Cómo implementar ISO/IEC 42001: hoja de ruta en 8 pasos para banca y seguros

Antes de empezar: qué es (y qué no es) ISO/IEC 42001

ISO/IEC 42001 no es un catálogo técnico de pruebas de modelos. Es un sistema de gestión: define cómo una organización establece, implanta, mantiene y mejora de forma continua su gobierno de la IA, con el ciclo planificar-hacer-verificar-actuar que ya conocen quienes operan ISO 27001 o ISO 9001. Aplica tanto a quien desarrolla sistemas de IA como a quien los despliega o los compra a un tercero.

Es voluntaria, pero certificable por entidades acreditadas, y encaja de forma directa con tres marcos que ya obligan a banca y seguros: el AI Act (que exige un sistema de gestión de la calidad para los sistemas de alto riesgo, Art. 17), DORA (resiliencia operativa digital y terceros tecnológicos) y el propio ISO 27001, con el que comparte estructura y buena parte de las evidencias.

• Qué certifica: el sistema de gestión (políticas, roles, procesos, evidencias), no cada modelo por separado.
• A quién aplica: proveedores y desplegadores de IA; en una entidad financiera, casi siempre ambos papeles a la vez.
• Qué no sustituye: la validación independiente de modelos (model risk management), la DPIA del RGPD ni la evaluación de impacto sobre derechos fundamentales del AI Act; las integra y les da un marco común.

Paso 1 — Definir el alcance y el contexto

El primer error habitual es un alcance demasiado amplio («toda la IA del grupo») o demasiado estrecho (un único modelo). El alcance debe describir qué sistemas de IA cubre, en qué procesos de negocio, con qué papel (proveedor o desplegador) y con qué partes interesadas: supervisor, clientes, auditoría interna y externa, DPO, proveedores.

En banca y seguros el inventario típico incluye scoring y admisión de crédito, detección de fraude, tarificación y suscripción, modelos de riesgo, asistentes conversacionales y herramientas de productividad con IA generativa. Conviene delimitar también la frontera con el alcance de ISO 27001: qué controles se heredan y cuáles son nuevos.

Paso 2 — Inventariar los sistemas de IA y clasificar su riesgo

Sin un registro único de sistemas de IA no hay sistema de gestión. El registro debe incluir la IA embebida en productos de terceros y la «IA en la sombra» que usan los equipos sin proceso formal. Para cada sistema: finalidad, datos, propietario, proveedor, fase del ciclo de vida y clasificación de riesgo.

La clasificación se apoya en el AI Act: la evaluación de solvencia de personas físicas y la tarificación de seguros de vida y salud figuran en el Anexo III como sistemas de alto riesgo. A esa capa regulatoria se suma la clasificación interna (impacto en clientes, en cumplimiento y en continuidad) que ya usa la función de riesgo de modelo.

Paso 3 — Análisis de brechas frente al Anexo A

El Anexo A agrupa los controles en áreas que un banco reconoce enseguida: políticas de IA, organización interna, recursos (datos, personas, cómputo), evaluación de impacto, ciclo de vida de los sistemas, gestión de datos, información a las partes interesadas, uso responsable y relaciones con terceros. El análisis de brechas compara cada control con lo que ya existe (mucho vive en ISO 27001, en el marco de riesgo de modelo y en protección de datos) y produce un plan con responsables y fechas.

Nuestro consejo: hacerlo sobre el sistema de gestión de seguridad de la información existente, reutilizando evidencias, en lugar de levantar un sistema paralelo que nadie mantendrá.

Paso 4 — Política de IA y estructura de gobierno

La dirección aprueba una política de IA que fija principios (transparencia, supervisión humana, no discriminación, seguridad), objetivos medibles y el compromiso de recursos. Sobre ella se define la estructura: un responsable del sistema de gestión, un comité de gobernanza de IA con negocio, riesgos, tecnología, legal y DPO, y propietarios de sistema con responsabilidades claras.

Aquí entra también la alfabetización en IA que exige el AI Act (Art. 4): formación proporcional al papel de cada persona, desde el consejo hasta quien opera un modelo en producción.

Paso 5 — Evaluación de impacto de los sistemas de IA

ISO/IEC 42001 exige evaluar el impacto de cada sistema de IA sobre personas, grupos y sociedad, antes de desplegarlo y ante cambios significativos. La guía ISO/IEC 42005 desarrolla cómo hacerlo. En una entidad financiera esa evaluación se coordina con la DPIA del RGPD y, para los desplegadores de sistemas de alto riesgo de solvencia crediticia o tarificación de vida y salud, con la evaluación de impacto sobre derechos fundamentales del AI Act (Art. 27).

• Finalidad, contexto de uso y personas afectadas.
• Beneficios esperados y daños potenciales, incluidos sesgos y errores.
• Medidas de mitigación, supervisión humana y vías de reclamación.
• Decisión documentada: desplegar, condicionar o descartar.

Paso 6 — Controles del ciclo de vida

Es la parte más técnica y donde el sistema de gestión se encuentra con la ingeniería. Los controles cubren la gobernanza de datos (procedencia, calidad, pruebas de sesgo), el desarrollo y la validación (documentación del modelo, pruebas, validación independiente), el despliegue (puertas de aprobación), la operación (monitorización de rendimiento y deriva, gestión de incidentes, registro de eventos) y la retirada.

La forma más eficaz de sostenerlos es integrarlos en la cadena de entrega: si cada cambio de modelo pasa por un pipeline versionado con aprobaciones y trazabilidad (el mismo enfoque GitOps que aplicamos en plataformas críticas), la evidencia se genera sola en lugar de recopilarse a mano antes de la auditoría.

Paso 7 — Proveedores y modelos de terceros

Buena parte de la IA de un banco llega de fuera: modelos fundacionales, soluciones de fraude, herramientas de productividad. La norma exige debida diligencia proporcional al riesgo, cláusulas contractuales (transparencia sobre el sistema, notificación de incidentes, derechos de auditoría, cambios de versión) y un plan de salida. En banca ese trabajo se solapa con las obligaciones de DORA sobre proveedores de servicios TIC (Art. 28 y siguientes): conviene tratar ambos registros como uno solo.

Paso 8 — Auditoría interna, revisión por la dirección y certificación

Antes de la certificación externa, un ciclo completo de auditoría interna y una revisión por la dirección con sus entradas obligatorias (resultados de monitorización, incidentes, cambios de contexto, oportunidades de mejora). La certificación con una entidad acreditada sigue el esquema habitual: fase 1 de revisión documental, fase 2 de verificación de la implantación, auditorías de seguimiento anuales y renovación cada tres años.

Elija una entidad certificadora acreditada para ISO/IEC 42001 por un organismo nacional de acreditación y compruebe que sus auditores tienen experiencia en el sector financiero: la conversación sobre riesgo de modelo y supervisión es muy distinta de la de una empresa de software.

Calendario y esfuerzo realista

En nuestra experiencia, una entidad con un ISO 27001 maduro y una función de riesgo de modelo establecida llega a la auditoría de certificación en unos seis a doce meses; sin esa base, el plazo se alarga porque hay que construir primero la disciplina de evidencias. Los errores que más retrasan un proyecto:

• Tratarlo como un ejercicio documental desconectado de quienes desarrollan y operan los modelos.
• Levantar un sistema paralelo a ISO 27001 en vez de extender el existente.
• Un alcance inicial demasiado ambicioso: es mejor certificar un alcance acotado y ampliarlo.
• Ignorar la IA de terceros y la IA en la sombra, que es donde suele aparecer el primer incidente.

Cómo encaja con el calendario del AI Act

El Reglamento entró en vigor en agosto de 2024; las prohibiciones y la obligación de alfabetización aplican desde febrero de 2025, las obligaciones para modelos de propósito general desde agosto de 2025 y las de los sistemas de alto riesgo del Anexo III (donde caen el scoring crediticio y la tarificación actuarial) estaban previstas para agosto de 2026. La Comisión Europea propuso en noviembre de 2025, dentro del paquete «Digital Omnibus», aplazar la aplicación de esas obligaciones de alto riesgo; conviene verificar el estado de tramitación en el momento de planificar.

Sea cual sea la fecha final, ISO/IEC 42001 es la vía práctica para tener listo el sistema de gestión de la calidad que el AI Act exige (Art. 17) y para demostrar diligencia ante el supervisor y ante auditoría externa con un único cuerpo de evidencias.

Preguntas frecuentes

Contenido relacionado