMS (política, evaluación de riesgos y de impacto, controles del Anexo A) → funcionamiento operativo con evidencias → auditoría interna + revisión por la dirección → auditoría externa de fase 1 y fase 2 → certificado (3 años).
• Duración: 6-12 meses si ya existe ISO 27001/9001, 9-18 meses si se parte de cero. Fase 1 externa: 1-3 días; fase 2: 3-10 días.
• Coste: 50-150 mil euros para una empresa mediana de la región DACH (Alemania, Austria y Suiza) que actúa como responsable del despliegue (500-2.000 empleados, datos de 2026); la partida más importante es la consultoría y la implantación, no las tasas de auditoría.

El proceso de certificación en detalle

La ISO/IEC 42001:2023 sigue la estructura de alto nivel del Anexo SL, igual que la ISO 9001, la ISO 14001 y la ISO/IEC 27001. La certificación la realiza una entidad de certificación acreditada (Certification Body, CB) que trabaja conforme a la ISO/IEC 17021-1 y, desde 2025, al suplemento específico para IA ISO/IEC 42006:2025. El proceso se divide en una fase de preparación por parte de la organización y la auditoría externa.

1. Análisis de brechas (readiness assessment)

El punto de partida es comparar la situación actual con lo que exigen las cláusulas normativas 4 a 10 y el Anexo A. En este paso se crea o actualiza el inventario de IA (registro de agentes/IA), se clasifican por riesgo todos los sistemas de IA incluidos en el alcance y se elabora un informe de brechas con niveles de gravedad y responsables. Este paso suele durar 4-8 semanas.

2. Implantación del AIMS

Aquí se construye la sustancia. El núcleo es la política de IA aprobada por la alta dirección (cláusula 5.2 / Anexo A.2.2), complementada con entre cinco y siete procedimientos de apoyo: gestión de riesgos de IA, evaluación de impacto de la IA, ciclo de vida de la IA, gobernanza de datos para IA, procedimiento de proveedores y respuesta a incidentes de IA. En paralelo se implantan en la práctica los controles aplicables del Anexo A (9 áreas de control, 38 controles). Para quienes operan agentes son especialmente relevantes A.4 (recursos para sistemas de IA; su documentación sirve de base para el registro de IA), A.5 (evaluación de impacto), A.6.2.8 (registro de eventos), A.7 (procedencia de los datos) y A.10 (proveedores). Como último paso se elabora la Declaración de Aplicabilidad (SoA), que marca cada control del Anexo A como «aplicable» o «no aplicable», con una justificación basada en el riesgo. La SoA es el documento más revisado en la auditoría; su versión y su fecha figuran en el certificado. El certificado ISO 42001 de SAP SE, por ejemplo, citaba inicialmente la versión 1.4 de la SoA, del 28 de julio de 2025, y tras la actualización, la versión 1.5, del 10 de marzo de 2026.

3. Funcionamiento operativo

El AIMS tiene que funcionar, no basta con documentarlo. Antes de la auditoría externa de fase 2 se esperan 3-6 meses de evidencias de funcionamiento operativo: análisis de la monitorización, registros de incidentes, evidencias de cambios y de formación, evaluaciones de proveedores. El hallazgo más frecuente en la fase 1 es «documentación sin funcionamiento»: documentos bonitos, pero ninguna evidencia de que el sistema funcione.

4. Auditoría interna y revisión por la dirección

La cláusula 9.2 exige una auditoría interna basada en el riesgo que cubra todas las cláusulas y los controles aplicables del Anexo A. Antes de la auditoría externa de fase 2 se espera al menos un ciclo completo de auditoría interna; los auditores internos deben ser independientes de las actividades auditadas. A continuación, la alta dirección lleva a cabo la revisión por la dirección según la cláusula 9.3, con entradas obligatorias (resultados de auditoría, no conformidades, cumplimiento de objetivos, comentarios de clientes) y salidas obligatorias (decisiones sobre mejora, cambios y recursos). Las actas son en sí mismas evidencia para la auditoría.

5. Auditoría externa de fase 1

La entidad de certificación comprueba, sobre todo a partir de documentos, si existe la documentación del AIMS (alcance, política, objetivos, SoA, metodología de riesgos, proceso de evaluación de impacto, auditoría interna, revisión por la dirección) y si la organización está preparada para la fase 2. Duración en empresas medianas: 1-3 días. Los hallazgos suelen resolverse en pocos días; las carencias importantes retrasan la fase 2.

6. Auditoría externa de fase 2 (auditoría principal)

La auditoría operativa se realiza in situ o en formato híbrido. El auditor toma muestras de cada línea de la SoA, entrevista a los responsables de los controles (alta dirección, responsable de IA, responsables de sistemas, data stewards, responsable de MLOps, delegado de protección de datos, CISO) y comprueba si el AIMS funciona de forma eficaz. Duración: 3-10 días, según el tamaño, la complejidad del alcance y el número de sistemas de IA. Los hallazgos se clasifican como no conformidades mayores (deben cerrarse antes de la certificación, normalmente en un plazo de 90 días), no conformidades menores (plan de acciones correctivas tras la auditoría) y oportunidades de mejora (OFI).

7. Decisión de certificación

Un revisor de la entidad de certificación, independiente de los auditores jefe, decide sobre la certificación. La validez es de tres años.

8. Auditorías de seguimiento y recertificación

Las auditorías de seguimiento anuales (surveillance) revisan, con un alcance más limitado, los controles clave, los cambios desde la última auditoría, el cumplimiento de objetivos y el avance de las acciones correctivas (normalmente 1-4 días). Al final del ciclo de tres años llega la auditoría de recertificación, comparable a la fase 2 original, pero teniendo en cuenta el historial del AIMS.

Tabla: fases, contenido, duración

Distribución observada del esfuerzo por cláusulas: la cláusula 6 + la cláusula 8 + el Anexo A (núcleo de riesgos, impacto y operación) suponen alrededor del 60 %, las cláusulas 4 + 5, en torno al 15 %, la cláusula 7, alrededor del 10 %, y las cláusulas 9 + 10, en torno al 15 %.

Esfuerzo, costes y roles

El rango de costes depende mucho del punto de partida y del alcance. Los siguientes valores (datos de 2026, consolidados a partir de Schellman, BSI Group, A-LIGN, DNV, Vanta, reconn.io y el estudio de caso de Modulos, en euros para la región DACH) son orientativos:

Solo las tasas de auditoría externa (fase 1 + fase 2) ascienden a 20-60 mil euros en las empresas medianas y a 50-150 mil euros o más en las grandes empresas; cada auditoría de seguimiento añade en torno a un 25-40 %. La partida individual más importante suele ser la consultoría (análisis de brechas, implantación del AIMS, auditoría interna).

Roles: La función central es la del gestor del AIMS o responsable de IA como director del proyecto. La ISO 42001 no exige un cargo concreto de «AI Officer»; en las organizaciones medianas de la región DACH, el rol se combina a menudo con el de CISO o delegado de protección de datos. También participan la alta dirección (rendición de cuentas, aprobación de la política y de la SoA), el responsable de MLOps, los responsables de producto de los sistemas de IA, compras (proveedores, A.10.3) y RR. HH./formación (competencia según la cl. 7.2).

Ejemplo concreto: empresa mediana como responsable del despliegue

Una empresa mediana de la región DACH con 800 empleados, con ISO 9001 pero sin SGSI, opera cinco aplicaciones de IA (agente de atención al cliente, asistente de conocimiento, copiloto de ventas, buscador interno, agente de documentos de RR. HH.). Con un presupuesto total de unos 100 mil euros, el esfuerzo suele repartirse así:

• Análisis de brechas: 10 % (10 mil €)
• Desarrollo de políticas y procesos: 25 % (25 mil €)
• Implantación del Anexo A (operativa): 30 % (30 mil €)
• Auditoría interna + remediación: 10 % (10 mil €)
• Tasas de auditoría externa: 20 % (20 mil €)
• Margen: 5 % (5 mil €)

Recomendación para la primera certificación: elegir un alcance reducido («Operación de agentes de IA para [conjunto de funciones definido]») y ampliarlo en la recertificación. Un caso atípico por su rapidez es el de Xayn (Alemania), que según informes de SGS obtuvo la certificación en unas cuatro semanas. Solo fue posible porque la sustancia del AIMS (políticas, registro de riesgos, revisión del ciclo de vida, monitorización) ya existía en gran parte antes de empezar el proyecto.

Entidades acreditadas en la región DACH

En la región DACH operan, entre otras, TÜV SÜD (primer certificado ISO 42001 emitido por TÜV SÜD en Europa, Unique AG, abril de 2025), TÜV Rheinland, TÜV Austria con su división TRUSTIFAI, TÜV Nord, DEKRA, DQS, BSI Group y SGS (primer certificado alemán, Xayn). Los organismos de acreditación son DAkkS (Alemania), Akkreditierung Austria (Austria) y SAS (Suiza), con reconocimiento mutuo a través del IAF MLA. Una advertencia de diligencia: una entidad que anuncie la «certificación ISO 42001» debería poder acreditar el alcance concreto de su acreditación y su alineación con la ISO/IEC 42006:2025. A fecha de 2026, la acreditación aún no es uniforme y algunas CB trabajan con esquemas transitorios.

Nota: este artículo es una orientación técnica y no constituye asesoramiento jurídico. Los conceptos jurídicos, los números de artículo y los plazos (por ejemplo, sobre el Reglamento de IA de la UE, la evaluación de impacto relativa a la protección de datos del RGPD o la evaluación de impacto relativa a los derechos fundamentales) deben revisarse en cada caso concreto con asesoramiento jurídico cualificado. Lo mismo se aplica al estado de la normalización: el CEN-CENELEC ha publicado la EN 18286:2026 sobre el sistema de gestión de la calidad como primera norma para la aplicación del Reglamento de IA.

Para agencias y decisores B2B

Para las agencias de marketing y los proveedores de servicios B2B que operan agentes de IA para sus clientes, la certificación ISO 42001 se está convirtiendo cada vez más en un argumento de venta: el certificado sustituye partes de los cuestionarios de proveedores de los grandes clientes corporativos y acorta los ciclos de venta. Si certificas pronto un alcance reducido y bien documentado, creas una base de gobernanza auditable que podrás ampliar más adelante. Blck Alpaca ayuda a las empresas de toda Europa con el análisis de brechas, la implantación del AIMS y la preparación de la auditoría, con la vista puesta en el esfuerzo real y no en pulir documentos.