Qué es ISO 42001
ISO/IEC 42001, publicada a finales de 2023, establece los requisitos de un sistema de gestión de la IA: las políticas, funciones, procesos de riesgo y controles que una organización utiliza para desarrollar, proporcionar o usar la IA de forma responsable. Sigue la misma estructura que ISO 27001 y puede certificarla un organismo acreditado. Su Anexo A enumera controles sobre la política de IA, la organización interna, los recursos, la evaluación de impacto, el ciclo de vida del sistema de IA, los datos para sistemas de IA, la información para las personas afectadas, el uso de los sistemas de IA y las relaciones con terceros.
Qué preguntan los clientes
Un cliente que menciona ISO 42001 no suele pedir primero un certificado. Las preguntas siguen los temas de la norma:
- Si tiene una política de IA, quién la aprobó y quién responde de la IA en la empresa.
- Cómo evalúa los riesgos y el impacto de cada función de IA antes de lanzarla, también sobre las personas a las que afecta su resultado.
- De dónde proceden los datos usados para crear, ajustar o probar la función, y si incluyen datos de clientes.
- Cómo prueba el resultado, qué supervisa en producción y cómo se gestiona un fallo o una reclamación.
- Qué se dice a los usuarios sobre la IA y sus límites, y cómo puede una persona revisar o anular el resultado.
- De qué proveedores de modelos depende y cómo los evalúa.
Respuesta con un certificado
Adjunte el certificado y cite su alcance con exactitud, porque el revisor comprobará que las funciones de IA que compra están incluidas. Después responda a cada tema a partir de su declaración de aplicabilidad, igual que con ISO 27001.
Responder sin uno
Responda a cada fila según su contenido: qué hace, quién es el responsable y dónde está por escrito. Dos documentos sostienen la mayoría de las respuestas. Uno es una política de IA de una o dos páginas. El otro es un inventario de sus funciones de IA, con el modelo que usa cada una, los datos que ve, cómo se prueba y quién revisa su resultado. Si tiene prevista la certificación, diga cuándo. Un inventario claro y un plan honesto convencen más que vagas afirmaciones de alineación.
En Responsemate
La política de IA, el inventario y cualquier certificado están en la base de conocimiento como evidencia con fechas de revisión, junto a las respuestas aprobadas redactadas a partir de ellos. Las respuestas de Responsemate a estas preguntas, desde la elección del modelo hasta la persona que aprueba cada respuesta, están en la página de seguridad.
Preguntas que hacen las personas
¿Exige el Reglamento de IA de la UE la norma ISO 42001?
No. ISO 42001 es voluntaria. Ayuda a demostrar que la IA se gobierna de forma organizada, y algunos clientes la piden como señal de madurez, pero el Reglamento de IA no exige un certificado.
¿Podemos certificarnos en ISO 42001 si solo usamos modelos de IA de otros proveedores?
Sí. La norma abarca a las organizaciones que desarrollan, proporcionan o utilizan sistemas de IA. Un proveedor que crea funciones sobre el modelo de otra empresa está dentro del alcance en cuanto a cómo diseña, prueba, despliega y supervisa esas funciones.
Tenemos ISO 27001. ¿Cuánto de ISO 42001 tenemos ya?
La parte del sistema de gestión tiene la misma forma: alcance, política, evaluación de riesgos, auditoría interna, revisión por la dirección. Lo nuevo son los controles específicos de IA, como la evaluación de impacto, los datos para sistemas de IA y el ciclo de vida del sistema de IA.