ISO 42001: cuándo merece la pena y cuándo es tirar el dinero

La ISO/IEC 42001 merece la pena cuando alguien te la exige por escrito: un pliego, un cuestionario de proveedor, un contrato firmado. Fuera de ese supuesto, para una pyme que usa herramientas de terceros en tareas internas, es un gasto de cinco cifras para resolver un problema que no tienes. Y no te acerca ni un paso al cumplimiento del Reglamento de IA, porque miden cosas distintas.

Qué es la ISO 42001, en una página

ISO/IEC 42001:2023 es una norma internacional que define un sistema de gestión de inteligencia artificial. Misma arquitectura que ISO 9001 para calidad o ISO 27001 para seguridad de la información: política aprobada por dirección, roles y responsabilidades asignados, análisis de riesgos e impactos, un conjunto de controles que decides aplicar o excluir de forma justificada, objetivos medibles, registros que demuestren que aquello funciona, auditoría interna, revisión por la dirección y tratamiento de no conformidades.

Lo que la distingue de una guía de buenas prácticas es que es certificable. Una entidad de certificación externa te audita en dos fases —primero la documentación, después el funcionamiento real— y si pasas emite un certificado con vigencia de tres años, con auditorías de seguimiento anuales por medio. No es un examen que se aprueba y se olvida: es un ciclo que hay que alimentar todo el año, porque el auditor vuelve.

Esa es la parte que casi nadie te explica cuando te enseña el logo. La certificación no es el final del proyecto. Es el principio de una obligación recurrente.

Lo que la ISO 42001 no es

No es el Reglamento (UE) 2024/1689. Son dos cosas separadas y conviene tenerlo muy claro antes de firmar nada.

El artículo 40 del Reglamento reserva la presunción de conformidad a las normas armonizadas cuya referencia se publique en el Diario Oficial de la Unión Europea. A agosto de 2026 no hay ninguna publicada, e ISO/IEC 42001 no es una de ellas. La propia Comisión Europea, en su documento sobre la normalización del Reglamento de IA, deja escrito que los objetivos y las definiciones de ISO/IEC 42001 no están alineados con el sistema de gestión de la calidad que exige el Reglamento. Por eso encargó a CEN-CENELEC una norma europea distinta, la EN 18286, todavía en desarrollo.

La consecuencia práctica va en las dos direcciones:

• Certificarte en ISO 42001 no te hace conforme al Reglamento de forma automática. Un auditor de la norma no comprueba si tus prácticas caen en el artículo 5, ni si has formado a tu plantilla, ni si tu chatbot avisa de que es un chatbot.
• Cumplir el Reglamento no exige certificarse. Para los sistemas de alto riesgo del Anexo III, puntos 2 a 8, el artículo 43 remite al control interno del Anexo VI: te autoevalúas y lo documentas, sin organismo notificado por medio.
• No tener ISO 42001 no es una infracción. El régimen sancionador del artículo 99 no contempla la ausencia de ninguna certificación voluntaria.

Hay un matiz más, específico de España: a día de hoy ENAC no acredita a nadie para certificar esta norma. La norma que fija qué hace competente a un certificador de sistemas de gestión de IA, ISO/IEC 42006, no se publicó hasta julio de 2025, y el esquema de acreditación todavía no está montado. Lo desarrollamos con las fuentes en nuestra postura sobre ISO 42001.

Cuánto cuesta de verdad

En el mercado español, sumando consultoría de implantación, auditoría y emisión, el rango habitual va de 3.000 a 6.000 euros para una microempresa y de 6.000 a 10.000 para una pyme. A eso se le añaden entre 1.000 y 3.000 euros anuales de mantenimiento durante el ciclo de tres años.

El dinero es la parte fácil de ver. La cara es la otra: alguien de tu empresa tiene que ser el dueño del sistema. Redactar procedimientos que se parezcan a lo que de verdad hacéis, recoger evidencias, preparar la auditoría interna, sentar a la dirección a revisar indicadores y responder a las no conformidades que salgan. Si esa persona es tu responsable de operaciones o tú mismo, ese tiempo sale de otro sitio.

Cuándo sí merece la pena

Cuatro supuestos concretos. Si estás en alguno, deja de darle vueltas:

• Te la piden en licitaciones o cuestionarios de clientes grandes. Si aparece en un pliego como requisito de solvencia técnica, o en el cuestionario de proveedores de una multinacional, el debate jurídico da igual. Sin ella no puntúas o no entras en la lista de proveedores homologados.
• Vendes IA como producto. Si desarrollas o integras sistemas de IA que otros usan, tus clientes te van a auditar a ti. Un sistema de gestión documentado convierte cada cuestionario en un ejercicio de copiar y pegar en lugar de un proyecto de tres semanas.
• Operas en un sector regulado —sanidad, banca, seguros, energía, defensa— donde ya te evalúan proveedores con criterios formales y la gobernanza documentada es moneda corriente.
• Ya tienes un ISO 27001 vivo. Vivo significa con auditorías de seguimiento pasadas y un responsable real, no un certificado de hace cuatro años en un cajón. En ese caso buena parte del andamiaje —gestión documental, análisis de riesgos, auditoría interna, revisión por la dirección— ya está montado y el coste marginal de añadir el alcance de IA baja mucho.

Hay un quinto motivo legítimo, aunque más difuso: la diligencia. Ante un regulador, un sistema de gestión auditado es prueba de que te tomaste el asunto en serio. No te exime de nada, pero pesa a la hora de graduar. No es razón suficiente por sí sola para gastarte 8.000 euros.

Lo que NO te aplica

Si eres una pyme que usa herramientas de terceros —ChatGPT, Copilot, un transcriptor de reuniones, el asistente que ya viene dentro de tu CRM— para tareas internas, no tienes clientes que te exijan la norma por contrato y no operas ningún sistema de los que el Anexo III clasifica como de alto riesgo, la ISO 42001 no te aporta nada que no puedas conseguir por bastante menos.

Cuidado con el segundo filtro, que es el que más se falla: cribar currículums con IA o evaluar el desempeño de tu plantilla con IA sí es Anexo III. Esas obligaciones llegan el 2 de diciembre de 2027 tras el aplazamiento del Ómnibus, y tampoco se resuelven con un certificado ISO, sino con documentación técnica, supervisión humana y registros. Si es tu caso, la ISO tampoco es tu prioridad: la documentación técnica sí.

Qué hacer en su lugar

Cuando un cliente te pregunta por tu uso de IA, lo que quiere ver casi nunca es un sello. Quiere cuatro cosas, y las cuatro se construyen en días:

• Inventario de herramientas de IA en uso, quién las usa, para qué y con qué datos. Sin esto, el resto es literatura.
• Política interna de uso: qué se puede subir y qué no, qué decisiones no se delegan en un modelo, quién autoriza herramientas nuevas.
• Formación acreditada. El artículo 4 la exige desde el 2 de febrero de 2025, sin umbral de tamaño de empresa, y es lo único de esta lista que ya te podían reclamar ayer. Con certificado nominal por empleado, que es lo que se enseña.
• Expediente de evidencias: la política firmada, los certificados de formación, el registro de decisiones, las capturas de configuración. Ordenado y con fecha.

Ese paquete es exactamente lo que responde un cuestionario de proveedor, y por eso nuestra auditoría de uso de IA cuesta 900 euros y se entrega en tres días. Si ya tienes el cuestionario encima de la mesa, en cómo responder al cuestionario de IA de un cliente desglosamos pregunta por pregunta lo que están buscando detrás de cada una.

El coste de oportunidad

Este es el argumento que ninguna certificadora te va a poner encima de la mesa. Con el presupuesto de una certificación ISO 42001 puedes cubrir la formación obligatoria de toda tu plantilla, una auditoría de uso completa, la revisión de tus chatbots y avisos de transparencia del artículo 50 —vigente desde el 2 de agosto de 2026— y aún te sobra para la adecuación de un sistema de alto riesgo si lo tienes.

La diferencia es que lo segundo cubre obligaciones legales que ya están en vigor y lo primero cubre una expectativa comercial que quizá nadie te ha planteado. Si un cliente te la exige mañana, siempre estás a tiempo de certificarte, y llegarás con medio trabajo hecho porque el inventario y la política se reaprovechan. Al revés no funciona: el certificado no te da la formación ni el etiquetado.

Cuando te digan que sin ISO 42001 no puedes usar IA

Es falso, sin matices. Ninguna norma española o europea condiciona el uso de la IA a tener una certificación voluntaria. Cuando lo escuches, haz tres preguntas y observa la respuesta:

• ¿En qué artículo del Reglamento aparece esa exigencia? No aparece en ninguno: el Reglamento no menciona ISO 42001.
• ¿Contra qué norma armonizada certificáis, publicada en qué DOUE y en qué fecha? Hoy no hay respuesta posible, porque no hay ninguna publicada.
• ¿Con qué acreditación emitís el certificado? Si no hay marca de ENAC, UKAS, ANAB o equivalente, nadie ha verificado de forma independiente la competencia de quien lo firma.

Un comercial honesto te dirá que la norma es un argumento comercial y de gobernanza. Uno que insista en que es una obligación legal te está vendiendo miedo, y conviene saberlo antes de firmar tres años de contrato.

Cómo decidirlo esta semana

Abre tu carpeta de licitaciones, contratos marco y cuestionarios de proveedor de los últimos doce meses y busca la cadena «42001». Si aparece una sola vez, tienes un caso de negocio y toca pedir tres presupuestos con alcance escrito y acreditación declarada. Si no aparece ninguna, aparca la norma, escribe en el calendario una revisión dentro de seis meses y dedica ese presupuesto a la formación del artículo 4, al inventario y al expediente. Cuando la norma deje de ser opcional para ti, lo sabrás por un correo de un cliente, no por un anuncio.