Imagine la ficha técnica de un modelo de scoring crediticio. Un documento normal, del tipo que cualquier banco o fintech con un modelo en producción tiene. Dice algo muy concreto: «El score es revisado por el analista antes de la decisión final; el modelo no decide de forma autónoma». Y más abajo, una casilla marcada: Supervisión humana: [x] Sí.
Ahora imagine que alguien, en vez de leer el documento, revisa los registros del sistema y encuentra esto:
- 12.400 solicitudes procesadas en 30 días.
- 98,7 % decididas exactamente igual a la recomendación del modelo.
- Mediana de tiempo de revisión: 22 segundos.
- 41 overrides en total; 39 de ellos sin ninguna justificación registrada.
- Un único KPI para el analista: 120 solicitudes procesadas por día.
La casilla dice «sí». La operación dice otra cosa.
El caso es ilustrativo —lo usamos en la formación en inteligencia artificial que nuestro equipo preparó para auditores de ISO/IEC 42001—, pero reproduce un patrón que se repite en la región. Y lo importante es que nadie mintió: la supervisión estaba diseñada, tenía un rol asignado y un procedimiento escrito. Lo que no existía era la evidencia de que ocurriera.
Esa distancia entre lo que una organización declara sobre su IA y lo que puede demostrar es, hoy, el centro de la conversación sobre ISO/IEC 42001.
→ Haga el autodiagnóstico de 5 preguntas
Qué es ISO/IEC 42001 y por qué ya no es un tema del futuro
ISO/IEC 42001, publicada en 2023, es la primera norma internacional de sistemas de gestión de inteligencia artificial (AIMS, por sus siglas en inglés). Tiene la misma arquitectura que ISO 27001 o ISO 9001 —contexto, liderazgo, planificación, operación, evaluación y mejora— y, sobre todo, es certificable por un tercero.
Esa última palabra lo cambia todo. Hasta ahora, la «IA responsable» se sostenía con declaraciones: principios éticos, un comité, una política publicada. Un proceso de certificación funciona distinto: el auditor no evalúa si la política está bien escrita, sino si existe evidencia verificable de que lo que dice ocurre.
En auditoría de sistemas de gestión la regla es conocida:
Un control declarado en una política, pero sin rastro en la operación, es una posible no conformidad. Un control que opera, pero no está formalizado ni medido, es una oportunidad de mejora.
La mayoría de las organizaciones cree estar en el segundo caso. Muchas están en el primero.
Lo que cambió en 2026: cinco señales del mercado
1. Los bancos ya se están certificando. En enero de 2026, Axis Bank (India) recibió de BSI la certificación ISO/IEC 42001, presentada como la primera de una institución de servicios financieros en el mundo. Un mes después, SGS anunció la certificación del primer banco de consumo en Indonesia. El sector financiero dejó de preguntar si la norma aplica y empezó a preguntar cuándo.
2. Perú ya tiene reglas para la IA de alto riesgo. El reglamento de la Ley N.º 31814 (Decreto Supremo N.º 115-2025-PCM) está vigente desde el 22 de enero de 2026. Clasifica los sistemas de IA por nivel de riesgo y exige a los de alto riesgo mecanismos de supervisión humana, un registro actualizado de su funcionamiento y políticas de privacidad, seguridad y transparencia. Es, casi palabra por palabra, lo que ISO/IEC 42001 pide demostrar.
3. Colombia adoptó la norma y ya hay empresas certificadas. Desde septiembre de 2025, las organizaciones colombianas pueden certificar su sistema de gestión de IA bajo ISO/IEC 42001, y en 2026 aparecieron las primeras certificaciones en el país. Los organismos de certificación señalan las normas de uso responsable de IA entre las áreas de mayor dinamismo del año.
4. Europa movió la fecha, no la obligación. El acuerdo político de mayo de 2026 sobre el Digital Omnibus propone trasladar al 2 de diciembre de 2027 las obligaciones de los sistemas de alto riesgo del Anexo III del Reglamento Europeo de IA —entre ellos, el scoring crediticio—. Para bancos y aseguradoras con operación o matrices en Europa, eso no es un respiro: es el tiempo exacto que toma implementar un sistema de gestión de IA serio.
5. La IA generativa multiplicó la superficie sin multiplicar el control. En dos años pasamos de dos o tres modelos identificables a copilotos, asistentes internos, agentes que ejecutan acciones y APIs de terceros embebidas en procesos críticos. Y apareció un riesgo que casi nadie tiene cubierto: el proveedor actualiza el modelo detrás de la API y nadie en la organización lo aprobó, ni se enteró.
Qué va a pedir realmente un auditor de IA
Un auditor no va a evaluar si su modelo es bueno. Va a evaluar si el proceso de gestión alrededor del modelo es riguroso y trazable. En concreto:
El inventario. Qué sistemas de IA existen, para qué se usan, quién es el dueño, de dónde salieron —desarrollo propio, SaaS, API de un tercero— y qué nivel de riesgo tienen. Cuando uno pregunta «¿cuántos sistemas de IA operan hoy en su organización?», la respuesta honesta casi nunca es un número.
La coincidencia entre la autonomía declarada y la operada. La mayoría de las fichas declaran que el modelo «apoya con posibilidad de override». Los registros muchas veces muestran automatización completa. El nivel real de autonomía se descubre en los logs, no en el documento.
Los umbrales, y quién los aprobó. No basta con monitorear. ¿Existe un umbral formal de desempeño, de deriva o de brecha entre grupos? ¿Quién lo aprobó? ¿Qué pasó la última vez que se cruzó? Un dashboard sin umbral aprobado no es un control: es una pantalla.
El monitoreo del modelo, no solo de la infraestructura. Un sistema puede reportar 99,98 % de disponibilidad y llevar meses tomando peores decisiones. La disponibilidad mide que el sistema responde, no que sus decisiones sigan siendo correctas. Ningún monitoreo de seguridad convencional detecta la deriva estadística de un modelo.
La verificación de eficacia. El hallazgo más común en auditorías de sistemas de gestión: no conformidades «cerradas» sin evidencia posterior de que la métrica volvió al rango esperado y se mantuvo ahí.
La buena noticia: integrar, no superponer
ISO/IEC 42001 no es una capa adicional sobre lo que su organización ya opera. Es el punto donde convergen marcos que probablemente ya tiene: seguridad de la información (ISO 27001), privacidad y protección de datos, riesgo corporativo, compras y evaluación de proveedores, desarrollo y operación.
La norma extiende esos marcos para cubrir los riesgos propios de la IA: su política de seguridad empieza a contemplar ataques adversariales; su inventario de activos incorpora modelos, datos de entrenamiento y métricas; su evaluación de proveedores empieza a preguntar por gobernanza de IA, no solo por SLAs.
De ahí sale un criterio práctico: si al implementar la norma terminan con procesos duplicados y comités paralelos, la integración no ocurrió.
Y un punto que suele quedar fuera de la conversación técnica: revise los incentivos de quien supervisa. Si las metas del revisor premian volumen y no calidad, la supervisión humana no va a ocurrir por más procedimiento que se escriba. No es un problema de disciplina; es un problema de diseño del control.
Autodiagnóstico · 5 minutos
¿Qué tan lejos está su organización de ISO/IEC 42001?
Responda con lo que existe hoy y está documentado, no con lo que está planeado. El puntaje se calcula al instante.
Una sola pregunta para llevarse
Una supervisión que nunca cambia el resultado del sistema no es un control. Es un trámite. Si en su organización el humano siempre confirma lo que el modelo recomienda, eso no prueba que el modelo sea excelente; puede estar probando que nadie está revisando de verdad. Y esas dos situaciones se ven idénticas en un reporte, hasta el día en que dejan de verse idénticas: por un reclamo, un hallazgo o un titular.
ISO/IEC 42001 no resuelve esto por sí sola. Lo que hace es obligar a que cada afirmación sobre cómo se gobierna la IA tenga, detrás, algo que se pueda mostrar.
Así que la pregunta es esta: si mañana un auditor le pidiera la evidencia de que su supervisión humana ocurre, ¿qué le mostraría?
Asesoftware cuenta con certificaciones CMMI nivel 5 e ISO 27001. El caso del modelo de scoring es ilustrativo y no corresponde a ninguna organización real. Este autodiagnóstico es orientativo y no reemplaza una evaluación formal de conformidad.
Fuentes
- BSI, Axis Bank emerges as the first financial services institution globally to receive BSI’s ISO/IEC 42001 certification (febrero de 2026).
- SGS, Consumer bank becomes first in Indonesia to receive ISO/IEC 42001 certification (febrero de 2026).
- Garrigues, Perú aprueba el reglamento de la Ley que promueve el uso de la inteligencia artificial (Decreto Supremo N.º 115-2025-PCM).
- Baker McKenzie, Colombia: adoption of ISO/IEC 42001 standard (septiembre de 2025).
- Portafolio, Icontec proyecta crecer 7 % en 2026 mientras las certificaciones ambientales y de IA ganan terreno (2026).
- Gibson Dunn, EU AI Act Omnibus Agreement — Postponed High-Risk Deadlines and Other Key Changes (mayo de 2026).
AGENDE SU DIAGNÓSTICO ISO/IEC 42001
Cuéntenos qué modelos de IA operan hoy en su organización y le proponemos una sesión de 30 minutos sin costo: revisamos uno de ellos frente a los requisitos de ISO/IEC 42001 y le entregamos un resumen de brechas priorizadas. Si ya hizo el autodiagnóstico, mencione su puntaje en el mensaje.
