ISO 42001 e ISO 27001: cómo se complementan
Si tu empresa ya tiene ISO 27001 o se la está planteando, y ahora aparece la ISO 42001 por el empuje del AI Act, la duda es lógica: ¿son lo mismo?, ¿se solapan?, ¿tengo que hacer las dos? Esta guía explica en qué se diferencian, dónde coinciden y por qué tener una facilita mucho la otra.
¿Cuál es la diferencia entre ISO 42001 e ISO 27001?
La diferencia está en su objeto: ISO 27001 gestiona la seguridad de la información, mientras que ISO 42001 gestiona la inteligencia artificial. Una protege los datos y los sistemas frente a amenazas; la otra gobierna cómo se desarrolla y se usa la IA de forma responsable.
No compiten ni se sustituyen: cubren dominios distintos. Una empresa puede necesitar solo una, o las dos, según lo que haga.
Tabla comparativa ISO 42001 vs ISO 27001
| Aspecto | ISO 42001 | ISO 27001 |
|---|---|---|
| Qué gestiona | Inteligencia artificial (AIMS) | Seguridad de la información (SGSI) |
| Publicación | 2023 | Norma consolidada |
| Impulso principal | AI Act europeo | Exigencias de clientes y licitaciones |
| Enfoque | Gobernanza y riesgos de la IA | Confidencialidad, integridad, disponibilidad |
| Controles | Anexo A de la 42001 | Anexo A de la 27001 |
| Estructura | Alto nivel (HLS) | Alto nivel (HLS) |
¿En qué se solapan?
Se solapan en la estructura y en buena parte de los cimientos de gestión. Ambas comparten la estructura de alto nivel de ISO: contexto, liderazgo, planificación, evaluación de riesgos, documentación, auditoría interna y mejora continua. Esa arquitectura común es idéntica en las dos normas.
En la práctica, elementos como la política, los roles y responsabilidades, la gestión de proveedores, la gestión documental y el ciclo de mejora están presentes en ambas. Quien ya los tiene montados para una, los reutiliza en gran medida para la otra.
¿Tener ISO 27001 abarata la ISO 42001?
Sí, de forma notable. Una empresa con ISO 27001 implantada ya tiene la cultura de gestión, la mayor parte de la documentación base y los procesos de auditoría y mejora en marcha. La ISO 42001 se apoya sobre ese sistema y se concentra en lo específico de la IA: inventario de sistemas, riesgos algorítmicos, transparencia y supervisión humana.
El resultado es un proyecto más corto y más barato que partir de cero. Tienes los costes de cada una en cuánto cuesta la ISO 42001 y cuánto cuesta ISO 27001.
¿Cuál necesito, ISO 42001 o ISO 27001?
Depende de lo que haga tu empresa. Si tu prioridad es demostrar seguridad de la información a clientes y licitaciones, ISO 27001 es la base. Si desarrollas o integras IA de forma relevante y quieres prepararte para el AI Act, necesitas ISO 42001.
Para muchas pymes tech y empresas SaaS que hacen ambas cosas, lo eficiente es tener ISO 27001 como cimiento y añadir la ISO 42001 encima. El marco completo del bloque de IA está en la guía del AI Act e ISO 42001. Y si además vendes al sector público, mira cómo encaja con el ENS frente a ISO 27001.
Verlo en perfiles ayuda a decidir. Un SaaS de gestión documental sin componentes de IA propios necesita principalmente ISO 27001, y puede posponer la ISO 42001 hasta que incorpore funcionalidades de IA relevantes. Una startup que ha construido su producto entero alrededor de un modelo de IA propio (por ejemplo, un motor de recomendación o de análisis predictivo) necesita ambas casi desde el principio, porque tanto la seguridad de los datos como la gobernanza del modelo son centrales en su negocio. Y una empresa consolidada que ya tiene ISO 27001 y está incorporando IA generativa en su producto encaja en el caso más habitual: añadir la ISO 42001 sobre la base ya construida.
¿El alcance tiene que ser el mismo en las dos normas?
No, y es un matiz importante a la hora de planificar. El alcance de ISO 27001 suele ser amplio: toda la organización, o al menos todos los sistemas que manejan información relevante. El alcance de ISO 42001, en cambio, puede y suele ser más acotado: solo los sistemas de IA concretos que la empresa desarrolla o usa de forma significativa, no toda la organización por defecto.
Esto significa que una empresa puede tener ISO 27001 certificada a nivel de toda la compañía, y una ISO 42001 certificada solo sobre su producto de IA o sobre un departamento específico. No hay obligación de igualar los alcances, y de hecho forzarlos a coincidir cuando no tiene sentido de negocio suele encarecer el proyecto de ISO 42001 sin necesidad.
¿Cómo se integran ambas normas en un solo sistema de gestión?
Al compartir la estructura de alto nivel de ISO, es posible mantener ISO 27001 e ISO 42001 sobre un único sistema de gestión integrado, en lugar de llevarlas como dos proyectos paralelos y desconectados. Esto significa una sola política marco que cubra ambos ámbitos, un calendario de auditorías internas conjunto, y un equipo de gestión que revise periódicamente el desempeño de las dos normas a la vez en lugar de por separado.
La ventaja no es solo de eficiencia administrativa: un sistema integrado también reduce el riesgo de que las dos normas den mensajes contradictorios sobre cómo se gestionan datos o modelos que tocan ambos dominios, como ocurre con un sistema de IA que procesa información sensible.
Te ayudamos a decidir sin duplicar trabajo
Cuéntanos qué hace tu empresa y cuánta IA usa de verdad. Te decimos si necesitas ISO 27001, ISO 42001 o ambas, y si te conviene integrarlas en un único sistema de gestión desde el principio.
No. Gestionan dominios distintos: ISO 27001 la seguridad de la información e ISO 42001 la inteligencia artificial. Se complementan, no se reemplazan.
Sí, y es lo más eficiente si necesitas ambas. Comparten la estructura de alto nivel de ISO, de modo que se pueden mantener sobre un sistema de gestión común sin duplicar documentación ni procesos.
El ahorro es notable, sobre todo en la parte de estructura, documentación base y procesos de auditoría, que ya están montados. La ISO 42001 se concentra entonces en lo específico de la IA.
Si tu prioridad es la seguridad y las licitaciones, empieza por ISO 27001. Si tu urgencia es el AI Act y desarrollas IA de forma relevante, prioriza ISO 42001. Muchas empresas hacen ISO 27001 primero y la 42001 después.
En muchos casos sí, si están integradas en un solo sistema de gestión y coordinas los ciclos de auditoría de ambas. No es obligatorio, pero suele ahorrar tiempo y coste frente a llevar dos calendarios de auditoría completamente separados.