La inteligencia artificial ya está dentro de los sistemas de gestión, aunque muchas organizaciones no lo hayan formalizado: un coordinador de calidad que pide a un asistente generativo un borrador de procedimiento, un ingeniero que usa un modelo para clasificar quejas de clientes, un auditor interno que resume evidencias con una herramienta en línea. La pregunta ya no es si usar inteligencia artificial aplicada a sistemas de gestión ISO, sino cómo hacerlo sin perder control de la información documentada, sin filtrar datos confidenciales y sin que el auditor de certificación encuentre decisiones que nadie puede explicar.
Esta guía está escrita para gerentes de calidad, responsables de sistemas integrados, directores de TI y líderes de mejora continua en México. Cubre dos frentes complementarios: cómo usar la IA para hacer más eficiente un sistema de gestión (documentación, riesgos, indicadores, auditorías) y cómo gobernar la propia IA con ISO/IEC 42001:2023 e ISO/IEC 23894:2023. Al terminar sabrás qué cláusulas tocan, qué evidencia pide el auditor y qué errores evitar.
Dos caras de la inteligencia artificial en los sistemas de gestión ISO
Conviene separar desde el inicio dos conversaciones que suelen mezclarse:
IA como herramienta del sistema
Usas modelos para redactar borradores, analizar datos de proceso, clasificar no conformidades, detectar tendencias o preparar auditorías. La IA apoya tu SGC, SGA, SGSST o SGSI, y debe controlarse como cualquier recurso o proceso externo.
IA como objeto del sistema
Desarrollas, integras o usas sistemas de IA que afectan a clientes, trabajadores o terceros. Aquí aplica un sistema de gestión de IA (SGIA) conforme a ISO/IEC 42001:2023, con evaluación de riesgos e impacto específica.
Una manufacturera que solo usa asistentes generativos para documentar su SGC necesita reglas de uso y controles dentro de su sistema existente. Una empresa de software que vende un producto con un modelo de recomendación o de calificación crediticia necesita, además, gobernar el ciclo de vida de ese sistema de IA. En ambos casos, la responsabilidad sobre el resultado sigue siendo de la organización, no de la herramienta.
Marco normativo: ISO/IEC 42001, ISO/IEC 23894 y normas relacionadas
ISO/IEC 42001:2023 es la primera norma certificable de sistemas de gestión de inteligencia artificial. Sigue la Estructura Armonizada (cláusulas 4 a 10), por lo que se integra con ISO 9001, ISO/IEC 27001 o ISO/IEC 20000-1. Su Anexo A contiene 38 controles organizados en nueve objetivos (A.2 a A.10): políticas de IA, organización interna, recursos, evaluación de impactos, ciclo de vida del sistema de IA, datos, información para partes interesadas, uso de sistemas de IA y relaciones con terceros y clientes. El Anexo B da orientación de implementación, el Anexo C enumera objetivos y fuentes de riesgo, y el Anexo D trata su aplicación por sectores.
ISO/IEC 23894:2023 es una guía (no certificable) de gestión del riesgo de IA construida sobre ISO 31000:2018. Adapta principios, marco y proceso de riesgo a las particularidades de la IA: opacidad, dependencia de datos, aprendizaje continuo, sesgo y efectos sobre personas y sociedad.
| Referencia | Naturaleza | Qué aporta |
|---|---|---|
| ISO/IEC 42001:2023 | Requisitos certificables | Sistema de gestión de IA, evaluación de riesgos e impacto, 38 controles del Anexo A |
| ISO/IEC 23894:2023 | Guía | Proceso de gestión del riesgo de IA alineado con ISO 31000 |
| ISO/IEC 22989:2022 | Conceptos y terminología | Vocabulario común: modelo, entrenamiento, sesgo, explicabilidad |
| ISO/IEC 42005:2025 | Guía | Evaluación de impacto de sistemas de IA sobre personas y sociedad |
| ISO/IEC 38507:2022 | Guía de gobernanza | Implicaciones del uso de IA para el órgano de gobierno |
| ISO/IEC 27001:2022 | Requisitos certificables | Seguridad de la información de datos, modelos y servicios en la nube |
| Reglamento (UE) 2024/1689 (Ley de IA de la Unión Europea) | Regulación | Obligaciones por nivel de riesgo para quienes comercializan IA en la UE |
| Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20-03-2025) | Ley mexicana | Licitud del tratamiento, deber de seguridad y avisos de privacidad |
En México no hay, a la fecha de esta guía, una ley federal específica de inteligencia artificial vigente; existen iniciativas legislativas cuyo avance conviene vigilar como parte de tus requisitos legales (§4.2). Mientras tanto, el uso de IA ya está sujeto a la legislación de datos personales, propiedad intelectual, protección al consumidor y laboral. Si exportas productos o servicios con IA a la Unión Europea, el Reglamento (UE) 2024/1689 puede alcanzarte como proveedor.
Requisito normativo: evaluación de impacto del sistema de IA
ISO/IEC 42001:2023 §6.1.4 exige un proceso para evaluar las consecuencias potenciales que el desarrollo, suministro o uso de un sistema de IA puede tener sobre personas, grupos y sociedad. Es distinto de la evaluación de riesgos para la organización (§6.1.2): aquí la pregunta es a quién puede dañar el sistema, no solo cuánto le cuesta a la empresa. Sus resultados alimentan el tratamiento de riesgos y deben conservarse como información documentada (§8.4).
Dónde aporta la IA dentro de un sistema de gestión ISO
La IA no sustituye el juicio técnico ni la responsabilidad del dueño del proceso, pero reduce el tiempo de tareas repetitivas y amplía la capacidad de análisis. Estos son los usos con mejor relación beneficio-riesgo que vemos en sistemas de gestión:
| Proceso | Uso de IA | Cláusula de referencia | Control mínimo |
|---|---|---|---|
| Información documentada | Borradores de procedimientos, instructivos y formatos a partir del proceso real | ISO 9001 §7.5.2, §7.5.3 | Revisión y aprobación por persona competente antes de liberar |
| Riesgos y oportunidades | Propuesta de escenarios de riesgo, AMEF preliminar, identificación de peligros | ISO 9001 §6.1; ISO 45001 §6.1.2 | Validación en sesión multidisciplinaria; la IA no asigna calificaciones finales |
| Quejas y no conformidades | Clasificación automática, detección de recurrencias, sugerencia de causas | ISO 9001 §9.1.2, §10.2 | Muestreo periódico de clasificaciones; análisis de causa por el equipo |
| Indicadores y análisis de datos | Detección de tendencias, anomalías y correlaciones en datos de proceso | ISO 9001 §9.1.3 | Trazabilidad de datos fuente y verificación estadística de conclusiones |
| Auditoría interna | Preparación de listas de verificación, resumen de evidencias, redacción de hallazgos | ISO 9001 §9.2; ISO 19011:2018 | El auditor verifica la evidencia objetiva; la IA no emite hallazgos |
| Conocimiento de la organización | Asistentes que responden con base en documentos controlados | ISO 9001 §7.1.6 | Fuente restringida a la versión vigente; respuestas con referencia al documento |
| Competencia y toma de conciencia | Material de capacitación, evaluaciones y simulaciones | ISO 9001 §7.2, §7.3 | Validación del contenido técnico por el responsable del proceso |
Un documento generado por IA sin revisión es una no conformidad esperando a ser encontrada
Los modelos generativos pueden producir texto convincente con requisitos inexistentes, cláusulas mal numeradas o pasos que no corresponden a tu proceso. Si un procedimiento se libera sin revisión competente, el auditor encontrará diferencias entre lo escrito y lo que hace el personal, y eso incumple ISO 9001 §7.5.2 (revisión y aprobación) y §8.1 (control operacional).
Requisitos clave de ISO/IEC 42001 y evidencia que pide el auditor
Si tu organización desarrolla, provee o usa sistemas de IA con impacto relevante, ISO/IEC 42001 te da un marco certificable. Los organismos que certifican este esquema deben cumplir ISO/IEC 17021-1 e ISO/IEC 42006:2025. Esta es la evidencia que suelen pedir:
| Requisito | Qué verifica el auditor | Evidencia aceptable |
|---|---|---|
| §4.1 Contexto y rol frente a la IA | Que la organización determine si es proveedora, productora, usuaria o socia de IA | Análisis de contexto con roles por sistema de IA |
| §4.3 Alcance | Sistemas de IA cubiertos y límites | Inventario de sistemas de IA con dueño y propósito |
| §5.2 Política de IA (A.2) | Principios de uso responsable aprobados por la dirección | Política de IA ligada a objetivos y a otras políticas (seguridad, privacidad) |
| §6.1.2 Evaluación de riesgos de IA | Criterios definidos y riesgos por sistema | Metodología basada en ISO/IEC 23894; matriz con dueños y tratamiento |
| §6.1.3 Tratamiento y Declaración de Aplicabilidad | Coherencia entre riesgos y controles del Anexo A | SoA con justificación de inclusión y exclusión de los 38 controles |
| §6.1.4 Evaluación de impacto | Efectos sobre personas, grupos y sociedad | Evaluaciones por sistema, con revisión ante cambios significativos |
| A.6 Ciclo de vida del sistema de IA | Requisitos, diseño, verificación, validación, despliegue y monitoreo | Expedientes técnicos, criterios de aceptación, registros de pruebas |
| A.7 Datos para sistemas de IA | Calidad, procedencia y preparación de datos | Registro de fuentes, criterios de calidad, controles de sesgo |
| A.8 Información para partes interesadas | Transparencia hacia usuarios y afectados | Documentación para usuarios, avisos de uso de IA, canal de reporte |
| A.10 Terceros y clientes | Responsabilidades con proveedores de modelos y clientes | Contratos, evaluación de proveedores de IA, asignación de responsabilidades |
| §9.2 / §9.3 Auditoría interna y revisión por la dirección | Ciclo completo del SGIA | Programa, informes, acta con decisiones sobre riesgos de IA |
Gestión del riesgo de IA con ISO/IEC 23894 paso a paso
ISO/IEC 23894:2023 sigue el proceso de ISO 31000 (alcance, contexto y criterios; identificación, análisis y evaluación; tratamiento; seguimiento; comunicación y registro) y añade fuentes de riesgo propias de la IA. Esta secuencia funciona tanto para un SGIA completo como para controlar el uso de IA dentro de un SGC:
- Inventaria los sistemas y herramientas de IA. Incluye las herramientas generativas que el personal usa por su cuenta. Para cada una registra propósito, dueño, datos que procesa, proveedor y si toma o apoya decisiones.
- Define tu rol en cada caso. No es lo mismo desarrollar un modelo que consumir un servicio de terceros. ISO/IEC 22989 distingue proveedor, productor, cliente y sujeto de la IA; el rol define qué controles aplican.
- Establece criterios de riesgo e impacto. Agrega a tus escalas habituales dimensiones como equidad, transparencia, privacidad, seguridad de las personas y efecto en derechos de trabajadores o clientes.
- Identifica fuentes de riesgo específicas. Datos de entrenamiento sesgados o desactualizados, falta de explicabilidad, degradación del modelo en el tiempo, alucinaciones, dependencia excesiva del usuario, fuga de información confidencial en indicaciones, uso fuera del propósito previsto.
- Analiza y evalúa. Combina probabilidad e impacto según tus criterios. Para sistemas que afectan a personas, la evaluación de impacto (§6.1.4, con apoyo de ISO/IEC 42005) es obligatoria en un SGIA.
- Selecciona controles. Supervisión humana, validación de salidas, restricción de datos permitidos, registros de uso, pruebas de sesgo, monitoreo de desempeño, criterios de retiro del sistema. Contrasta con el Anexo A de ISO/IEC 42001.
- Monitorea y revisa. Los modelos cambian, los proveedores actualizan versiones y el uso evoluciona. Revisa riesgos ante cada cambio significativo y al menos una vez al año.
Consejo de auditor
Empieza por una política de uso aceptable de IA generativa: qué herramientas están autorizadas, qué información nunca debe ingresarse (datos personales, secretos industriales, información de clientes), quién revisa las salidas y cómo se registra su uso en documentos controlados. Es el control de mayor impacto con menor esfuerzo.
Ejemplo resuelto: IA en el SGC de una empresa de autopartes
Ejemplo aplicado: "Componentes Precisos del Bajío", 320 personas, certificada en ISO 9001 e IATF 16949
Contexto. Empresa ficticia que maquina componentes para frenos. El área de calidad empezó a usar un asistente generativo para redactar instructivos y un modelo de clasificación para agrupar reclamaciones de clientes por modo de falla. Antes de la auditoría de vigilancia, la dirección pidió formalizar estos usos.
Inventario. Tres herramientas: asistente generativo corporativo (con acuerdo de no uso de datos para entrenamiento), clasificador de reclamaciones desarrollado internamente y una herramienta gratuita en línea que dos ingenieros usaban por su cuenta.
Evaluación de riesgos (P × I, escala 1–5; tratamiento obligatorio ≥ 10).
| Riesgo | P | I | Nivel | Control | Residual |
|---|---|---|---|---|---|
| Instructivo generado con parámetro de torque incorrecto liberado a piso | 3 | 5 | 15 | Revisión obligatoria del ingeniero de manufactura contra plano y plan de control; campo "generado con apoyo de IA" en el control de cambios | 1 × 5 = 5 |
| Reclamación mal clasificada que oculta una recurrencia | 3 | 4 | 12 | Muestreo mensual de 10 % de clasificaciones; revisión humana obligatoria de toda reclamación de seguridad | 2 × 3 = 6 |
| Planos de cliente cargados en herramienta gratuita sin acuerdo de confidencialidad | 4 | 4 | 16 | Bloqueo de la herramienta, política de uso aceptable, capacitación y declaración firmada | 1 × 4 = 4 |
Resultado. Se emitió un procedimiento de uso de IA dentro del SGC, se actualizó la matriz de competencias para incluir la revisión de contenidos generados y se añadió el clasificador como recurso de seguimiento (§7.1.5) con verificación periódica de su exactitud. En la auditoría de vigilancia, el auditor revisó tres instructivos al azar y su registro de revisión, sin hallazgos. Las cifras son ilustrativas.
El punto clave del ejemplo: la IA no se trató como algo ajeno al sistema, sino como un recurso más, con dueño, control, verificación y registro. Esa es la lógica que cualquier auditor entiende.
Indicadores para el uso de IA en sistemas de gestión
Medir el desempeño de la IA dentro del sistema permite demostrar que está bajo control (§9.1). Ajusta los umbrales a tu contexto:
| Indicador | Fórmula | Criterio sugerido (ajústalo) | Referencia |
|---|---|---|---|
| Documentos generados con IA revisados antes de liberar | Documentos con registro de revisión ÷ documentos generados con IA | 100 % | ISO 9001 §7.5.2 |
| Exactitud del clasificador | Clasificaciones correctas en muestreo ÷ muestra revisada | Definida por el dueño del proceso, p. ej. ≥ 90 % | ISO/IEC 42001 A.6 |
| Herramientas de IA inventariadas y autorizadas | Herramientas autorizadas ÷ herramientas detectadas en uso | 100 % | ISO/IEC 42001 §4.3, A.4 |
| Evaluaciones de impacto vigentes | Sistemas con evaluación revisada en 12 meses ÷ sistemas en alcance | 100 % | ISO/IEC 42001 §6.1.4 |
| Personal capacitado en uso responsable de IA | Usuarios capacitados ÷ usuarios autorizados | 100 % | ISO/IEC 42001 §7.2, §7.3 |
| Incidentes relacionados con IA | Número de eventos (fuga, salida errónea liberada, sesgo detectado) | Tendencia decreciente; cada evento con análisis de causa | §10.2 |
Hallazgos típicos de auditoría relacionados con IA
Estos son los hallazgos que empiezan a repetirse en auditorías de sistemas de gestión donde la IA se usa sin formalizar, y en auditorías de ISO/IEC 42001:
| Hallazgo | Cláusula | Corrección y acción correctiva |
|---|---|---|
| Procedimiento liberado con requisitos que no corresponden al proceso real, redactado con IA sin revisión | ISO 9001 §7.5.2, §8.1 | Retirar y corregir; incorporar revisión competente obligatoria y registro en el control de cambios |
| Información confidencial de clientes ingresada en herramientas públicas | ISO/IEC 27001:2022 A 5.14, 5.34; ISO 9001 §8.5.3 | Política de uso aceptable, herramientas autorizadas con acuerdos contractuales, capacitación |
| Inventario de sistemas de IA incompleto: no incluye herramientas de uso individual | ISO/IEC 42001 §4.3, A.4 | Levantamiento con TI y áreas usuarias; revisión periódica de herramientas en uso |
| Evaluación de riesgos de IA idéntica a la de seguridad de la información, sin riesgos de sesgo ni explicabilidad | ISO/IEC 42001 §6.1.2 | Ampliar criterios con fuentes de riesgo de ISO/IEC 23894 y Anexo C de ISO/IEC 42001 |
| Sin evaluación de impacto para un sistema que decide sobre personas | ISO/IEC 42001 §6.1.4, §8.4 | Realizar evaluación de impacto apoyada en ISO/IEC 42005 y revisar controles |
| Modelo en producción sin monitoreo de desempeño ni criterio de retiro | ISO/IEC 42001 A.6 | Definir métricas, umbrales, responsable de revisión y procedimiento de retiro o reentrenamiento |
| Contrato con proveedor de modelo sin cláusulas sobre uso de datos ni responsabilidades | ISO/IEC 42001 A.10; ISO 9001 §8.4 | Evaluar al proveedor y renegociar cláusulas de datos, confidencialidad y soporte |
Checklist para incorporar IA a tu sistema de gestión
- Inventario de herramientas y sistemas de IA con dueño, propósito, datos procesados y proveedor.
- Política de uso aceptable de IA generativa aprobada y comunicada.
- Regla documentada de revisión competente para todo documento generado con apoyo de IA (§7.5.2).
- Lista de información que nunca debe ingresarse en herramientas de IA externas.
- Proveedores de IA evaluados con cláusulas de confidencialidad y uso de datos (§8.4; A.10).
- Riesgos de IA incluidos en la matriz de riesgos con fuentes específicas de ISO/IEC 23894.
- Evaluación de impacto para cada sistema de IA que afecte a personas (§6.1.4 si aplica SGIA).
- Métricas de desempeño y muestreo periódico para modelos que clasifican o recomiendan.
- Capacitación del personal en uso responsable y en verificación de salidas (§7.2, §7.3).
- Requisitos legales vigilados: LFPDPPP 2025, propiedad intelectual e iniciativas de regulación de IA (§4.2).
- Uso de IA cubierto por el programa de auditoría interna y presentado en la revisión por la dirección.
Para profundizar en la digitalización de procesos industriales, revisa transformación digital e ISO con Industria 4.0; para la protección de datos y modelos, la guía de ISO 27001 para empresas; y para medir lo que importa, la de KPIs del sistema de gestión. Más información en la página de ISO 42001 y en la de tecnología, SaaS y Fintech.
Cómo lo abordamos en Quality College
Iniciamos con un diagnóstico que identifica dónde se usa IA en tu organización, qué riesgos genera y qué falta para controlarla dentro de tu sistema actual o para certificar un SGIA conforme a ISO/IEC 42001:2023. Acompañamos la definición de políticas, el inventario, la evaluación de riesgos e impacto con base en ISO/IEC 23894, la Declaración de Aplicabilidad, la formación de auditores internos y la preparación para las etapas 1 y 2 frente al organismo certificador acreditado que elijas. Los proyectos típicos van de 8 a 16 semanas según alcance y madurez.
En nuestra propia práctica aplicamos lo que recomendamos: Qualitix Bot®, nuestra IA especializada en documentación de sistemas de gestión, genera borradores a partir de tu contexto real y todo resultado es revisado por un consultor antes de entregarse; ISO Track®, nuestro SaaS, gestiona riesgos, auditorías, acciones e indicadores con trazabilidad. Hemos acompañado a más de 150 organizaciones en su certificación desde 2018 y ofrecemos garantía contractual de certificación.