ISO 27090 e ISO 42001: qué diferencia hay y por qué no compiten
La ISO 42001 y la ISO 27090 no son dos opciones entre las que elegir, ni una sustituye a la otra. La ISO/IEC 42001 es un sistema de gestión de IA certificable que responde a cómo gobierna tu organización el uso de la inteligencia artificial. La ISO/IEC 27090 es una guía de seguridad, no certificable, que orienta sobre cómo proteger tus sistemas de IA frente a amenazas específicas. En resumen: una gobierna la IA y la otra la protege, y lo habitual es necesitar las dos.
A partir de esa idea, en este artículo desglosamos qué es cada norma, en qué se diferencian punto por punto, y cómo encajan entre sí y con la ISO 27001 que probablemente ya conoces.
Qué es la ISO 42001: el gobierno de la IA
La ISO/IEC 42001, publicada en 2023, es un sistema de gestión de inteligencia artificial. En la práctica, es la norma que responde a la pregunta de cómo gobierna una organización el uso de la IA de principio a fin: qué política de IA tiene, cómo evalúa los riesgos y los impactos de los sistemas que desarrolla o utiliza, cómo asigna responsabilidades, y cómo mejora todo ese marco de forma continua.
Lo importante aquí es que la ISO 42001 es un sistema de gestión certificable, con la misma lógica que conoces de la ISO 27001 para seguridad de la información. Una entidad certificadora independiente puede auditar tu organización y emitir un certificado que acredita que tienes implantado un sistema de gestión de IA conforme a la norma. Es, por tanto, una herramienta de gobierno y de demostración de confianza ante clientes, reguladores y terceros, y cada vez más empresas la piden a sus proveedores que trabajan con IA.
Qué es la ISO 27090: la seguridad de los sistemas de IA
La ISO/IEC 27090 es una norma mucho más reciente: se encuentra en proceso de publicación en su primera edición a lo largo de 2026. Y aquí está la primera diferencia de peso que conviene entender bien: la ISO 27090 no es un sistema de gestión certificable, sino una guía de seguridad. Proporciona orientación, no requisitos auditables para emitir un certificado.
Su objeto es muy concreto: ayudar a las organizaciones a entender, detectar y mitigar las amenazas de seguridad específicas de los sistemas de inteligencia artificial a lo largo de todo su ciclo de vida. Hablamos de riesgos que la ciberseguridad tradicional no cubre del todo, como la manipulación de los datos de entrenamiento, los ataques adversariales diseñados para engañar a un modelo, o la extracción no autorizada de un modelo o de los datos con los que fue entrenado.
Dado que es tan nueva, conviene ser precisos: a día de hoy no puedes certificarte en ISO 27090, porque no es una norma de certificación. Lo que aporta es una referencia técnica de primer nivel para saber qué proteger y cómo, que puedes usar para reforzar tu seguridad tengas o no un sistema de gestión certificado.
La diferencia de fondo: gobierno de la IA frente a seguridad de la IA
Si tuviéramos que resumir la diferencia en una sola frase, sería esta: la ISO 42001 gobierna la IA, la ISO 27090 protege la IA.
La ISO 42001 adopta una perspectiva organizativa y de gobierno. Su pregunta de fondo es si tu organización está gestionando la IA de forma responsable, con políticas, roles, evaluación de impactos y mejora continua. Es una norma de gestión, y por eso se certifica.
La ISO 27090 adopta una perspectiva técnica y de seguridad. Su pregunta de fondo es si los sistemas de IA concretos que desarrollas o utilizas están protegidos frente a los ataques y compromisos que son propios de la IA, y no de cualquier software. Es una guía, y por eso se aplica, no se certifica.
Confundirlas lleva a errores prácticos: una organización puede estar perfectamente gobernada en términos de IA, con su sistema de gestión ISO 42001 implantado, y aun así tener modelos vulnerables a ataques específicos que la 42001 no entra a detallar. Y al revés: puede proteger técnicamente muy bien sus modelos siguiendo la orientación de la 27090 y carecer del marco de gobierno que exigen sus clientes o la normativa.
ISO 27090 frente a ISO 42001, punto por punto
| ISO/IEC 42001 | ISO/IEC 27090 | |
|---|---|---|
| Naturaleza | Sistema de gestión de IA | Guía de seguridad para sistemas de IA |
| Certificable | Sí, por entidad acreditada | No, es orientación, no requisitos |
| Año | Publicada en 2023 | En publicación durante 2026 |
| Enfoque | Gobierno y gestión de la IA | Amenazas de seguridad propias de la IA |
| Pregunta que responde | ¿Gestiono la IA de forma responsable? | ¿Protejo mis sistemas de IA de ataques? |
| Se relaciona con | Marco general de gestión, estilo ISO 27001 | Complementa a ISO 27001 e ISO 27002 |
Si lo que necesitas es demostrar ante un cliente o un regulador que gobiernas la IA de forma responsable, la norma que te interesa es la certificable: la ISO 42001. En Novaciber acompañamos ese proceso de principio a fin, desde el diagnóstico inicial hasta la certificación en ISO 42001. Si quieres saber si tu organización está lista, podemos revisarlo en una primera llamada sin compromiso.
Cómo encajan juntas, y con la ISO 27001
La clave que se pierde en la mayoría de comparaciones es que estas normas no están pensadas para competir, sino para complementarse, y lo hacen apoyándose además en la base que ya conoces de seguridad de la información.
La ISO 27090 complementa expresamente a la ISO 27001 y a la ISO 27002. La ISO 27001 establece el sistema de gestión de seguridad de la información, la ISO 27002 detalla los controles de seguridad, y la ISO 27090 añade la capa específica que esos dos marcos no cubren con detalle: las amenazas propias de los sistemas de inteligencia artificial. Dicho de otro modo, la 27090 ayuda a entender dónde los controles de seguridad clásicos siguen siendo válidos y dónde hacen falta medidas adicionales para los datos, los modelos y los flujos de trabajo de la IA.
La ISO 42001, por su parte, aporta el paraguas de gobierno que sitúa todo lo anterior dentro de una gestión responsable de la IA a nivel de organización. Si quieres profundizar en cómo encaja la ISO 42001 con la ISO 27001 que quizá ya tengas, lo vemos en detalle en nuestra guía sobre ISO 42001 e ISO 27001. Una forma útil de verlo es esta: la ISO 42001 decide y documenta qué IA usas, con qué controles y bajo qué responsabilidades; la ISO 27090 te dice cómo proteger técnicamente esa IA frente a sus amenazas específicas; y la ISO 27001 sostiene por debajo todo el marco de seguridad de la información en el que ambas se apoyan.
Las tres, trabajando juntas, cubren el gobierno, la seguridad específica de la IA y la seguridad de la información general. No hay que elegir una, hay que entender qué papel juega cada una.
Qué debería hacer tu organización según tu punto de partida
El punto de partida determina por dónde empezar, y aquí es donde conviene aterrizar la teoría.
Si tu organización ya tiene un sistema de gestión de seguridad de la información maduro, por ejemplo con ISO 27001, tienes la base construida y el siguiente paso natural, si trabajas con IA, es incorporar la orientación de la ISO 27090 para cubrir las amenazas específicas, y valorar la ISO 42001 si necesitas demostrar gobierno de la IA ante clientes o reguladores.
Si utilizas IA de terceros pero no desarrollas modelos propios, tu prioridad suele estar más en el lado del gobierno: entender qué sistemas de IA usas, con qué datos y bajo qué riesgos, que es precisamente el terreno de la ISO 42001, sin descuidar las recomendaciones de seguridad de la 27090 para el uso que haces de esos sistemas.
Y si desarrollas IA propia, necesitas ambas perspectivas desde el diseño: el gobierno responsable del ciclo de vida que plantea la ISO 42001 y la protección técnica frente a amenazas específicas que orienta la ISO 27090, todo ello sobre una base sólida de seguridad de la información.
En cualquiera de los tres escenarios, el nexo común es la ISO 42001 como marco de gobierno certificable. Es la norma que convierte un buen trabajo interno en algo demostrable ante terceros, y la que más nos piden las empresas que quieren trabajar con IA sin perder la confianza de sus clientes.
Cómo te ayuda Novaciber
En Novaciber ayudamos a pymes y empresas tecnológicas a implantar y certificar la ISO 42001, integrándola con la ISO 27001 cuando ya existe y teniendo en cuenta la orientación de seguridad de la ISO 27090 para los sistemas de IA. Nuestro enfoque es el mismo que aplicamos en el resto de certificaciones: un diagnóstico inicial honesto de tu punto de partida, un plan de trabajo realista y acompañamiento hasta la auditoría de certificación.
Si estás valorando la ISO 42001, o simplemente quieres entender qué combinación de estas normas encaja mejor con el punto en el que está tu organización, podemos verlo juntos en una primera llamada sin compromiso.
Preguntas frecuentes sobre ISO 27090 e ISO 42001
No. La ISO 27090 es una guía de seguridad que ofrece orientación para abordar las amenazas específicas de los sistemas de IA, no un conjunto de requisitos auditables para emitir un certificado. La que sí es certificable es la ISO 42001.
La ISO 42001 aborda el gobierno y la gestión responsable de la IA a nivel de organización, pero no entra en el detalle técnico de las amenazas de seguridad específicas de los modelos. Ese detalle es precisamente lo que aporta la ISO 27090.
No es un requisito formal, pero la ISO 27090 está pensada para complementar a la ISO 27001 y a la ISO 27002. Tener una base de seguridad de la información sólida facilita mucho aprovechar su orientación.
No, son complementarias. Una gobierna el uso de la IA en la organización y la otra protege técnicamente los sistemas de IA frente a amenazas específicas. Lo habitual, si trabajas con IA en serio, es necesitar las dos perspectivas.
La única certificable de las dos es la ISO 42001, así que es la que se certifica. La ISO 27090 se aplica como guía técnica de seguridad, no se certifica. Si trabajas con IA y necesitas demostrar gobierno responsable ante clientes o reguladores, la ISO 42001 es el punto de partida.