GRCreal // expediente: academia curso: ISO 42001 Lead Auditor
ISO 42001 · SGIA · AUDITORÍA IA
Módulo 1

Introducción a la Auditoría ISO 42001

Auditar IA no es auditar algoritmos.
Es auditar cómo se gestionan los riesgos de la IA.

MÓDULO 01 / 10ISO 42001 · Lead Auditor IA
FOCOIntroducción a la Auditoría ISO 42001

Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.

Definición
Qué es un Sistema de Gestión de IA (SGIA)
Un Sistema de Gestión de Inteligencia Artificial (SGIA) es el conjunto de políticas, procesos, responsabilidades y controles que una organización establece para gestionar sus sistemas de IA de manera responsable, eficaz y conforme a requisitos aplicables.
“El SGIA no audita si el algoritmo es "bueno". Audita si la organización controla los riesgos que la IA puede generar.”
ISO/IEC 42001:2023
ISO/IEC 42001 es la primera norma internacional que proporciona requisitos para establecer, implementar, mantener y mejorar un SGIA. Sigue la estructura armonizada de alto nivel (HLS), lo que facilita su integración con ISO 27001, ISO 9001 u otros sistemas de gestión.
Contexto
Por qué necesitamos ISO 42001
Los sistemas de IA tienen características únicas que los diferencian del software tradicional:
📚Aprendizaje continuo. Los modelos pueden cambiar su comportamiento con nuevos datos, lo que introduce riesgos de deriva no controlada.
🔲Falta de transparencia. Muchos modelos (especialmente deep learning) son "cajas negras" difíciles de explicar.
⚖️Sesgos no intencionados. La IA puede perpetuar o amplificar sesgos presentes en los datos de entrenamiento.
🎯Impacto en personas. Decisiones automatizadas pueden afectar derechos, oportunidades o bienestar de individuos.
Clasificación
Tipos de auditoría aplicables al SGIA
1ª ParteAuditoría interna. Realizada por o en nombre de la propia organización. Evalúa el SGIA contra sus propios requisitos y los de ISO 42001.
2ª ParteAuditoría de proveedores de IA. Realizada por clientes sobre sus proveedores de sistemas o servicios de IA.
3ª ParteAuditoría de certificación. Realizada por organismos independientes para certificar el SGIA según ISO 42001.
Marco normativo
ISO 19011: Directrices para auditar el SGIA
ISO 19011:2018 es la norma que proporciona directrices para auditar sistemas de gestión. Se aplica directamente al SGIA, igual que a cualquier otro sistema de gestión.
1Principios de auditoría. Integridad, presentación justa, diligencia profesional, confidencialidad, independencia, enfoque basado en evidencia, enfoque basado en riesgos.
2Gestión del programa de auditoría. Cómo planificar auditorías del SGIA considerando riesgos específicos de IA.
3Realización de la auditoría. Desde la reunión de apertura hasta el informe, con énfasis en evidencia objetiva.
Perfiles
Diferencias clave: auditar IA vs auditar otros sistemas
📊Auditor tradicional. Verifica procesos documentados, registros, controles predecibles. La evidencia suele ser estática.
🤖Auditor de IA. Verifica gestión de riesgos dinámicos: deriva, sesgo, explicabilidad, robustez. La evidencia incluye logs, métricas continuas, evaluaciones de impacto.
Un auditor de SGIA no necesita ser científico de datos, pero debe entender: - Qué es la deriva de un modelo y por qué importa - Qué es el sesgo algorítmico y cómo se mide - Qué significa "explicabilidad" y cuándo es necesaria - Qué evidencias son válidas para cada tipo de control
Error típico
Auditar la IA como si fuera software tradicional
“El modelo tiene 95% de precisión, por lo tanto es bueno.”
Error frecuente: confiar solo en métricas de rendimiento sin auditar sesgo, deriva o explicabilidad.
Una auditoría del SGIA no se conforma con la precisión del modelo. Evalúa: - ¿Se ha evaluado el sesgo por subgrupos? - ¿Se monitoriza la deriva en producción? - ¿Existe un proceso para explicar decisiones automatizadas? - ¿Se ha realizado una evaluación de impacto antes del despliegue? La precisión alta puede esconder riesgos graves para grupos específicos de personas.
Resumen del módulo
Lo que debes llevarte de aquí
1ISO 42001 especifica requisitos para un Sistema de Gestión de Inteligencia Artificial (SGIA).
2La IA tiene características únicas: aprendizaje continuo, falta de transparencia, sesgos, impacto en personas.
3ISO 19011 es el marco de referencia para auditar cualquier sistema de gestión, incluido el SGIA.
4El auditor de IA no juzga el algoritmo. Juzga si la organización gestiona los riesgos de la IA.
APLICACIÓN PRÁCTICA

Cómo llevar el contenido del módulo a una organización real

Este módulo debe utilizarse dentro de auditoría del sistema de gestión de IA, riesgos, impactos, ciclo de vida y supervisión. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.

Para trabajar «Introducción a la Auditoría ISO 42001», comienza delimitando criterio, evidencia, muestreo, independencia y comunicación de conclusiones. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.

Los actores habituales serán Equipo auditor, Dirección, responsables de IA, Datos, Producto, Riesgos, Legal y Seguridad. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.

  1. Define el objeto y el alcance antes de discutir controles.
  2. Identifica propietario, ejecutor, revisor y autoridad de excepción.
  3. Distingue diseño, implantación, operación y eficacia.
  4. Comprueba cambios, incidencias y excepciones, no solo el estado ideal.
  5. Cierra con una decisión y una acción verificable.
EXPEDIENTE DEL MÓDULO

Documentación y evidencia que debería existir

La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.

Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.

  • alcance del AIMS e inventario de sistemas de IA
  • riesgos e impactos evaluados
  • roles, responsabilidades y criterios de uso
  • documentación del ciclo de vida, pruebas y cambios
  • monitorización, incidentes, revisión y mejora
CASO DE REVISIÓN

Aplicación de «Introducción a la Auditoría ISO 42001»

Escenario: un sistema de IA cambia de modelo y datos, pero la organización mantiene la evaluación y documentación de la versión anterior. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.

1 · Delimitar

Define el alcance y concreta criterio, evidencia, muestreo, independencia y comunicación de conclusiones.

2 · Corroborar

Contrasta entrevistas con documentos, registros y observación de la operación.

3 · Concluir

Separa hechos, criterio aplicable, impacto y acción necesaria.

ERRORES FRECUENTES

Dónde suele fallar la aplicación

  • auditar solo el modelo y olvidar el sistema completo
  • tratar la evaluación de impacto como documento único
  • ignorar cambios de versión, datos o finalidad
  • tratar una excepción permanente como si fuera temporal
  • cerrar acciones por actividad realizada, sin validar su eficacia
COMPROBACIÓN

Preguntas que deberías poder responder

  • ¿Qué decisión concreta cambia después de comprender «Introducción a la Auditoría ISO 42001»?
  • ¿Qué evidencia pedirías primero y qué necesitarías corroborar?
  • ¿Qué parte depende del diseño y cuál de la operación diaria?
  • ¿Qué excepción sería aceptable y quién tendría autoridad para aprobarla?
  • ¿Cómo comprobarías dentro de tres meses que sigue funcionando?
EJEMPLO GUIADO

Caso práctico: Introducción a la Auditoría ISO 42001

Una organización usa varias APIs de IA, pero solo inventaría los modelos desarrollados internamente.

CONTEXTO TÉCNICO

APIs externas, copilotos, modelos propios y Shadow AI.

DECISIÓN

  • Ampliar el inventario a todos los sistemas y usos de IA.
  • Asignar responsable y fecha de revisión.
  • Definir prueba de eficacia.

EVIDENCIA

  • Finalidad, propietario, proveedor, datos, versión y usuarios.
  • Corroborar con una segunda fuente.
  • Conservar periodo, población y propietario.

ERROR A EVITAR

  • Inventariar solo modelos propios.
  • Aceptar afirmaciones sin prueba.
  • Cerrar acciones sin verificación.
MINI EJERCICIO RESUELTO

¿Por qué una API externa también debe incluirse?

Respuesta orientativa: Porque forma parte del sistema de IA utilizado por la organización.

¿QUÉ CAMBIARÍA SI…?

el uso es experimental y sin datos personales?

Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.

PÁRATE AQUÍNo sigas por inercia

Tienes una política aprobada y tres entrevistas coherentes. ¿Tienes evidencia suficiente para concluir que el control opera?

Distingue diseño, implantación y operación. Una explicación consistente orienta la muestra, pero no siempre cierra la conclusión.

No hay botón ni respuesta oculta. Explica tu criterio antes de continuar.
ANTES DE SEGUIR

Deberías poder explicar estas tres ideas sin volver arriba

Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.

  1. 01

    Qué es un Sistema de Gestión de IA (SGIA)

  2. 02

    Por qué necesitamos ISO 42001

  3. 03

    Tipos de auditoría aplicables al SGIA

El siguiente paso es entender
el contexto y alcance del SGIA
Siguiente módulo: Contexto y Alcance del SGIA (Cláusula 4)
← Anterior Continuar →