No tenemos ISO 42001.
Y te vamos a explicar por qué
Es la primera pregunta que nos hacen cuando nos comparan con alguien que sí la enseña. La respuesta honesta te sirve más que un logo: ISO 42001 no acredita que cumplas el Reglamento de IA, y en España, a fecha de la última revisión de esta página, no nos consta ninguna entidad acreditada por ENAC para emitirla.
Última revisión: 16 de agosto de 2026 · Cada afirmación de esta página lleva su fuente oficial.
ISO 42001 no está alineada con lo que pide el Reglamento
La Comisión Europea publica un documento oficial de preguntas frecuentes sobre la normalización del Reglamento de IA. Sobre ISO/IEC 42001 dice esto, literalmente.
«Aunque ISO/IEC 42001:2023 ayuda a establecer un sistema de gestión de IA, sus objetivos y definiciones no están alineados con el sistema de gestión de la calidad que exige el Reglamento de IA.»
Comisión Europea — Understanding the standardisation of the AI Act. Traducción nuestra, original en inglés en digital-strategy.ec.europa.euNo dice que ISO 42001 sea mala. Dice que no es la pieza que el Reglamento pide. Por eso la propia Comisión encargó a CEN-CENELEC una norma europea distinta —la EN 18286— para el sistema de gestión de la calidad del artículo 17. Sigue en desarrollo.
Qué es la «presunción de conformidad» y por qué importa
El artículo 40 del Reglamento (UE) 2024/1689 dice que solo las normas armonizadas cuya referencia se haya publicado en el Diario Oficial de la Unión Europea dan presunción de conformidad. Traducido: cumplir esa norma equivale a cumplir el Reglamento, y la carga de la prueba se te pone a favor.
Así que cuando alguien te ofrezca «certificación de cumplimiento del AI Act», la pregunta correcta es sencilla: ¿certificación contra qué norma, publicada en qué DOUE, en qué fecha? Hoy no hay respuesta posible.
A fecha de esta revisión, no nos consta acreditación ENAC para certificar ISO 42001
La acreditación es lo que separa un certificado con respaldo institucional de un PDF con un logo encima.
En España solo un organismo tiene potestad pública para acreditar: ENAC, designada por el Real Decreto 1715/2010 conforme al Reglamento (CE) 765/2008. Y su registro de acreditados es público.
Entra en el buscador de entidades acreditadas de ENAC (enac.es/entidades-acreditadas/buscador-de-acreditados) y escribe 42001. A fecha de esta revisión devuelve cero resultados. Ahora escribe 27001, que sí tiene esquema consolidado: te salen varias entidades acreditadas. El buscador funciona. Lo que no existe todavía es el esquema.
Hay una razón técnica, y es reveladora: la norma que define qué hace competente a un certificador de sistemas de gestión de IA es ISO/IEC 42006, y no se publicó hasta julio de 2025. Durante los diecinueve meses anteriores se vendieron certificados ISO 42001 en el mercado sin que existiera siquiera la norma que dice quién está capacitado para emitirlos.
Si te enseñan un certificado, pregunta esto
Un certificado sin acreditación no es ilegal ni es una estafa. Significa que nadie ha verificado de forma independiente la competencia e imparcialidad de quien lo emitió. Como lo resume la propia ENAC en su folleto público: «nadie sabe qué hay detrás de la certificación no acreditada».
Para casi todos los casos, el Reglamento no pide ningún certificado
Este es el punto que cambia la conversación. No se cuenta porque no vende sellos.
El artículo 43 regula cómo se evalúa la conformidad de un sistema de alto riesgo. Para los sistemas del Anexo III, puntos 2 a 8 —empleo y RR. HH., educación, servicios esenciales y crédito, justicia, migración, procesos democráticos, infraestructuras críticas— el procedimiento es el control interno del Anexo VI: sin organismo notificado que intervenga.
| Tu situación | Qué te exige el Reglamento |
|---|---|
| Riesgo mínimo o limitado la inmensa mayoría de pymes | Transparencia del art. 50 y formación del art. 4. Ni certificación ni evaluación de conformidad. Te toca hoy |
| Alto riesgo Anexo III puntos 2 a 8 | Documentación técnica, gestión de riesgos, gobernanza de datos, supervisión humana, registros y sistema de calidad — autoevaluados y documentados. Dic 2027 |
| Alto riesgo Anexo III punto 1 (biometría) | Control interno si se aplican normas armonizadas; si no existen, organismo notificado. Dic 2027 |
| IA dentro de un producto ya regulado (Anexo I) | Se integra en la evaluación de conformidad del producto que ya existía. Ago 2028 |
Entonces, ¿ISO 42001 no sirve para nada?
Sí sirve. Y sería deshonesto por nuestra parte decirte lo contrario solo porque no la tenemos.
Es buen andamiaje
El sistema de gestión que pide ISO 42001 comparte arquitectura con el que exigirá el artículo 17. Quien la tiene parte con ventaja cuando llegue EN 18286.
Es requisito comercial real
Aparece cada vez más en pliegos, RFPs y cuestionarios de proveedores, sobre todo en cadenas de suministro anglosajonas. Si un cliente te la exige por contrato, el debate jurídico da igual: la necesitas.
Es prueba de diligencia
Ante un regulador o un juez, un sistema de gestión documentado y auditado es evidencia de que hiciste las cosas en serio. No te exime, pero atenúa.
ISO 42001 es una buena práctica de gobernanza y un activo comercial. No es un atajo jurídico ni un escudo frente al Reglamento de IA. Quien te la venda como lo segundo, te está vendiendo humo.
Por eso te ayudamos a llegar a ISO 42001 cuando tenga sentido pagarla —cuando un cliente te la exija, o cuando ENAC tenga esquema acreditado en España— y no antes. Mientras tanto construimos el expediente que el Reglamento sí te pide, que es lo que de verdad te protege.
Lo que nos preguntáis sobre esto
¿Te han dicho algo distinto y no cuadra con esto? Escríbenos y lo miramos: si nos equivocamos, corregimos la página y lo decimos.
Deja de comparar logos. Mira qué te toca a ti
Una llamada de 10 minutos y te decimos qué artículos te aplican, qué vence en diciembre y qué no te toca hasta 2027. Sin compromiso y sin vender miedo.
Esta página tiene finalidad informativa y no constituye asesoramiento jurídico. Revisamos su contenido cada trimestre; la fecha de última revisión figura arriba.