ISO 42001 vs. ISO 27001: cómo combinar bien SGIA y SGSI

ISO 42001 (SGIA, sistema de gestión de la IA) e ISO 27001 (SGSI, seguridad de la información) comparten la estructura del Anexo SL y pueden funcionar de forma integrada. ISO 27001 protege la información, ISO 42001 gobierna los riesgos de la IA. Si ya tienes un SGSI, amplías su alcance a la IA y añades los controles del Anexo A específicos de IA, incluida la evaluación de impacto de la IA. Ambas normas se apoyan en el mismo esqueleto de diez cláusulas y pueden llevarse en un único programa.

• Base común: Ambas normas siguen la estructura armonizada del Anexo SL. Todas las cláusulas, de la 4 (contexto) a la 10 (mejora), llevan los mismos números y títulos y pueden auditarse de forma conjunta.
• Enfoque distinto: ISO 27001:2022 cubre la seguridad de la información con 93 controles del Anexo A; ISO 42001 cubre la gobernanza de la IA con 9 dominios y 38 controles, incluidos sesgos, equidad, explicabilidad y ciclo de vida.
• El plus de la 42001: Solo ISO 42001 exige una evaluación de impacto de la IA (cláusula 6.1.4) sobre los efectos en personas, grupos y la sociedad. ISO 27001 no tiene nada equivalente.

Por qué ambas normas encajan tan bien

ISO/IEC 42001:2023 se publicó en diciembre de 2023 como la primera norma certificable del mundo para sistemas de gestión de inteligencia artificial. ISO/IEC 27001:2022 es la norma consolidada para sistemas de gestión de seguridad de la información. Ambas pertenecen a la familia de normas ISO modernas de sistemas de gestión y, por tanto, siguen la misma estructura armonizada del Anexo SL, que también sirve de base a ISO 9001 (calidad), ISO 14001 (medio ambiente), ISO 45001 (seguridad y salud en el trabajo) e ISO 22301 (continuidad de negocio).

Esta estructura común es la palanca decisiva. El esqueleto de diez cláusulas está pensado a propósito para ser compatible con auditorías combinadas e integradas de sistemas de gestión. En la práctica, esto significa que quien opera ISO 27001 ya ha construido la sala de máquinas de un sistema de gestión: compromiso de la dirección, enfoque basado en riesgos, información documentada, auditoría interna, revisión por la dirección y mejora continua. ISO 42001 se apoya en ello y añade los contenidos específicos de IA, según la estructura de la norma, sobre todo en dos cláusulas. La cláusula 6 regula cómo se evalúan y tratan los riesgos de IA (6.1.2 y 6.1.3) y cómo se realiza la evaluación de impacto de la IA (6.1.4). En la 6.1.3 se elabora también la declaración de aplicabilidad (Statement of Applicability), que fija qué controles del Anexo A se aplican. La cláusula 8 exige ejecutar estos procesos en la operación (8.2 a 8.4). Además, la cláusula 5.2 pide una política de IA propia.

El ritmo de auditoría también coincide: un certificado ISO 42001 tiene una validez de tres años, con auditorías de seguimiento anuales y una auditoría de recertificación al final del ciclo. Es exactamente la misma cadencia que en ISO 27001 y facilita mucho la planificación conjunta de auditorías.

Qué se solapa y qué no

El solapamiento está en la estructura común de cláusulas (cláusulas 4 a 10). Las diferencias se encuentran en el Anexo A y en los añadidos específicos de IA de las cláusulas 6 y 8, con la evaluación de impacto de la IA a la cabeza.

Auditable de forma conjunta:

• Cláusulas 4 a 10 con los mismos números y títulos: contexto, liderazgo, planificación, apoyo, operación, evaluación del desempeño, mejora
• Información documentada, auditoría interna, revisión por la dirección: normalmente integradas
• Enfoque basado en riesgos: compartido, con añadidos específicos de IA

Diferencias esenciales:

• El Anexo A de ISO 27001 incluye 93 controles (edición 2022) y se centra en la seguridad de la información; el Anexo A de ISO 42001 incluye 38 controles en 9 dominios y se centra en la gobernanza de la IA, con añadidos sobre sesgos, equidad, explicabilidad, ciclo de vida y evaluación de impacto.
• ISO 42001 exige explícitamente una evaluación de impacto de la IA (cláusula 6.1.4). ISO 27001 no tiene equivalente.

Comparativa por aspectos: ISO 27001 vs. ISO 42001

La tabla muestra el patrón: marco común, contenidos distintos. El artículo 15 del Reglamento de IA de la UE exige a los sistemas de IA de alto riesgo precisión, solidez y ciberseguridad. Para la ciberseguridad, un SGSI según ISO 27001 aporta la base. Sin embargo, ISO 27001 no aborda de forma específica los ataques propios de la IA, como el envenenamiento de datos o las entradas manipuladas, que el artículo 15 menciona expresamente, y la solidez del modelo también requiere medidas propias. ISO 42001 aporta los temas específicos de IA de gobernanza, equidad y evaluación de impacto. Las dos normas se complementan sin sustituirse.

El sistema de gestión integrado en la práctica

Para organizaciones con una ISO 27001 madura, este patrón es el más indicado: se unifican la auditoría interna, la revisión por la dirección, la formación y concienciación, el control documental y la gestión de proveedores. El alcance del SGSI se amplía a la IA y se añaden los controles del Anexo A específicos de IA. Todos los grandes organismos de certificación ofrecen auditorías externas combinadas.

En lo organizativo, esto también se refleja en los roles: ISO 42001 no prescribe un cargo concreto como «AI Officer», pero en la práctica se designa un AI Officer o responsable del SGIA, en las pymes de la región DACH (Alemania, Austria y Suiza) a menudo en la misma persona que el CISO o el delegado de protección de datos. Así surge una línea de responsabilidad continua entre SGSI y SGIA. A nivel de grupo empresarial, el AI Officer suele combinarse con el CISO o el CDO, con rendición de cuentas explícita ante un comité de IA del consejo de administración.

Este artículo no constituye asesoramiento jurídico. Las interpretaciones concretas de normas, plazos y artículos, sobre todo en relación con el RGPD y el Reglamento de IA de la UE, corresponden a asesores cualificados y al organismo de certificación competente.

Ejemplo concreto: grupo empresarial con SGSI existente

Un caso típico: un grupo empresarial de la región DACH con 2.000 empleados o más que ya tiene implantada la ISO 27001:2022, a menudo complementada con la ISO 27701 (PIMS). Aquí, desde el punto de vista económico, casi todo habla a favor de la integración:

• Planificación de auditorías compartida: La fase 1 y la fase 2 de ISO 42001 se realizan junto con la próxima auditoría de seguimiento o de recertificación de ISO 27001, si el organismo de certificación lo admite; ciclo de auditoría interna común.
• Capa documental compartida: Políticas en cascada desde el grupo, complementadas con procedimientos específicos de IA por área.
• Registro de riesgos integrado: El registro de riesgos de IA se integra en la gestión de riesgos corporativos como subregistro o etiqueta.
• Ahorro: En una auditoría integrada, el organismo de certificación puede reducir el tiempo de auditoría según IAF MD 11 como máximo un 20 % respecto a la suma de las auditorías por separado.

Los siguientes valores son estimaciones aproximadas, no datos de un estudio (situación en 2026, DACH): un grupo con un SGSI maduro calcula para el programa ISO 42001 unos 200.000 a 500.000 EUR (consultoría más auditoría más esfuerzo interno) y una duración de 12 a 18 meses. Una pyme que actúa como responsable del despliegue sin sistema previo se sitúa más bien en 50.000 a 150.000 EUR. El tiempo necesario depende sobre todo del sistema previo: con ISO 27001 o ISO 9001 ya implantadas, son unos 6 a 12 meses hasta la fase 1; sin sistema previo, de 9 a 18 meses.

En cifras, para un grupo esto significa lo siguiente: si la auditoría de fase 2 de ISO 42001 y la próxima auditoría de recertificación de ISO 27001 suman por separado unos 10 días de auditoría cada una, la auditoría integrada puede ahorrar como máximo 4 de los 20 días. Cuánto se ahorra realmente lo decide el organismo de certificación, entre otras cosas según el grado de integración. En las auditorías de seguimiento anuales, más cortas, rige el mismo límite; en días, el ahorro es allí proporcionalmente menor.

Cuándo tiene sentido combinar ambas y cuándo no

La combinación tiene sentido cuando los sistemas de IA trabajan con datos personales o críticos para la seguridad y ya existe un SGSI o está previsto de todos modos. Entonces el SGIA y el SGSI comparten base, ciclo de auditoría y personal. También tiene sentido para los proveedores de IA (providers), que a menudo ya tienen ISO 27001 y SOC 2 Type II y buscan la ISO 42001 como elemento diferenciador en el mercado. En su caso confluyen auditorías combinadas, evidencias compartidas y un Trust Center común.

Conviene ser prudente cuando la única motivación es la «exhaustividad»: un responsable del despliegue puro no debería marcar como aplicables, por precaución, todos los controles del ciclo de vida (Anexo A.6) si no puede demostrarlos. Como muy tarde en la auditoría se nota, porque para cada control marcado como aplicable se exige una evidencia. Decide el alcance, no el deseo de acumular el mayor número posible de certificados.

Para agencias y decisores B2B

Para agencias de marketing y proveedores de servicios B2B que operan procesos con IA para sus clientes, la combinación de SGIA y SGSI se está convirtiendo cada vez más en una señal de confianza en la due diligence de proveedores. Quien ya tiene ISO 27001 ha construido la pieza más cara y puede implantar ISO 42001 con un esfuerzo adicional asumible. Blck Alpaca crea agentes de IA y automatizaciones que encajan en un SGSI o SGIA existente: documentados, con registro de actividad y con evidencias para los controles pertinentes del Anexo A, como la documentación del sistema y los registros de eventos. Escríbenos si quieres implantar sistemas de IA que no debiliten tu sistema de gestión en la auditoría.