La conversación sobre inteligencia artificial en las organizaciones suele empezar por el lugar equivocado. Se discute qué herramienta contratar, qué modelo es mejor, cuánto se ahorra. Rara vez se discute quién decide, con qué criterio y qué ocurre cuando el sistema se equivoca.
ISO/IEC 42001, publicada en 2023, es la primera norma internacional certificable para un Sistema de Gestión de Inteligencia Artificial (AIMS por su sigla en inglés). Su aporte no es técnico: no dice cómo entrenar un modelo ni qué arquitectura elegir. Su aporte es de gobierno. Lleva al mundo de la IA la misma lógica de gestión, riesgos y mejora continua que ISO/IEC 27001 aportó a la seguridad de la información hace veinte años.
En los proyectos que venimos acompañando, el primer hallazgo es casi siempre el mismo, y no tiene que ver con la norma.
Nadie sabe cuánta IA hay adentro
Cuando inventariamos los usos de IA de una organización, el resultado sorprende a la propia Dirección. Aparecen tres capas.
La primera es la declarada: el proyecto que se aprobó en el comité, el proveedor que se contrató, el piloto del que todos hablan. Suele ser la capa más chica.
La segunda es la embebida: funcionalidades de IA que llegaron dentro de productos que ya se usaban. El CRM que ahora sugiere respuestas. La suite ofimática que resume reuniones. El antivirus que decide con un modelo. Nadie tomó la decisión de “adoptar IA”: llegó en una actualización, con el consentimiento implícito de un contrato firmado tres años antes.
La tercera es la adoptada por los equipos: la más difícil de ver y la que más riesgo concentra. Personas resolviendo su trabajo con herramientas que eligieron por su cuenta, pegando en un chat información que la organización clasificó como confidencial.
Ninguna política de IA sirve si se escribe antes de mirar estas tres capas. El inventario no es un trámite previo al proyecto: es el proyecto, durante las primeras semanas.
Lo que la norma pide, en cuatro planos
Leída sin ansiedad, ISO/IEC 42001 se ordena en cuatro planos.
Política y gobernanza. Definir principios de uso responsable, roles y responsabilidades, y —sobre todo— quién decide. Qué usos quedan habilitados sin autorización, cuáles requieren aprobación, cuáles están prohibidos y quién resuelve los casos que no encajan en ninguna categoría. Una política de IA que sólo enumera buenas intenciones no es un control.
Riesgos e impactos. Aquí está la diferencia más interesante respecto de ISO/IEC 27001. El SGSI evalúa el riesgo para la organización. El AIMS obliga además a evaluar el impacto sobre las personas: sesgo, explicabilidad, posibilidad de recurrir una decisión, supervisión humana efectiva. Son dos análisis distintos y no se sustituyen.
Ciclo de vida y datos. Gestionar el sistema de IA de extremo a extremo —diseño, datos de entrenamiento, validación, despliegue, monitoreo, retiro— con gobierno explícito sobre los datos que lo alimentan. Un modelo es tan trazable como los datos con los que se construyó.
Transparencia y control. Trazabilidad de las decisiones, rendición de cuentas, auditoría interna y mejora continua. Poder responder, seis meses después, por qué el sistema resolvió lo que resolvió.
La pregunta que ordena todo el proyecto
En la práctica, hay una sola pregunta que define cuánto rigor exige cada sistema de IA:
¿Este sistema incide en una decisión que afecta a una persona?
Un asistente que ayuda a redactar un correo interno y un modelo que decide si se otorga un crédito son, formalmente, “sistemas de IA”. Tratarlos con el mismo nivel de exigencia es un error en las dos direcciones: burocratiza lo trivial y subestima lo crítico.
Nosotros clasificamos los usos en tres niveles:
- Productividad interna sin efecto sobre terceros. Política de uso, formación y control sobre qué información puede ingresarse. Poco más.
- Apoyo a decisiones con revisión humana previa. Se agrega documentación del sistema, criterios de revisión y registro de las veces que la persona se apartó de la sugerencia. Ese registro es el que después demuestra que la supervisión humana era real y no decorativa.
- Decisiones con efecto directo sobre personas. Evaluación de impacto completa, análisis de sesgo, explicabilidad, mecanismo de reclamo y monitoreo continuo del comportamiento del modelo en producción.
La mayoría de las organizaciones uruguayas está hoy en los dos primeros niveles. Eso hace el proyecto mucho más abordable de lo que se teme.
Si ya tiene un SGSI, tiene la mitad hecha
ISO/IEC 42001 comparte con ISO/IEC 27001 la estructura de alto nivel: contexto, liderazgo, planificación, soporte, operación, evaluación del desempeño y mejora. En una organización con un SGSI vigente, se reutilizan sin cambios la política marco, la metodología de riesgos, la gestión de competencias, la auditoría interna y la revisión por la dirección.
Lo que se agrega es acotado y específico: el inventario de sistemas de IA, la evaluación de impacto sobre las personas, el gobierno del ciclo de vida y de los datos, y la gestión de proveedores de IA con cláusulas que hoy casi ningún contrato incluye.
En proyectos con SGSI certificado, el esfuerzo incremental del AIMS ronda un tercio de lo que costaría implantarlo desde cero. Es un argumento fuerte para no tratar la gobernanza de IA como una iniciativa separada.
El marco uruguayo
Dos referencias locales condicionan el diseño.
La Ley 18.331 de protección de datos personales y la normativa de la URCDP aplican íntegramente a los sistemas de IA que tratan datos personales, sin necesidad de una norma nueva. Legitimación del tratamiento, finalidad, proporcionalidad y derechos de los titulares no cambian porque la decisión la tome un modelo. Si el sistema incide sobre personas, esta es la primera revisión, antes que cualquier consideración sobre la norma ISO.
La Estrategia Nacional de Inteligencia Artificial impulsada desde AGESIC, con horizonte 2024–2030, ordena la política pública en la materia e incluye entornos controlados de prueba para casos de uso que requieren experimentación con supervisión. Para organizaciones que interactúan con el Estado, alinearse con ese marco tiene un valor práctico inmediato.
Por dónde empezar el lunes
No hace falta un proyecto formal para dar los dos primeros pasos, y son los que más despejan el panorama.
- Inventarie. Pregunte a cada área qué herramientas con IA usa, incluidas las que llegaron dentro de productos existentes y las que alguien adoptó por su cuenta. Sin sanción: el objetivo es ver el mapa real, y sólo se ve si nadie teme mostrarlo.
- Marque el límite de los datos. Una regla clara sobre qué información no puede ingresarse en una herramienta de IA externa resuelve, sola, buena parte de la exposición inmediata. Es una decisión de horas, no de meses.
Con esas dos cosas hechas, la discusión sobre certificar ISO/IEC 42001 deja de ser abstracta: ya se sabe qué habría que gobernar.
¿Quiere ubicar a su organización frente a ISO/IEC 42001? El diagnóstico de madurez inventaría los usos de IA y mide la brecha frente a la norma en pocas semanas.