ISO 27001 vs ISO 42001

Lleva en el mercado desde 2005, revisado en 2022. El más auditado y reconocido del mundo. Cubre confidencialidad, integridad y disponibilidad de los activos de información — bases de datos, código fuente, cargas de trabajo en la nube, modelos entrenados incluidos.

Su Anexo A tiene 93 controles agrupados en cuatro temas: organizativos (37), de personas (8), físicos (14) y tecnológicos (34). La norma es neutral respecto a la tecnología: no prescribe herramientas ni proveedores, lo que explica que lleve décadas siendo la base de la garantía de seguridad empresarial.

Es el cimiento. Sin él, cualquier capa que pongas encima se hunde.

Publicado en diciembre de 2023. Cubre lo que la 27001 deja deliberadamente fuera: ciclo de vida de los sistemas de IA, sesgo algorítmico, calidad de los datos de entrenamiento, explicabilidad de modelos, supervisión humana e impacto social de las decisiones automatizadas.

Su Anexo A tiene 38 controles específicos de IA. Además incluye un Anexo B de guía de implementación y un Anexo C con fuentes de riesgo sin equivalente en ninguna norma de seguridad clásica: comportamientos emergentes, desplazamiento de distribución, impacto sobre derechos fundamentales.

El ecosistema está madurando. Ronda los 400 certificados activos globalmente pero con la mayor velocidad de adopción entre todas las normas ISO en sus primeros años. El cuadro de auditores es escaso — si lo vas a certificar, reserva fecha con antelación.

Es la capa que necesitas si la IA ya no es experimental en tu organización.

Ambas siguen la Estructura Armonizada (Annex SL). Las cláusulas 4 a 10 se leen casi igual en las dos — un único registro de riesgos, un único programa de auditoría interna, una única revisión por la dirección.

Una organización con SGSI 27001 maduro ya tiene entre el 40 y el 60 por ciento del trabajo documental que exige la 42001.

Son dominios distintos con puntos de contacto. No son alternativas.

ISO 42001 se alinea con los artículos clave del EU AI Act para sistemas de alto riesgo: gestión de riesgos (art. 9), gobernanza de datos (art. 10), documentación técnica (art. 11), registros (art. 12), transparencia (art. 13), supervisión humana (art. 14) y sistema de gestión de calidad (art. 17). Las obligaciones de alto riesgo entran en vigor en agosto de 2026.

Pero ISO 42001 no es norma armonizada todavía. Un certificado 42001 es el mejor dossier de evidencia disponible para el procedimiento de conformidad — no un atajo regulatorio. El CEN-CENELEC JTC 21 está trabajando en las normas armonizadas. Cuando llegue la referencia, quien ya tenga el certificado estará adelantado.

Ignorar la 42001 porque "todavía no es obligatoria" es exactamente el tipo de decisión que se paga cara en la próxima auditoría.

ISO 27001 es el suelo. ISO 42001 es la capa que necesitas si la IA ya no es experimental en tu organización. No compiten — el problema es creer que con una tienes la otra.

Si partes de cero: certifica primero 27001. El cuadro de auditores es amplio, el ecosistema es maduro y ya habrás hecho entre el 40 y el 60 por ciento del trabajo documental de la 42001.

Si ya tienes 27001 y despliegas IA: ve directamente a 42001. La base documental ya está. El trabajo se concentra en los 38 controles específicos de IA, gobernanza de datos, ciclo de vida del modelo y supervisión humana.

El error más caro en 2026 no es implementar mal una de las dos. Es seguir preguntando cuál elegir cuando la respuesta ya es evidente.