Gobernanza y control del uso de IA

ISO/IEC 42001 en Argentina: cómo gestionar y demostrar el control de la IA

Guía de ISO/IEC 42001 en Argentina: sistema de gestión de IA (SGIA), riesgos, impacto, información documentada, proveedores y supervisión humana.

Por Jorge Eduardo Peralta · Publicado el 25 de octubre de 2026

Sistema de Gestión de Inteligencia Artificial (SGIA)

Qué establece ISO/IEC 42001:2023

Es la norma internacional que especifica requisitos para establecer, implementar, mantener y mejorar un sistema de gestión de inteligencia artificial. Puede ser pertinente para organizaciones que desarrollan, suministran o utilizan productos o servicios basados en IA. Un SGIA ordena políticas, responsabilidades, riesgos, controles, resultados y mejora; no consiste en instalar una herramienta ni en redactar un documento aislado.

Para las empresas usuarias, especialmente las que contratan proveedores externos, lo importante es poder identificar qué sistemas intervienen, para qué tareas, quién autoriza su uso, cómo se evalúan los riesgos y qué evidencia queda disponible ante una revisión.

Empresas que ya utilizan IA

Conviene distinguir usos autorizados, usos informales y servicios de terceros. El inventario de herramientas es útil únicamente si se conecta con procesos, datos, responsables y decisiones.

Dirección y áreas de riesgos

Necesitan conocer la exposición real antes de autorizar nuevas funciones, ampliar operaciones o aceptar controles declarados por un proveedor.

Calidad, cumplimiento y auditoría interna

Pueden necesitar información documentada y evaluación de resultados, pero una auditoría interna o una evaluación especializada no equivalen a la certificación de un SGIA.

Compras y contratación de IA

Deben interpretar límites del sistema, información ofrecida por terceros, dependencia operativa, cambios de versión y posibilidades de obtener evidencia sin aceptar afirmaciones comerciales como demostración suficiente.

Vocabulario empresarial

Seis expresiones que conviene comprender

Evaluación del riesgo de la IA

Identifica escenarios de incertidumbre y consecuencias, para orientar decisiones de tratamiento. No debe confundirse automáticamente con una evaluación del impacto de sistemas de IA.

Evaluación del impacto

Examina efectos previsibles o reales de un sistema de IA sobre personas, grupos, organizaciones u otros ámbitos pertinentes. Puede complementar la evaluación del riesgo.

Verificación y validación

Comprobaciones relacionadas con requisitos especificados y adecuación al uso previsto. Ninguna por sí sola implica certificar la organización.

Información documentada

Políticas, procedimientos y registros mantenidos o conservados para gestionar procesos y acreditar controles. Registrar más datos no equivale a controlar mejor.

Supervisión humana

Participación efectiva de personas con capacidad de examinar resultados, corregir, escalar o detener decisiones en función del riesgo de cada tarea.

Evaluación de proveedores externos

Contraste de capacidades, límites, datos, responsabilidades, documentación, cambios y controles de servicios que utilizan IA, antes o después de contratar.

Decisiones y usos concretos

Qué significa para estudios jurídicos y aseguradoras

En un estudio jurídico o área legal, las preguntas incluyen qué información se ingresa a la herramienta, si las fuentes pueden contrastarse, quién valida un resultado y cómo se conserva evidencia de la revisión profesional. En aseguradoras, estas preguntas alcanzan también los procesos de siniestros, proveedores tecnológicos, evaluaciones asistidas y excepciones que requieren decisión humana.

El uso de una misma plataforma puede tener consecuencias distintas según la tarea. Por eso los controles no deben elegirse únicamente por el nombre de la tecnología, ni copiarse sin análisis de contexto. Además, el cumplimiento de una norma voluntaria no sustituye obligaciones jurídicas o contractuales sectoriales.

Riesgo e impacto

¿Por qué conviene analizarlos por separado? Guía con ejemplos empresariales.

Evidencia y revisión humana

¿Cómo demostrar que las decisiones se revisaron efectivamente? Información documentada y supervisión.

Proveedores externos de IA

¿Cómo revisar una herramienta o servicio antes de depender de él? Evaluación independiente de proveedores.

Glosario de términos

¿Qué significa SGIA, registro de eventos o evaluación de brechas? Consultar las definiciones.

Conformidad y certificación

Qué no significa prepararse para ISO/IEC 42001

ISO/IEC 42001 no es una ley argentina que obligue automáticamente a todas las empresas a certificarse. La aplicación práctica, los compromisos contractuales y las obligaciones legales varían según sector y jurisdicción. Una evaluación independiente de proveedores o de controles puede aportar insumos a la preparación de una organización, pero no constituye por sí misma una auditoría certificante, una acreditación ni una declaración de conformidad global.

Antes de utilizar la expresión «alineado con ISO/IEC 42001», corresponde delimitar alcance y demostrar una correspondencia documentada de los controles examinados. No usamos el trabajo técnico personal realizado en espacios de normalización como aval institucional de Tracewarden.

Referencias públicas

Fuentes y alcance de esta guía

Esta publicación es análisis independiente. No reproduce documentos de trabajo de organismos de normalización ni representa una certificación, aval o interpretación oficial de IRAM, ISO o IEC.

Antes de incorporar o ampliar el uso de IA

¿Qué necesita comprobar su organización?

Tracewarden realiza evaluaciones delimitadas de controles, proveedores y evidencia del uso de inteligencia artificial. No sustituye una certificación de un Sistema de Gestión de IA.

Describir el proceso Evaluar proveedores de IA

Contacto inicial por escrito. No envíe documentación confidencial.

Un enfoque independiente y verificable

La evidencia disponible determina el alcance y el nivel de certeza de cada conclusión. Evaluar brechas no significa emitir certificados de conformidad.