¿Qué es el certificado?

ISO/IEC 42001 es la primera norma internacional que define los requisitos del sistema de gestión para el desarrollo y uso responsable de sistemas de IA (2023). Coloca los riesgos específicos de la IA (transparencia, explicabilidad, sesgo, calidad de los datos, supervisión humana y toma de decisiones automatizada) dentro de un marco de sistema de gestión.

¿Quién lo necesita?

Empresas de tecnología que desarrollan y ofrecen modelos de IA
Procesos de finanzas, seguros y recursos humanos que utilizan IA en las decisiones que producen
Organizaciones en espera de obligaciones en virtud de la Ley de IA de la UE
Desarrolladores de productos que integran un componente de IA de terceros
Organizaciones que ofrecen un servicio de IA de acceso público

¿Es obligatorio?

No es obligatorio como estándar. La Ley de IA de la UE impone obligaciones a los sistemas de determinadas clases de riesgo; ISO/IEC 42001 ofrece un marco de gestión que ayuda a cumplir estas obligaciones, pero no se puede pretender que sustituya la conformidad con la Ley.

Alcance de la norma

Cláusula 4 — Contexto de la organización: cuestiones internas y externas, requisitos de las partes interesadas, determinación del alcance del sistema de gestión de la IA
Cláusula 5 — Liderazgo: compromiso, política, funciones y autoridades de la alta dirección
Cláusula 6 — Planificación: riesgos y oportunidades, objetivos y planes para alcanzarlos
Cláusula 7 — Apoyo: recursos, competencia, concienciación, comunicación, información documentada
Cláusula 8 — Operación: planificación y control operativo
Cláusula 9 — Evaluación del desempeño: seguimiento y medición, auditoría interna, revisión por la dirección
Cláusula 10 — Mejora: no conformidad, acción correctiva y mejora continua
La política de IA y la definición de roles dentro de la organización (desarrollador, proveedor, usuario)
Evaluación y tratamiento de riesgos de IA
La evaluación del impacto del sistema de IA: efectos en los individuos y la sociedad
Gestión de datos: calidad, procedencia, preparación y control de sesgos de los datos.
El ciclo de vida del sistema de IA: diseño, desarrollo, verificación, implementación, seguimiento y desmantelamiento
Transparencia y facilitación de información a los interesados
Mecanismos de intervención y supervisión humana
Gestión de relaciones con terceros y proveedores.

Proceso de certificación

1SolicitudSe determinan el campo de actividad de la organización, la plantilla, el número de sitios y los límites del alcance. A partir de esta información se calcula el número de días de auditoría.
2Revisión de documentos (Etapa 1)Se examina la documentación del sistema de gestión, la definición del alcance, la evaluación de riesgos y los registros de auditoría interna/revisión de la gestión; Se evalúa la preparación para la auditoría in situ.
3Auditoría de Certificación (Etapa 2)Se verifica en sitio que el sistema esté implementado y sea efectivo. Los hallazgos se clasifican como no conformidad u observación mayor/menor.
4Cierre de No ConformidadesLa organización presenta un análisis de causa raíz y un plan de acciones correctivas. El certificado no se emite hasta que se solucionen las no conformidades mayores.
5Emitir el certificadoEl certificado se emite después de la revisión por parte de una persona independiente que toma decisiones. El equipo auditor no puede tomar la decisión de certificación.
6Auditorías de VigilanciaSe realiza una auditoría de seguimiento al menos una vez al año durante la vigencia del certificado. La primera vigilancia no puede exceder los 12 meses a partir del último día de la Etapa 2.
7RecertificaciónAl cabo de tres años, se vuelve a auditar todo el sistema; debe completarse antes de que caduque el certificado.

Periodo de validez

Los certificados del sistema de gestión tienen una validez de tres años. Durante este período se realiza al menos una auditoría de vigilancia al año; el certificado se suspende si no se realiza la vigilancia. Al final del tercer año se completa una auditoría de recertificación.

Documentos necesarios

Registro mercantil y licencia de funcionamiento.
El organigrama y la plantilla de la organización.
La lista de sitios/sucursales dentro del alcance.
El manual del sistema de gestión o la documentación del proceso.
Registros de auditoría interna y revisión por la dirección
Permisos legales, licencias y documentos de operación, si los hubiere.

Coste de la certificación

No existe un precio de lista fijo; el coste se calcula según las siguientes variables y se proporciona por escrito en el presupuesto.

La plantilla dentro del alcance (determina directamente el número de días de auditoría)
El número de sitios y sucursales; si se aplica el muestreo en múltiples sitios
El nivel de riesgo de la actividad y la complejidad del proceso.
El número de normas a certificar — una auditoría integrada reduce el número de días
El ciclo de tres años: certificación + dos auditorías de vigilancia

Acreditación

La certificación del sistema de gestión se lleva a cabo dentro del alcance de la norma ISO/IEC 17021-1. El organismo de certificación está acreditado por un organismo de acreditación parte del acuerdo de reconocimiento multilateral de la IAF (IAF MLA); Este acuerdo establece una cadena de reconocimiento internacional que garantiza que un documento emitido en un país sea aceptado en otros países. EUROLAB cuenta con acreditación reconocida internacionalmente por parte de los organismos de acreditación miembros de la IAF dentro del alcance de ISO/IEC 17021-1.

El alcance en el que se puede ofrecer este esquema varía según su producto y actividad; se confirma por escrito en la etapa de presupuesto.

Alcance y autorizaciones

Certificaciones relacionadas

Preguntas frecuentes

¿ISO/IEC 42001 confirma que mi modelo produce resultados correctos?

No. El certificado no confirma el rendimiento o la precisión del modelo; muestra que se ha establecido una gobernanza en torno al desarrollo y operación del modelo. El rendimiento del modelo es un asunto de evaluación técnica independiente.

¿Garantiza el cumplimiento de la Ley de IA de la UE?

No directamente. La Ley es un marco de cumplimiento legal con obligaciones específicas que varían según la clase de riesgo. ISO/IEC 42001 establece una gobernanza que respalda la mayoría de estas obligaciones, pero no sustituye a la evaluación de la conformidad.

Sistema de gestión de IA (ISO/IEC 42001) — certificación