informe técnico
ISO/IEC 27090: la nueva norma para proteger sistemas de IA
En octubre de 2026 se publicó la primera norma internacional de la familia 27000 dedicada a proteger los sistemas de IA frente a ataques específicos: envenenamiento de datos, robo de modelos, inyección de prompts. Esta nota de 4 páginas resume qué cubre, qué no, cómo encaja con las normas que ya conocés y los cinco primeros pasos.
- Páginas
- 4
- Formato
- Idioma
- Español
- Costo
- Sin costo
Qué contiene
- La ficha completa de la norma: publicada el 14/10/2026, 56 páginas, guía no certificable del mismo comité que mantiene la familia 27000.
- Por qué la ciberseguridad tradicional no alcanza: los datos son parte del código y el acceso legítimo puede ser el vector.
- Las nueve amenazas que cubre, del envenenamiento de datos a las salidas con inyección, con qué compromete cada una.
- Cómo encaja con ISO/IEC 27001, 27002 y 42001: la pieza técnica que las normas de gestión no desarrollan.
- Lo que la norma no hace: no es certificable, no trata la IA defensiva y no garantiza inmunidad.
- Los cinco primeros pasos para empezar sin esperar a tener la norma en la mano.
- El cruce con la protección de datos personales (Ley 18.331) cuando los modelos tocan datos de personas.
Para quién es
- Responsables de seguridad de la información con SGSI 27001 cuyo alcance ya incluye (o va a incluir) sistemas de IA.
- Organizaciones que avanzan hacia ISO/IEC 42001 y necesitan la capa técnica de seguridad.
- Equipos de desarrollo y datos que integran modelos propios o de terceros en productos y procesos.