Auditoría ISO 42001

El Anexo A de la ISO/IEC 42001:2023 contiene 38 controles objetivos organizados en 10 dominios. Durante la auditoría, el auditor verificará uno a uno los controles declarados aplicables en tu Statement of Applicability (SoA):

• Políticas, Organización Interna y Recursos (A.2, A.3 y A.4)
  En la auditoría se evalúa en primer lugar que la organización disponga de políticas específicas de IA aprobadas y comunicadas, las cuales deben guardar plena coherencia con la política de seguridad de la información y la protección de datos (como el RGPD o la ISO 27001). A nivel de organización interna, se verifica la definición clara de roles y responsabilidades para los perfiles que intervienen en la IA (científicos de datos, supervisores, responsables de cumplimiento), así como la existencia de canales internos estructurados para reportar incidencias, sesgos o dudas éticas. Asimismo, en cuanto a recursos, el auditor exige la presentación de un inventario actualizado de infraestructura, datos y herramientas de IA, junto con la evidencia de un plan de capacitación continua para garantizar la alfabetización en IA de todo el personal involucrado.

Análisis de Impacto y Ciclo de Vida del Sistema de IA (A.5 y A.6)
Respecto a la evaluación del impacto, el auditor requiere revisar el informe formal de Evaluación de Impacto de la IA (AI Impact Assessment), en el cual la empresa debe haber identificado y documentado los riesgos que sus sistemas de IA pueden generar sobre los derechos fundamentales, la salud, la seguridad, la privacidad o el bienestar social. En lo referente al ciclo de vida, se audita el flujo de desarrollo de principio a fin: desde la definición de requisitos de diseño e ingeniería hasta las fases de verificación y validación previa mediante pruebas de rendimiento y precisión. Además, se solicita evidencia de las metodologías utilizadas para desplegar los modelos en producción de forma segura y de los protocolos establecidos para la eventual retirada o desmantelamiento de aquellos sistemas que queden obsoletos.

Gestión de Datos para la IA (A.7)
El dominio centrado en los datos exige aportar evidencias directas sobre la calidad, representatividad y relevancia de los conjuntos de datos empleados en el entrenamiento, validación y prueba de los modelos, garantizando que no introduzcan sesgos discriminatorios sistemáticos. El auditor revisará también la procedencia y trazabilidad de los datos (data provenance), exigiendo acreditar la legitimidad legal y contractual para su uso, así como la correcta gestión de los derechos de propiedad intelectual. Igualmente, se debe documentar de forma clara el linaje de los datos (data lineage), reflejando todas las transformaciones, limpiados y preparaciones previas a las que han sido sometidos.

Transparencia, Explicabilidad y Supervisión Humana (A.8 y A.9)
En materia de transparencia, se comprueba que existan avisos y mecanismos claros para informar a los usuarios cuando están interactuando con un sistema de IA o cuando un contenido ha sido generado automáticamente, acompañados de documentación accesible que explique los criterios sobre los cuales el sistema toma decisiones (explicabilidad). En relación con el uso y supervisión humana, la empresa debe demostrar la existencia de manuales de operación clara y la implementación real de mecanismos de control humano (Human-in-the-loop o Human-on-the-loop), asegurando que los operadores internos cuenten con la capacidad técnica y la autoridad necesaria para intervenir, corregir, anular o detener en cualquier momento las decisiones automatizadas del modelo.

Gestión de Proveedores y Terceros (A.10)
Finalmente, el auditor examinará el control que la organización ejerce sobre proveedores de tecnología, modelos preentrenados (como LLMs) o componentes de IA de terceros. Para ello, es necesario presentar evaluaciones de riesgo específicas de dichos suministradores y mostrar cláusulas contractuales donde se fijen garantías explícitas sobre la calidad del servicio, el cumplimiento normativo, la seguridad, la confidencialidad de los datos compartidos y la prevención de sesgos.

Aplicación en la Declaración de Aplicabilidad (SoA)
Todos estos controles se auditan contrastándolos con la Declaración de Aplicabilidad (SoA) de la empresa. En este documento se justifica punto por punto qué controles del Anexo A son aplicables y cuáles se excluyen motivadamente (por ejemplo, por no desarrollar modelos propios y limitarse al consumo de servicios SaaS), aportando las muestras reales de funcionamiento que acreditan su cumplimiento práctico.