No todos los certificados ISO 42001 son iguales. De hecho, dos certificados que parecen idénticos colgados en la pared pueden tener un significado completamente diferente ante un regulador, un equipo de contratación empresarial o un inversor que realiza una auditoría de diligencia debida.
La diferencia es una única palabra que la mayoría de los compradores no preguntan: acreditada.
La creencia habitual
La suposición con la que parten la mayoría de las empresas de IA es sencilla. Si un organismo de certificación emite un certificado ISO 42001, el certificado es válido. Pagas la tarifa, pasas la auditoría, cuelgas la insignia en el sitio web. Hecho.
Esa creencia es incompleta. Confunde dos cosas muy diferentes: el acto de certificar y la autoridad que respalda al certificador.
Dónde reside el problema real
ISO 42001 es un estándar. Los estándares son documentos públicos. Cualquiera puede leerlos y, en principio, cualquiera puede escribir una metodología para evaluar el cumplimiento con respecto a ellos. Por eso el mercado ya se está llenando de empresas que ofrecen «certificación ISO 42001» sin ninguna supervisión sobre cómo realizan sus auditorías, qué evidencias exigen o si sus auditores tienen la competencia que el estándar exige.
Un certificado no acreditado no es inherentemente deshonesto. Simplemente carece de respaldo. No existe ningún organismo independiente que verifique que el certificador siguió ISO/IEC 17021 e ISO/IEC 42006, que son los estándares internacionales que rigen cómo operan los organismos de certificación al certificar sistemas de gestión de IA.
Un certificado ISO 42001 sin acreditación es un documento firmado por una empresa privada. Un certificado acreditado es un documento respaldado por una autoridad nacional.
La pregunta que hay que hacerse no es «¿Quién nos certificará?». La pregunta es «¿El certificado de quién aceptarán realmente nuestros reguladores, clientes e inversores?»
Esto importa por tres razones concretas:
1. Reconocimiento regulatorio
En virtud del Reglamento de IA de la UE, los organismos de evaluación de la conformidad deben ser notificados por un Estado miembro, y esa notificación depende de la acreditación otorgada por un organismo nacional de acreditación como ENAC (España), UKAS (Reino Unido) o DAkkS (Alemania). En Estados Unidos, ANAB es el principal organismo de acreditación. Los certificadores no acreditados no tienen ninguna posición en estos regímenes.
2. Contratación y compradores empresariales
Los equipos de contratación empresarial, en particular en sectores regulados como los servicios financieros, los seguros y la sanidad, exigen cada vez más certificados acreditados en sus cuestionarios a proveedores. Un certificado no acreditado a menudo desencadena una diligencia debida adicional en lugar de cerrarla.
3. Diligencia debida de inversores y fusiones y adquisiciones
Los inversores que realizan una diligencia debida técnica sobre empresas de IA han empezado a preguntar si el certificador está acreditado y bajo qué esquema. Un certificado que no se puede rastrear hasta un organismo de acreditación reconocido tiene un peso limitado en un expediente de diligencia debida.
El cambio estructural
El sector de la certificación está siguiendo un camino que la seguridad de la información ya recorrió hace una década con ISO 27001 y SOC 2. En los primeros años de cualquier mercado de certificación, aparecen proveedores no acreditados, los precios se comprimen y los compradores no pueden distinguir la calidad. Después, los reguladores y los grandes compradores armonizan en torno a la acreditación, y los certificados no acreditados pierden silenciosamente su valor comercial.
La certificación de IA está comprimiendo ese calendario. El Reglamento de IA de la UE está forzando a que la acreditación importe desde el primer día, no después de diez años de confusión en el mercado.
Qué significa esto para su organización
Antes de firmar un contrato de certificación, tres comprobaciones merecen el tiempo invertido:
Compruebe la acreditación. Solicite el certificado de acreditación del certificador y el alcance específico. La acreditación de ISO 27001 no cubre ISO 42001. Los alcances son detallados y públicos en los registros de los organismos de acreditación.
Compruebe el esquema. ISO/IEC 42006 es el estándar de esquema que rige los requisitos de competencia para los organismos de certificación ISO 42001. Un certificador que no puede nombrar el esquema bajo el que opera es una señal de alarma.
Compruebe adónde viajará el certificado. Si sus clientes, inversores o reguladores están en la UE, un certificado de un organismo sin acreditación ENAC, UKAS, DAkkS o equivalente probablemente tendrá que rehacerse. El certificado barato se convierte en el caro.
La acreditación no es una afirmación de marketing. Es la cadena de autoridad que hace que un certificado signifique algo fuera de la sala donde fue firmado.
¿Listo para pasar de la documentación a la certificación?
Hable con un auditor acreditado por ANAB sobre su sistema de gestión de IA.
📩 [email protected] · 🌐 zertia.ai
Zertia es un organismo de evaluación de la conformidad acreditado por ANAB (EE. UU.) para ISO/IEC 42001. Las acreditaciones de UKAS (Reino Unido) y ENAC (UE) están en proceso.