Definición

ISO/IEC 23894 — Pillar P4 (ES)

Slug ES: `iso-iec-23894` · URL: `zertia.ai/es/recursos/marcos-regulatorios/iso-iec-23894` · hreflang: EN → `/resources/regulatory-frameworks/iso-iec-23894`

Tipo: Pillar (5.000 palabras) · Estado: Borrador completo · Última revisión regulatoria: mayo 2026

Recursos / Marcos regulatorios

ISO/IEC 23894

La metodología de gestión del riesgo que llena lo que otros marcos de IA dejan sin definir

Nombre oficial	ISO/IEC 23894:2023 — Tecnologías de la información — Inteligencia artificial — Guía sobre gestión del riesgo
Fecha de publicación	Febrero de 2023
Autoridad emisora	ISO/IEC JTC 1/SC 42 (comité técnico conjunto de ISO e IEC sobre inteligencia artificial)
Naturaleza jurídica	Estándar internacional voluntario. Documento de guía, no certificable. Adoptado en Europa como EN ISO/IEC 23894:2024.
Estructura	Construida sobre la arquitectura de ISO 31000:2018. Tres cláusulas centrales: Principios (Cláusula 4), Marco (Cláusula 5), Proceso (Cláusula 6). Anexo A (objetivos relacionados con IA), Anexo B (fuentes de riesgo), Anexo C (mapeo proceso-ciclo de vida).
Estándares complementarios	ISO 31000:2018 (estándar matriz de gestión del riesgo) · ISO/IEC 42001:2023 (sistema de gestión de IA) · ISO/IEC 42005:2025 (evaluación de impacto de IA) · ISO/IEC 22989 (conceptos y terminología de IA) · ISO/IEC 24028 (confiabilidad de IA)

Identidad regulatoria

La ISO/IEC 23894 es el estándar que la mayoría de las discusiones sobre gobernanza de IA pasan por alto. Se sitúa entre los instrumentos más conocidos — el Reglamento de IA de la UE, el NIST AI RMF, la ISO/IEC 42001 — y suele describirse como una nota metodológica al pie: la guía de gestión del riesgo para IA. Esa descripción es técnicamente correcta y operativamente insuficiente.

La narrativa dominante dice que la ISO/IEC 23894 es una guía para la gestión del riesgo de IA. Esa lectura aplana lo que el estándar realmente hace. Los otros instrumentos principales de gobernanza de IA dicen a las organizaciones que necesitan gestionar el riesgo de IA — el Reglamento de IA en su artículo 9, el NIST RMF a lo largo de sus cuatro funciones, la ISO/IEC 42001 en las cláusulas 6.1.2 y 6.1.3 de sus requisitos de sistema de gestión. Ninguno de ellos dice a las organizaciones cómo hacer esa gestión del riesgo a nivel metodológico. Eso es lo que la ISO/IEC 23894 cubre. Es la capa operativa bajo la capa de requisitos.

La distinción importa porque determina dónde se sitúa la ISO/IEC 23894 en la arquitectura de cumplimiento de una organización. La ISO/IEC 42001 especifica qué sistema de gestión operar. El NIST RMF especifica qué funciones, categorías y resultados debe lograr el programa de gestión del riesgo. El Reglamento de IA de la UE especifica qué obligaciones legales se aplican a los sistemas de alto riesgo. Ninguno de ellos especifica la metodología para identificar, analizar, evaluar y tratar riesgos al nivel de granularidad que los profesionales del riesgo realmente necesitan. La ISO/IEC 23894 sí lo hace, extendiendo la metodología de gestión del riesgo de la ISO 31000 — que es el estándar de gestión del riesgo empresarial más adoptado a nivel global — al dominio de la IA.

La elección estructural de construir sobre la ISO 31000 no es cosmética. La ISO 31000 es la metodología que ya opera dentro de la mayoría de programas de gestión del riesgo empresarial, marcos de riesgo financiero, programas de riesgo operacional y funciones de cumplimiento. Las organizaciones tienen comités de ERM que trabajan con vocabulario ISO 31000. Los consejos reciben informes de riesgo estructurados en torno a categorías ISO 31000. Los programas de auditoría interna aplican metodología ISO 31000 al evaluar la efectividad de la gestión del riesgo. Al extender la ISO 31000 con orientación específica para IA, la ISO/IEC 23894 permite que el riesgo de IA entre en la infraestructura de riesgo existente en lugar de exigir a las organizaciones construir una estructura paralela.

El estándar refleja la estructura de cláusulas de la ISO 31000. La cláusula 4 cubre los principios. La cláusula 5 cubre el marco que sostiene la gestión del riesgo dentro de la organización. La cláusula 6 cubre el proceso — comunicación y consulta, alcance y contexto, evaluación del riesgo (identificación, análisis, evaluación), tratamiento del riesgo, seguimiento y revisión, registro e informe. Dentro de cada una de esas cláusulas, el estándar añade subcláusulas específicas de IA cuando la aplicación a la IA requiere consideración específica.

El estándar también incluye tres anexos que operacionalizan la metodología para IA: el Anexo A lista objetivos relacionados con IA que las organizaciones deben considerar al definir el alcance de la gestión del riesgo (responsabilidad, transparencia, explicabilidad, equidad, robustez, seguridad, privacidad, ciberseguridad). El Anexo B cataloga fuentes de riesgo específicas de los sistemas de IA (problemas de calidad de datos, sesgo algorítmico, deriva de modelo, ataques adversariales, falta de interpretabilidad, complejidad del sistema, sesgo de automatización). El Anexo C proporciona un mapeo de ejemplo entre el proceso de gestión del riesgo y las etapas del ciclo de vida de un sistema de IA.

Lo que la ISO/IEC 23894 hace en realidad, entonces, no es «guiar la gestión del riesgo de IA» en abstracto. Proporciona el sustrato metodológico que permite a las organizaciones que operan bajo gestión del riesgo empresarial ISO 31000 extender su práctica de riesgo existente a la IA sin abandonar la metodología, el vocabulario y las estructuras de gobernanza ya en marcha. Ese papel metodológico explica por qué el estándar se ha convertido silenciosamente en la referencia operativa para los profesionales del riesgo de IA que trabajan dentro de organizaciones con funciones de ERM maduras — instituciones financieras, aseguradoras, grandes grupos industriales — aunque sea mucho menos visible en la conversación de política de IA que la ISO/IEC 42001 o el NIST RMF.

Una propiedad adicional es estructuralmente importante. La ISO/IEC 23894 hereda de la ISO 31000 la convención de que el riesgo incluye desviación tanto negativa como positiva respecto de los objetivos. Esto es distinto del NIST RMF y de la mayoría de marcos regulatorios, que tratan el riesgo como inherentemente negativo. La definición ISO permite a la ISO/IEC 23894 abordar tanto riesgos de daño por la IA como riesgos de no capturar valor con la IA — una dualidad que se alinea con cómo los consejos y comités ejecutivos piensan realmente sobre las decisiones de inversión en IA.

Ámbito subjetivo y objetivo

A quién se dirige. La ISO/IEC 23894 aplica a cualquier organización que desarrolle, produzca, despliegue o utilice productos, sistemas y servicios que utilicen IA. El alcance es deliberadamente amplio y paralelo al de la ISO/IEC 42001. El estándar es agnóstico de industria y de caso de uso, diseñado para personalizarse a la organización y al contexto específico.

La audiencia principal son los profesionales del riesgo: gestores de riesgo empresarial, responsables de riesgo operacional, oficiales de cumplimiento, auditores internos, gestores de riesgo de IA y Chief Risk Officers. También lo utilizan los equipos de gobernanza de IA que necesitan operacionalizar los requisitos de riesgo de la ISO/IEC 42001 o del Reglamento de IA, y los consejos o comités de riesgo que quieren recibir informes de riesgo de IA en un lenguaje consistente con el resto de su información de riesgo empresarial.

El estándar acomoda organizaciones a lo largo de todo el espectro de implicación con la IA. Un proveedor de modelos fundacionales, una empresa SaaS que integra IA generativa en su producto, una empresa industrial que despliega IA para mantenimiento predictivo, un organismo público que utiliza IA en servicios de cara al ciudadano — todos pueden aplicar la misma metodología, personalizando los objetivos relacionados con IA (Anexo A) y las fuentes de riesgo (Anexo B) que sean materiales para su contexto.

Qué cubre. El estándar cubre el ciclo completo de gestión del riesgo de IA: comunicación y consulta con partes interesadas, establecimiento del alcance y contexto de la gestión del riesgo, identificación del riesgo de IA, análisis del riesgo de IA (probabilidad y consecuencia), evaluación del riesgo de IA (frente a la tolerancia), tratamiento del riesgo de IA (mitigar, transferir, retener, evitar), seguimiento y revisión de riesgos y tratamientos, y registro e informe a lo largo del ciclo.

El estándar está orientado a procesos. No prescribe controles técnicos específicos (esos viven en el Anexo A de la ISO/IEC 42001 y en estándares específicos de tecnología). No prescribe metodologías específicas de evaluación para características de confiabilidad (esas viven en estándares técnicos en evolución bajo JTC 1/SC 42 y en investigación de metodologías de evaluación). Lo que proporciona es el proceso estructurado que asegura que los riesgos se gestionan de forma consistente, defendible e integrada con el resto de la gestión del riesgo de la organización.

Sistema de obligaciones

La ISO/IEC 23894 no es certificable, por lo que no impone obligaciones en el sentido de certificación. Proporciona orientación metodológica que las organizaciones adoptan, personalizan y documentan. La estructura de esa orientación sigue de cerca a la ISO 31000.

Cláusula 4 — Principios

El estándar hereda los ocho principios de la ISO 31000 — la gestión del riesgo es integrada, estructurada y comprehensiva, personalizada, inclusiva, dinámica, basada en la mejor información disponible, considera factores humanos y culturales, y es continuamente mejorada — y añade consideraciones específicas de IA a cada uno. Por ejemplo, el principio de integración especifica que la gestión del riesgo de IA debe integrarse con la gestión del riesgo de seguridad de la información (porque la IA introduce riesgo de seguridad que puede solaparse con la seguridad de TI más amplia) y con la gestión de la calidad (porque los modos de fallo de la IA se solapan con el aseguramiento de la calidad). El principio de inclusividad especifica que la gestión del riesgo de IA debe considerar no solo a los stakeholders directos sino también a las personas o grupos afectados por las salidas del sistema de IA, particularmente cuando esas salidas influyen en decisiones sobre ellos.

Cláusula 5 — Marco

La cláusula del marco especifica cómo se establece y mantiene la gestión del riesgo dentro de la organización. El estándar refleja la ISO 31000 al abordar el liderazgo y compromiso, la integración en la gobernanza y la toma de decisiones, el diseño del marco (incluyendo la asignación de recursos, autoridades y responsabilidades), la implementación, la evaluación y la mejora continua.

Las elaboraciones específicas de IA en la cláusula 5 abordan: la necesidad de competencia específica en IA a nivel de los profesionales del riesgo (entendimiento suficiente de ML/DL/IA generativa para identificar y analizar riesgos correctamente), la necesidad de estructuras de gobernanza del riesgo de IA (a menudo realizadas mediante Comités de Riesgo de IA o Comités de Ética de IA que operan junto a o dentro de las estructuras de comité de riesgo existentes), y la necesidad de responsabilidad explícita sobre las decisiones de tratamiento del riesgo de IA, dado que los sistemas de IA pueden fallar de formas difusas y de manifestación lenta.

Cláusula 6 — Proceso

La cláusula del proceso es el núcleo operativo del estándar. Especifica siete elementos del proceso secuenciales e iterativos, todos extendidos con orientación específica de IA:

6.2 Comunicación y consulta. Con stakeholders internos (alta dirección, equipos de desarrollo de IA, equipos de despliegue, funciones de riesgo y cumplimiento, auditoría interna) y stakeholders externos (reguladores, clientes, individuos o comunidades afectados, socios de la cadena de suministro, sociedad civil cuando proceda). La extensión específica de IA aborda la dificultad de comunicar sobre sistemas de IA complejos a stakeholders no técnicos y la obligación de comunicar transparentemente sobre el uso de IA en decisiones que afectan a individuos.

6.3 Alcance, contexto, criterios. Definir qué actividad de IA está dentro del alcance de la evaluación del riesgo, el contexto interno y externo (entorno regulatorio, apetito de riesgo organizativo, contexto competitivo) y los criterios frente a los cuales se evaluarán los riesgos. La extensión específica de IA aborda la inclusión de objetivos relacionados con IA del Anexo A (transparencia, explicabilidad, equidad, robustez, seguridad, privacidad, ciberseguridad, responsabilidad) como criterios de evaluación.

6.4 Evaluación del riesgo. Tres subprocesos — identificación del riesgo, análisis del riesgo y evaluación del riesgo — cada uno elaborado para IA:

– 6.4.2 Identificación del riesgo. Identificación sistemática de riesgos a lo largo del ciclo de vida de la IA. El estándar referencia el Anexo B como catálogo de partida de fuentes de riesgo de IA, enfatizando que el catálogo es ilustrativo y debe adaptarse al sistema de IA y contexto específicos. Las técnicas de identificación incluyen talleres, entrevistas estructuradas, análisis de escenarios, modelado de amenazas adaptado a la IA (incorporando marcos como STRIDE aplicados a las etapas del ciclo de vida de la IA) y revisión de bases de datos de incidentes de IA.
– 6.4.3 Análisis del riesgo. Determinación de la probabilidad y consecuencia de los riesgos identificados. La extensión específica de IA aborda la dificultad de estimar la probabilidad para riesgos relacionados con IA donde los datos históricos son escasos, y la dificultad de estimar la consecuencia donde los fallos de la IA pueden producir efectos difusos, retrasados o sistémicos. El estándar recomienda técnicas cualitativas y semicuantitativas como predeterminadas, con métodos cuantitativos aplicados donde haya metodologías de medición disponibles y fiables.
– 6.4.4 Evaluación del riesgo. Comparación de los riesgos analizados frente a los criterios establecidos en la cláusula 6.3, incluyendo los objetivos relacionados con IA del Anexo A. La salida es un conjunto priorizado de riesgos para tratamiento, con consideración explícita de qué riesgos caen dentro de la tolerancia y cuáles requieren tratamiento.

6.5 Tratamiento del riesgo. Selección e implementación de opciones de tratamiento del riesgo: mitigación (controles, cambios de diseño, restricciones de uso), transferencia del riesgo (seguros, reasignación contractual, aseguramiento por terceros), retención del riesgo (aceptación con justificación documentada) y evitación del riesgo (cambiar la actividad para eliminar el riesgo). La extensión específica de IA aborda la dificultad operativa de tratar riesgos que emergen de la complejidad del sistema, la naturaleza iterativa del tratamiento del riesgo de IA a medida que los sistemas se reentrenan o redespliegan, y la importancia de monitorizar los riesgos tratados a lo largo del tiempo.

6.6 Seguimiento y revisión. Seguimiento continuo de los riesgos, la efectividad de los tratamientos y el entorno operativo. El seguimiento específico de IA aborda la deriva de modelo, la deriva de datos, la deriva de concepto, la degradación del rendimiento en producción, los comportamientos emergentes y los cambios en el entorno de amenazas (nuevas técnicas adversariales, nuevos vectores de ataque).

6.7 Registro e informe. Documentación del proceso y los resultados de la gestión del riesgo. La extensión específica de IA aborda la necesidad de documentación trazable que sostenga la auditoría, la indagación regulatoria y el análisis post-incidente, dado que los eventos de riesgo de IA a menudo requieren reconstrucción de decisiones tomadas meses o años antes.

Los anexos — Catálogos operativos

Anexo A — Ejemplos de objetivos relacionados con IA. Lista objetivos que las organizaciones deben considerar incluir en el alcance de su gestión del riesgo de IA: responsabilidad, experticia en IA, disponibilidad y calidad de los datos de entrenamiento y prueba, impacto medioambiental, equidad, mantenibilidad, privacidad, robustez, seguridad, ciberseguridad, transparencia y explicabilidad. La lista es ilustrativa; las organizaciones seleccionan y personalizan según el contexto.

Anexo B — Ejemplos de fuentes de riesgo de IA. Cataloga fuentes de riesgo específicas de los sistemas de IA: complejidad de entornos de IA, falta de transparencia y explicabilidad, nivel de automatización, riesgo de sesgo y discriminación, problemas específicos del aprendizaje automático (calidad de datos, cambio de distribución, vulnerabilidad adversarial), problemas de hardware del sistema, problemas del ciclo de vida del sistema de IA, madurez tecnológica, suficiencia de recursos, dependencias de proveedores. Se utiliza como lista de comprobación durante la identificación del riesgo.

Anexo C — Ejemplo de mapeo proceso-ciclo de vida. Mapea los elementos del proceso de gestión del riesgo a las etapas del ciclo de vida de un sistema de IA (inicio, diseño, desarrollo, verificación y validación, despliegue, operación y monitorización, reevaluación, retirada). Se utiliza para asegurar que las actividades de gestión del riesgo ocurren en la etapa correcta del ciclo de vida en lugar de solo en el despliegue.

Gobernanza de la aplicación

La ISO/IEC 23894 se aplica a través de la adopción más que a través de la certificación. La autoridad del estándar opera por tres canales.

ISO/IEC JTC 1/SC 42. El comité técnico responsable de la ISO/IEC 23894 mantiene el estándar, desarrolla documentos complementarios y coordina con el trabajo paralelo sobre ISO/IEC 42001, ISO/IEC 42005 e ISO/IEC 22989. Los países miembros participan a través de sus organismos nacionales de normalización.

Adopción por otros estándares. La ISO/IEC 23894 es referenciada normativamente por la ISO/IEC 42001 como la referencia metodológica para los requisitos de evaluación del riesgo de la cláusula 6.1.2 y los requisitos de tratamiento del riesgo de la cláusula 6.1.3. Las organizaciones que implementan la ISO/IEC 42001 típicamente aplican la metodología de la ISO/IEC 23894 incluso cuando no se exige explícitamente. El estándar también está referenciado en el trabajo de CEN-CENELEC JTC 21 sobre normas armonizadas bajo el Reglamento de IA de la UE, donde informa la metodología para la implementación del artículo 9 (sistema de gestión del riesgo).

Armonización europea. El estándar ha sido adoptado a nivel europeo como EN ISO/IEC 23894:2024, la versión europea del estándar internacional, lo cual lo hace directamente disponible para los organismos nacionales de normalización europeos (AENOR en España, AFNOR en Francia, BSI en Reino Unido, DIN en Alemania). Esta adopción señala el papel del estándar como referencia metodológica en el panorama europeo de estandarización de IA.

Contextos de auditoría y aseguramiento. Las firmas externas de auditoría, los organismos de certificación (al auditar implementaciones de ISO/IEC 42001) y los proveedores de aseguramiento referencian la ISO/IEC 23894 como la metodología esperada para la evaluación del riesgo de IA. Una auditoría de ISO/IEC 42001 examinará cómo la organización realiza la evaluación del riesgo de IA; si la metodología carece de rigor o es inconsistente con la ISO/IEC 23894, eso se convierte en un hallazgo. El estándar no necesita ser certificable para operar como el estándar metodológico de facto.

Sanciones y régimen de responsabilidad

La ISO/IEC 23894 en sí misma no impone sanciones porque es un documento de guía. La responsabilidad opera a través de los mismos tres mecanismos indirectos que aplican a otros estándares voluntarios.

Pérdida de certificación (indirecta). Cuando una organización persigue la certificación ISO/IEC 42001, las deficiencias en su metodología de gestión del riesgo de IA pueden resultar en no conformidades frente a la cláusula 6.1 de la ISO/IEC 42001. Si la metodología es materialmente inconsistente con la ISO/IEC 23894, la certificación puede ser denegada o suspendida.

Estándar de diligencia debida. La ISO/IEC 23894 contribuye a definir el estándar operativo de diligencia debida para la gestión del riesgo de IA. En litigios derivados de daños causados por IA, la ausencia de gestión del riesgo de IA estructurada y alineada con metodología reconocida (ISO/IEC 23894 o equivalente) puede argumentarse como evidencia de negligencia. La presencia de gestión del riesgo documentada y alineada con la ISO/IEC 23894 es prueba de cuidado razonable.

Apalancamiento regulatorio. Los reguladores sectoriales en Europa y Estados Unidos referencian la gestión estructurada del riesgo de IA como una expectativa. La CFPB, FDA, EEOC y FTC en Estados Unidos; las autoridades nacionales de vigilancia del mercado bajo el Reglamento de IA de la UE; las autoridades de protección de datos bajo el RGPD. Cuando los supervisores examinan la gobernanza de IA de una organización, esperan ver una metodología de gestión del riesgo consistente con estándares reconocidos. La ISO/IEC 23894 es la referencia para la metodología de gestión del riesgo específicamente, complementando la ISO/IEC 42001 para la estructura del sistema de gestión y el NIST RMF para el contenido del riesgo.

Calendario de aplicación

La ISO/IEC 23894 no tiene calendario estatutario. Su línea temporal operativa es la cadencia de publicación y adopción del estándar:

– Febrero de 2023 — Publicación de ISO/IEC 23894:2023.
– Diciembre de 2023 — Publicación de ISO/IEC 42001:2023, que referencia la ISO/IEC 23894 como referencia metodológica para la gestión del riesgo de IA.
– 2024 — Adopción europea como EN ISO/IEC 23894:2024, haciendo el estándar disponible a través de los organismos nacionales de normalización europeos.
– 2024–2025 — La adopción se acelera dentro de organizaciones que implementan la ISO/IEC 42001 o que operan marcos de ERM basados en ISO 31000.
– 2025 — Publicación de ISO/IEC 42005:2025 (evaluación de impacto de IA), que complementa la ISO/IEC 23894 con orientación específica sobre la dimensión de evaluación de impacto del riesgo de IA.
– 2026 — La ISO/IEC 23894 se referencia cada vez más en el trabajo de CEN-CENELEC JTC 21 sobre normas armonizadas para el Reglamento de IA de la UE, particularmente para la metodología de implementación del artículo 9 (sistema de gestión del riesgo).
– Revisión futura. Sujeta a revisión sistemática de ISO cada cinco años. Primera revisión sistemática esperada en 2028, con publicación potencial de una edición actualizada en la ventana 2028–2030.

Para las organizaciones, la implicación operativa es que la ISO/IEC 23894 debe adoptarse como la referencia metodológica para la gestión del riesgo de IA siempre que implementen la ISO/IEC 42001, se preparen para el Reglamento de IA de la UE o extiendan el ERM basado en ISO 31000 existente a la IA. No hay un evento futuro disparador que active el estándar — está operativo ahora e integrado en el ecosistema más amplio de gobernanza de IA.

Intersecciones con otros marcos

La ISO/IEC 23894 es infraestructura metodológica. Seis intersecciones determinan cómo se despliega en la práctica:

ISO 31000:2018 (gestión del riesgo). El estándar matriz. La ISO/IEC 23894 refleja la estructura de la ISO 31000 y hereda su proceso de gestión del riesgo. Las organizaciones con implementaciones maduras de ISO 31000 extienden su proceso existente a la IA usando la orientación de la ISO/IEC 23894, en lugar de construir una metodología paralela.

ISO/IEC 42001 (sistema de gestión de IA). La ISO/IEC 23894 es la referencia metodológica para los requisitos de evaluación del riesgo de IA (cláusula 6.1.2) y tratamiento del riesgo de IA (cláusula 6.1.3) de la ISO/IEC 42001. Una organización que persigue la certificación ISO/IEC 42001 típicamente opera bajo metodología ISO/IEC 23894 incluso si el estándar no se nombra explícitamente en su documentación. La relación es de metodología a arquitectura de sistema de gestión.

ISO/IEC 42005:2025 (evaluación de impacto de IA). Complementaria. La ISO/IEC 23894 cubre el ciclo más amplio de gestión del riesgo; la ISO/IEC 42005 proporciona orientación específica sobre la dimensión de evaluación de impacto, particularmente relevante para riesgos que implican impacto sobre individuos, grupos, comunidades y sociedad. Se usan juntas para producir documentación integral de riesgo e impacto de IA.

NIST AI RMF. El análogo funcional en Estados Unidos. El NIST RMF organiza la gestión del riesgo de IA en torno a cuatro funciones (GOVERN, MAP, MEASURE, MANAGE); la ISO/IEC 23894 la organiza en torno al proceso ISO 31000. Los dos son conceptualmente compatibles — NIST ha publicado crosswalks entre subcategorías del RMF y estándares ISO equivalentes. Las organizaciones que operan tanto en contextos estadounidenses como europeos a menudo ejecutan metodología ISO/IEC 23894 con taxonomía NIST RMF como capa de informe, o viceversa.

Reglamento de IA de la UE. El artículo 9 del Reglamento exige a los proveedores de IA de alto riesgo establecer un sistema de gestión del riesgo que opere a lo largo del ciclo de vida. La metodología para ese sistema de gestión del riesgo no se especifica en el propio Reglamento; se espera que la proporcionen normas armonizadas desarrolladas por CEN-CENELEC JTC 21. La ISO/IEC 23894 es una de las principales referencias metodológicas en ese trabajo. Las organizaciones que se preparan para el Reglamento adoptan típicamente la metodología ISO/IEC 23894 como base operativa para el cumplimiento del artículo 9.

Estándares sectoriales de gestión del riesgo. Cuando las organizaciones operan bajo marcos sectoriales específicos de gestión del riesgo (Basilea III para banca, Solvencia II para seguros, ICH Q9 para farmacéuticas, ISO 14971 para productos sanitarios), la ISO/IEC 23894 proporciona la extensión metodológica específica de IA. La integración es más eficiente cuando el marco sectorial está a su vez alineado con ISO 31000.

> ## ⚖️ Cómo opera Zertia frente a ISO/IEC 23894
>

>
>

> Zertia es una entidad de certificación de sistemas de gestión de IA acreditada por ANAB, especializada en operacionalizar marcos regulatorios de IA. La ISO/IEC 23894 es la referencia metodológica que sustenta cómo realizamos las evaluaciones de riesgo de IA y cómo auditamos la práctica de gestión del riesgo dentro de implementaciones de ISO/IEC 42001 y compromisos de conformidad con el Reglamento de IA de la UE. Nuestra arquitectura de servicios se articula en cuatro pilares operativos:
>

>
>

> Marcos y Regulación — Evaluación de Riesgos ISO/IEC 23894, Evaluación de Conformidad EU AI Act, Atestación NIST AI RMF, Evaluación de Impacto Algorítmico, Evaluación Pre-Certificación. Encargos independientes de evaluación del riesgo que aplican la metodología ISO/IEC 23894 para identificar, analizar, evaluar y tratar riesgos de IA en la cartera de una organización. Particularmente relevante para organizaciones que se preparan para la certificación ISO/IEC 42001, el cumplimiento del artículo 9 del Reglamento de IA o el reporte de riesgo de IA a nivel de consejo consistente con el ERM existente basado en ISO 31000.
>

>
>

> Certificación — ISO/IEC 42001, AIUC-1, ISO/IEC 27001, ISO/IEC 27701, ISO/IEC 22301. La metodología ISO/IEC 23894 sustenta los requisitos de evaluación y tratamiento del riesgo de la certificación ISO/IEC 42001. Las certificaciones de seguridad de la información y continuidad completan el perímetro integrado de aseguramiento.
>

>
>

> Auditoría — Auditoría de Sistema de Gestión de IA, Auditoría de Sistemas de IA de Alto Riesgo, Auditoría de Modelo de IA, Auditoría EU AI Act, Auditoría de Riesgo IA NIST. Revisión técnica independiente de la práctica de gestión del riesgo de IA frente a la metodología ISO/IEC 23894 y los requisitos del sistema de gestión o marco regulatorio relevante. Particularmente relevante para organizaciones que buscan validación externa de la gestión del riesgo de IA antes de la certificación o el compromiso regulatorio.
>

>
>

> Formación — Gobernanza de IA, Gobernanza de Datos, Gobernanza de Privacidad a través de Zertia Academy. Programas especializados que construyen capacidad operativa en metodología ISO/IEC 23894 para profesionales del riesgo, con itinerarios específicos por rol para gestores de riesgo empresarial, oficiales de riesgo de IA, auditores internos y miembros de comité de riesgo.
>

>
>

> Zertia opera desde Boston, Madrid y Londres, con acreditación ANAB en Estados Unidos y procesos de acreditación activos con UKAS (Reino Unido) y ENAC (España/UE). Miembro de IAPP, INCITS (el grupo asesor técnico de Estados Unidos ante el comité ISO de estándares de IA) y UKAI. Firmante del EU AI Pact.
>

>
>

> ### 🎯 Pasa a la acción
>

>
>

> | 🔍 Mapea tus riesgos de IA | 📊 Construye el sistema de gestión |
>

> |—|—|
>

> | [Evaluación de Riesgos ISO/IEC 23894 →](https://zertia.ai/es/regulatory-frameworks/) | [Certificación ISO/IEC 42001 →](https://zertia.ai/es/iso-42001/) |
>

> | Evaluación independiente de riesgos de IA construida sobre la arquitectura de ISO 31000. Output: registro de riesgos estructurado, plan de tratamiento y hoja de ruta de integración con el sistema de gestión de IA más amplio. | El sistema certificable de gestión de IA que operacionaliza la práctica de ISO/IEC 23894 en un esqueleto verificado por terceros. Acreditada por ANAB. |
>

>
>

> [Solicitar una evaluación de riesgos ISO/IEC 23894 →](https://zertia.ai/es/regulatory-frameworks/)
>

Preguntas frecuentes

¿Es certificable la ISO/IEC 23894?

No. La ISO/IEC 23894 es un estándar de guía, no un estándar de sistema de gestión certificable. Las organizaciones la adoptan como referencia metodológica para la gestión del riesgo de IA, integran su orientación en su práctica de riesgo y documentan esa práctica. La certificación, cuando se busca, es frente a la ISO/IEC 42001 (el estándar de sistema de gestión de IA) que referencia la ISO/IEC 23894 como su sustento metodológico. No existe un certificado ISO/IEC 23894 separado.

¿Cuál es la diferencia entre ISO/IEC 23894 e ISO/IEC 42001?

Operan en capas distintas. La ISO/IEC 42001 es el estándar de sistema de gestión — especifica qué arquitectura de sistema de gestión debe operar una organización para gobernar la IA. La ISO/IEC 23894 es el estándar metodológico — especifica cómo hacer la gestión del riesgo que el sistema de gestión requiere. La relación es similar a la que existe entre la ISO/IEC 27001 (sistema de gestión de seguridad de la información) y la ISO/IEC 27005 (metodología de gestión del riesgo de seguridad de la información).

¿Cómo se relaciona la ISO/IEC 23894 con la ISO 31000?

La ISO/IEC 23894 está construida sobre la ISO 31000:2018. Refleja la estructura de cláusulas de la ISO 31000 y añade orientación específica de IA donde la aplicación a la IA requiere consideración específica. Las organizaciones con ERM maduro basado en ISO 31000 extienden su práctica existente de gestión del riesgo a la IA usando la ISO/IEC 23894, en lugar de construir una estructura paralela. La intención es la integración, no la gobernanza paralela.

¿Cómo se relaciona la ISO/IEC 23894 con el NIST AI RMF?

Son funcionalmente análogos pero estructuralmente distintos. El NIST RMF organiza la gestión del riesgo de IA en torno a cuatro funciones (GOVERN, MAP, MEASURE, MANAGE) con categorías y subcategorías. La ISO/IEC 23894 la organiza en torno al proceso ISO 31000 (comunicación, alcance, evaluación, tratamiento, seguimiento, registro). Ambos producen artefactos comparables. NIST ha publicado crosswalks. Las organizaciones que operan en contextos tanto estadounidenses como europeos a menudo ejecutan uno como metodología y usan el otro como capa de informe.

¿Satisface la ISO/IEC 23894 el artículo 9 del Reglamento de IA de la UE?

No directamente, porque la ISO/IEC 23894 es metodología, no ley. Sin embargo, el artículo 9 del Reglamento exige a los proveedores de IA de alto riesgo establecer un sistema de gestión del riesgo a lo largo del ciclo de vida. Se espera que la metodología para ese sistema la proporcionen normas armonizadas desarrolladas por CEN-CENELEC JTC 21, con la ISO/IEC 23894 como referencia metodológica principal. Las organizaciones que se preparan para el cumplimiento del artículo 9 típicamente adoptan la metodología ISO/IEC 23894 como base operativa, esperando que las normas armonizadas referencien o se construyan sobre ella.

¿Cuál es el papel de los anexos A y B?

El Anexo A lista objetivos relacionados con IA que las organizaciones deben considerar incluir en el alcance de su gestión del riesgo de IA (responsabilidad, transparencia, explicabilidad, equidad, robustez, seguridad, privacidad, ciberseguridad y otros). El Anexo B cataloga fuentes de riesgo específicas de los sistemas de IA (calidad de datos, sesgo algorítmico, deriva de modelo, vulnerabilidad adversarial, complejidad del sistema, dependencias de proveedores y otras). Ambos anexos son puntos de partida operativos para los pasos de identificación y evaluación del riesgo de la cláusula 6.4. Son ilustrativos, no exhaustivos.

¿Cómo se aplica la ISO/IEC 23894 en la práctica?

En la mayoría de organizaciones, la metodología ISO/IEC 23894 se aplica dentro de un programa existente de ERM basado en ISO 31000 que se ha extendido para cubrir la IA. Las actividades de identificación y análisis del riesgo las realizan profesionales del riesgo de IA (a menudo un híbrido de ingenieros de ML y responsables de riesgo) usando técnicas adaptadas de la ISO 31000 (talleres, análisis de escenarios, modelado de amenazas) y extensiones específicas de IA (red teaming, pruebas adversariales, revisión de model cards). Los resultados alimentan el registro de riesgos de la organización y los informes a la dirección junto con otros riesgos empresariales.

¿Cuál es la diferencia entre riesgo de IA e impacto de IA?

El riesgo de IA abarca la categoría más amplia de eventos inciertos que podrían afectar a los objetivos relacionados con IA, tanto negativa como positivamente. El impacto de IA es la dimensión específica del efecto sobre individuos, grupos, comunidades y sociedad. La ISO/IEC 23894 cubre la gestión del riesgo de IA de forma amplia. La ISO/IEC 42005:2025 proporciona orientación específica sobre la evaluación de impacto de IA como instrumento complementario. Usados juntos, los dos estándares producen una visión completa del riesgo de IA, incluyendo la dimensión de impacto.

¿Cubre la ISO/IEC 23894 la IA generativa específicamente?

El estándar es agnóstico de tecnología. Aplica a cualquier sistema de IA, incluyendo la IA generativa, y los principios, marco y proceso aplican directamente. La IA generativa introduce fuentes de riesgo específicas (confabulación, inyección de prompts, exposición de propiedad intelectual en datos de entrenamiento, autenticidad del contenido) que las organizaciones deben añadir a su identificación del riesgo. El catálogo del estándar en el Anexo B es ilustrativo; las organizaciones lo adaptan a los sistemas de IA específicos que operan.

¿Qué competencias necesitan los profesionales del riesgo para aplicar la ISO/IEC 23894?

El estándar requiere que los profesionales del riesgo combinen competencia tradicional en gestión del riesgo (metodología ISO 31000, análisis de escenarios, diseño de controles) con suficiente comprensión de la IA para identificar y analizar riesgos específicos de IA (fundamentos de aprendizaje automático, características de IA generativa, riesgos emergentes de sistemas agénticos). Las organizaciones típicamente construyen esta competencia mediante equipos híbridos (responsables de riesgo emparejados con ingenieros de ML), programas estructurados de formación y compromiso con comunidades de práctica de riesgo de IA.

Cross-links

Términos del glosario relacionados: [Proceso de gestión del riesgo (ISO 31000)](#) · [Identificación del riesgo](#) · [Análisis del riesgo](#) · [Evaluación del riesgo](#) · [Tratamiento del riesgo](#) · [Tolerancia al riesgo](#) · [Sesgo algorítmico](#) · [Deriva de modelo](#) · [Robustez adversarial](#) · [Ciclo de vida de la IA](#) · [Declaración de Aplicabilidad](#)

Familias de riesgo aplicables (AI Risk Repository): [Discriminación y resultados sesgados](#) · [Falta de transparencia y explicabilidad](#) · [Robustez y fallos adversariales](#) · [Violaciones de privacidad por datos de entrenamiento](#) · [Fallo de la supervisión humana](#) · [Riesgos de terceros y cadena de suministro](#) · [Desalineación de objetivos](#) · [Concentración de poder y daños económicos](#)

Industrias afectadas: [Servicios financieros](#) · [Seguros](#) · [Sanidad](#) · [Infraestructura crítica](#) · [Industrial y manufactura](#) · [Sector público](#) · [Cloud y SaaS](#)

Regulaciones relacionadas en este Hub: [ISO/IEC 42001](#) · [Reglamento de IA de la UE](#) · [NIST AI RMF](#) · [ISO/IEC 42006](#) · [AIUC-1](#) · [RGPD — disposiciones de IA](#)

Servicios Zertia: [Marcos y Regulación](https://zertia.ai/es/regulatory-frameworks/) · [Certificación](https://zertia.ai/es/certification/) · [Auditoría](https://zertia.ai/es/audit/) · [Formación](https://zertia.ai/es/training/) · [Certificación ISO/IEC 42001](https://zertia.ai/es/iso-42001/) · [Evaluación de Conformidad EU AI Act](https://zertia.ai/es/evaluacion-cumplimiento-eu-ai-act/) · [Certificación AIUC-1](https://zertia.ai/es/certification/certificacion-aiuc-1/)

Última revisión: mayo de 2026 · Fuentes: ISO/IEC 23894:2023; EN ISO/IEC 23894:2024; ISO 31000:2018; ISO/IEC 42001:2023; ISO/IEC 42005:2025; programa de trabajo de CEN-CENELEC JTC 21; cartera de estándares de ISO/IEC JTC 1/SC 42.