ISO 27090: qué es la nueva norma de seguridad para la IA
La ISO/IEC 27090 es la primera norma internacional que aborda de forma específica cómo se atacan los sistemas de inteligencia artificial y qué se puede hacer para detectarlo y frenarlo. Se publicó el 14 de octubre de 2026 como una guía técnica que se consulta, no como una norma certificable, y está pensada para complementar la ISO 27001 y la ISO 42001. Aquí tienes qué cubre exactamente, las amenazas que recoge y cómo encaja con las normas que quizá ya manejas.
Qué es la ISO 27090 (y qué no es)
La ISO/IEC 27090 es una guía de seguridad para sistemas de inteligencia artificial. Su objetivo es ayudar a las organizaciones a entender, detectar y mitigar las amenazas de seguridad propias de la IA a lo largo de todo el ciclo de vida de un sistema, desde los datos de entrenamiento hasta la operación en producción.
La prepara el comité ISO/IEC JTC 1/SC 27, el mismo que está detrás de la familia 27000 de seguridad de la información. Y ese origen explica su planteamiento: la 27090 parte de que la IA hereda todas las amenazas de la ciberseguridad clásica y, encima, suma las suyas propias. Por eso recomienda apoyarse en la ISO 27001 y la ISO 27002, y añadir sobre esa base la capa específica de la IA.
Conviene tener clara una cosa desde el principio. La 27090 no se certifica: no contiene requisitos auditables contra los que una entidad pueda emitir un certificado, como sí ocurre con la ISO 27001 o la ISO 42001. Es una referencia técnica que se aplica, no un sello que se obtiene. Lo que te da es un vocabulario común y un catálogo de amenazas con el que trabajar.
Cuándo se publicó y por qué ahora
La ISO/IEC 27090:2026 vio la luz en su primera edición el 14 de octubre de 2026, tras cuatro años de desarrollo que arrancaron en 2022. Llega para cubrir un hueco real: la ISO 27001 y la ISO 27002 protegen la información en general, pero no bajan al detalle de los ataques que son exclusivos de un modelo de IA.
Y esos ataques existen. Unos datos de entrenamiento manipulados, una entrada diseñada para engañar al modelo o la extracción de un modelo a base de consultas aparentemente legítimas son problemas que la seguridad tradicional no resuelve por completo. La 27090 los ordena, les pone nombre y explica cómo detectarlos y mitigarlos.
El momento no es casual. Con el Reglamento Europeo de IA ya en marcha y la ISO 42001 asentándose como el marco de gobierno de la IA, faltaba la pieza técnica de seguridad. La 27090 es esa pieza.
Las amenazas de IA que recoge la ISO 27090
El corazón de la norma es su catálogo de amenazas. Describe alrededor de una docena de tipos de ataque y compromiso específicos de la IA, e indica en cada caso a qué tipo de sistema afecta: generativa, predictiva o ambas. Es la parte que antes se vuelve útil, porque sirve directamente como punto de partida para un modelado de amenazas o para el registro de riesgos de cualquier sistema de IA. Estos son los principales:
| Amenaza | Qué hace | Afecta a |
|---|---|---|
| Envenenamiento de datos | Corrompe los datos de entrenamiento, también en aprendizaje continuo o en repositorios RAG | Ambas |
| Evasión | Altera la entrada para forzar una salida errónea, a veces de forma imperceptible | Predictiva |
| Inferencia de pertenencia | Averigua si un dato concreto estuvo en el entrenamiento | Ambas |
| Exfiltración de modelo | Recrea un modelo equivalente a base de consultas legítimas | Ambas |
| Inversión de modelo | Reconstruye datos de entrenamiento a partir de entradas y salidas | Ambas |
| Envenenamiento directo del modelo | Manipula el modelo sin tocar los datos: código del pipeline o modelo ya envenenado de un proveedor | Ambas |
| Inyección de prompts | Introduce instrucciones maliciosas en el prompt, directas o escondidas en fuentes externas | Generativa |
| Salida con datos sensibles | La respuesta del modelo revela datos sensibles del entrenamiento | Generativa |
| Salida con inyecciones | La respuesta incorpora XSS u otras inyecciones clásicas | Generativa |
| Robo directo de modelo | Copia pesos y parámetros entrando en el sistema | Ambas |
| Fuga de datos de entrenamiento | Acceso no autorizado a los datos de entrenamiento o de prueba | Ambas |
| Fuga de la entrada del modelo | Se filtra lo que el usuario envía al modelo | Ambas |
La norma añade además versiones de IA de ataques clásicos, como la denegación de servicio, los problemas de cadena de suministro o las puertas traseras, y dedica un apartado a los agentes de IA y al riesgo de darles demasiada autonomía.
Qué aporta de verdad: detección y mitigación
Más allá del catálogo, lo que distingue a la 27090 es que no se queda en listar ataques. Para cada uno explica cómo detectarlo y cómo mitigarlo, con un enfoque de zero trust: asumir que habrá brechas, verificar siempre de forma explícita y dar a cada componente el mínimo privilegio necesario, justo cuando lo necesita. Hay tres ideas que merece la pena retener:
- La detección es la condición previa. Muchos de estos ataques, como la exfiltración de un modelo, usan consultas que parecen legítimas y se confunden con el uso normal. Sin registro de actividad y análisis de patrones, sencillamente no los ves.
- La procedencia importa tanto como el control. Firmas criptográficas, repositorios verificados y formatos de pesos seguros, como safetensors, son parte de la defensa, sobre todo cuando el modelo viene de un tercero.
- Las mitigaciones no son gratis ni eternas. La propia norma reconoce que algunas medidas interfieren entre sí y que su eficacia se degrada con el tiempo. Es un detalle honesto que pocas guías admiten y que conviene tener presente al diseñar los controles.
Cómo encaja con la ISO 42001, la ISO 27001 y el AI Act
La 27090 no vive aislada. Está pensada para encajar con las normas que probablemente ya manejas.
Con la ISO 42001. La ISO 42001 es el sistema de gestión de IA certificable: define cómo gobierna tu organización la inteligencia artificial, con política, roles, evaluación de riesgos e impactos y mejora continua. La 27090 es el contenido técnico que la 42001 deja abierto cuando pide documentar las amenazas de seguridad específicas de la IA. La diferencia entre ambas la desarrollamos en nuestra comparativa de ISO 27090 e ISO 42001.
Con la ISO 27001. Si ya tienes un sistema de gestión de seguridad de la información, la 27090 es la guía para extender tu evaluación de riesgos y tu selección de controles a las amenazas de la IA. No montas un sistema paralelo: añades estas amenazas a tu registro de riesgos y a las justificaciones de tu declaración de aplicabilidad.
Con el AI Act. El Reglamento (UE) 2024/1689 exige, en su artículo 15, precisión, robustez y ciberseguridad para los sistemas de alto riesgo, y menciona de forma expresa ataques como el envenenamiento de datos o los ejemplos adversarios. La 27090 es justo la guía técnica que ayuda a responder a esa parte. Conviene recordar que el calendario del AI Act se movió con el Digital Omnibus (Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026): las obligaciones de alto riesgo del Anexo III se aplican desde el 2 de diciembre de 2027 y las del Anexo I desde el 2 de agosto de 2028.
Una matización que mucha gente pasa por alto: ni la ISO 42001 ni la 27090 son normas armonizadas del AI Act, así que certificarse no otorga presunción de conformidad legal. La primera norma armonizada es la EN 18286:2026, publicada el 14 de octubre de 2026. Con todo, la 42001 y la 27090 siguen siendo la mejor base para llegar preparado.
Y si trabajas con el marco del NIST, la pareja natural de la 27090 es la taxonomía de ataques de aprendizaje automático adversario (NIST AI 100-2), que acompaña al NIST AI Risk Management Framework.
¿Un cliente o un auditor ya te pregunta cómo aseguras tu IA? Esa conversación casi siempre termina en la ISO 42001, que es la que se certifica. Te dejamos listo para la auditoría en semanas. Cuéntanos tu caso.
Quién debería leerla en tu organización
La 27090 es más técnica que la 42001, pero eso no la convierte en lectura solo para el equipo de ofensiva. Casi todos los perfiles sacan algo, siempre que lean la parte que les toca.
- CISO y seguridad: qué amenazas de IA entran en el registro de riesgos y cuáles quedan fuera, con criterio.
- GRC y auditoría: argumentos para la declaración de aplicabilidad y las preguntas correctas para el equipo de datos.
- Arquitectura de seguridad: zero trust aplicado a la IA y segregación de entornos.
- ML y MLOps: las mitigaciones en el entrenamiento, su coste y sus interacciones.
- Ofensiva y red team: el catálogo de técnicas y los modelos de conocimiento del atacante.
- Privacidad y DPO: inferencia de pertenencia, inversión de modelo y salidas que filtran datos sensibles.
Si vienes de GRC y tienes poco tiempo, con la introducción, las tablas de amenazas y los apartados de inyección de prompts y privilegio mínimo tienes suficiente para mantener una conversación seria con el equipo técnico.
Qué hacer según tu punto de partida
El siguiente paso depende de dónde estés.
Si ya tienes ISO 27001, tienes la base construida. El paso natural, si trabajas con IA, es incorporar la orientación de la 27090 para cubrir las amenazas específicas y valorar la ISO 42001 si necesitas demostrar gobierno de la IA ante clientes o reguladores.
Si usas IA de terceros pero no desarrollas modelos propios, tu prioridad suele estar en el gobierno: saber qué sistemas usas, con qué datos y bajo qué riesgos. Ese es el terreno de la ISO 42001, sin descuidar las recomendaciones de la 27090 para ese uso.
Si desarrollas IA propia, necesitas las dos perspectivas desde el diseño: el gobierno del ciclo de vida de la 42001 y la protección técnica de la 27090, sobre una base sólida de seguridad de la información.
En los tres casos, la norma que convierte el trabajo interno en algo demostrable ante terceros es la ISO 42001, porque es la única certificable de las tres.
Cómo te ayuda Novaciber
La 27090 te dice qué proteger. Cuando un cliente, un contrato o un auditor te pide demostrarlo, la norma que lo acredita es la ISO 42001, y ahí es donde entramos.
En Novaciber dejamos a pymes y empresas tecnológicas listas para la auditoría de certificación de la ISO 42001 en semanas, no en meses. La integramos con la ISO 27001 si ya la tienes y tenemos en cuenta la seguridad de la 27090 para tus sistemas de IA. La certificación la emite una entidad independiente; nosotros te preparamos para la auditoría y, antes de que decidas, te pasamos tres ofertas de certificadoras para que veas el coste completo desde el principio.
Empezamos con una llamada de 20 minutos para ver tu punto de partida y decirte con franqueza por dónde empezar. Sin compromiso.
Preguntas frecuentes sobre la ISO 27090
¿Se puede certificar la ISO 27090?
No. Es una guía de seguridad que ofrece orientación para abordar las amenazas específicas de la IA, no un conjunto de requisitos auditables para emitir un certificado. La norma certificable del ecosistema de IA es la ISO 42001.
¿Cuándo se publicó la ISO 27090?
El 14 de octubre de 2026, en su primera edición, preparada por el comité ISO/IEC JTC 1/SC 27.
¿Qué amenazas cubre la ISO 27090?
Alrededor de una docena de ataques propios de la IA: envenenamiento de datos, evasión, inferencia de pertenencia, inversión y robo de modelo, inyección de prompts y fugas de datos de entrenamiento o de entrada, entre otros.
¿En qué se diferencia de la ISO 42001?
La ISO 42001 gobierna la IA a nivel de organización y se certifica. La ISO 27090 protege técnicamente los sistemas de IA frente a amenazas específicas y se aplica como guía.
¿Necesito la ISO 27001 para usar la 27090?
No es un requisito formal, pero la 27090 está pensada para complementar la ISO 27001 y la ISO 27002. Partir de una base sólida de seguridad de la información facilita mucho su aplicación.
¿La ISO 27090 sirve para cumplir el AI Act?
Ayuda con la parte de ciberseguridad del artículo 15, pero no es una norma armonizada, así que por sí sola no da presunción de conformidad.