Qué es ISO/IEC 42001 y qué significa para una empresa en Costa Rica

ISO/IEC 42001 es la primera norma internacional que establece los requisitos de un sistema de gestión de inteligencia artificial: el conjunto de políticas, roles, procesos y controles con los que una organización dirige y supervisa su uso de la IA. Fue publicada en diciembre de 2023 por ISO e IEC y, en Costa Rica, INTECO la adoptó en enero de 2026 como norma nacional con el código INTE/ISO/IEC 42001:2026.

Este artículo explica, en términos de negocio, qué pide la norma, a quién le aplica y qué significa para una empresa costarricense.

¿A quién le aplica ISO/IEC 42001?

A cualquier organización que desarrolle, ofrezca o simplemente use sistemas de IA, sin importar su tamaño o su sector. No hace falta construir modelos propios: una empresa cuyos equipos usan asistentes de IA generativa, o cuyo CRM trae funciones de IA activadas, ya está dentro de su alcance.

Eso es lo que la hace relevante hoy. En la mayoría de las organizaciones la IA no entró por una decisión estratégica, sino por tres puertas a la vez: los equipos, los proveedores y los proyectos piloto de cada área.

¿Qué es un sistema de gestión de IA?

Es la forma ordenada en que la organización decide para qué usa la IA, quién responde por cada sistema, qué riesgos acepta y cómo verifica que todo funcione. En la práctica, se apoya en cinco elementos:

1. Una política aprobada por la dirección: para qué se usa la IA, con qué principios y qué no se permite.
2. Responsables claros: quién decide, quién supervisa cada sistema y quién puede detenerlo.
3. Evaluación de riesgos e impacto, proporcional al uso: un asistente de redacción interna no se gobierna igual que un sistema que interviene en decisiones sobre clientes.
4. Controles operativos sobre los datos, los proveedores y el ciclo de vida de cada sistema.
5. Medición y mejora: indicadores, auditoría interna y revisión periódica por la dirección.

La norma no exige una estructura grande ni un departamento nuevo. El alcance se define según la organización: puede empezar por un área, un proceso o un grupo de sistemas, y ampliarse después.

¿Cómo está construida la norma?

ISO/IEC 42001 sigue la misma estructura que otras normas de sistemas de gestión, como ISO 9001 (calidad) o ISO/IEC 27001 (seguridad de la información):

Esa estructura común tiene una ventaja práctica: si la organización ya trabaja con ISO 9001 o ISO/IEC 27001, el sistema de gestión de IA se integra con lo que ya existe en lugar de crear un mundo aparte.

¿Qué cambia con INTE/ISO/IEC 42001:2026?

El contenido es el mismo. INTE/ISO/IEC 42001:2026 corresponde a ISO/IEC 42001:2023; lo que cambia es que Costa Rica cuenta ahora con una referencia nacional, publicada por INTECO y oficializada en marzo de 2026.

Al oficializarla, el MICITT la presentó como una herramienta para implementar la Estrategia Nacional de Inteligencia Artificial 2024–2027. Es decir, la norma conecta directamente con los principios que el país promueve: supervisión humana, transparencia, equidad, responsabilidad y protección de datos.

Dos aclaraciones importantes:

• Es voluntaria. Ninguna ley obliga hoy a las empresas costarricenses a implementarla.
• No sustituye a la ley. Las obligaciones legales siguen aplicando, empezando por la Ley 8968 de protección de datos personales y cualquier norma específica de IA que esté vigente.

¿Qué gana una empresa al implementarla?

• Confianza. Clientes, casas matrices y socios ven un uso de la IA gobernado y verificable. Cada vez es más común que pregunten por él.
• Decisiones trazables. Se sabe qué sistemas de IA existen, con qué datos operan y quién responde por ellos.
• Obligaciones a la vista. El sistema documenta qué normas ya aplican al uso de la IA (por ejemplo, protección de datos) para que la organización las mantenga al día con su asesoría legal.
• Escalar con menos fricción. Con reglas comunes, cada nuevo caso de uso entra por el mismo camino: se evalúa, se aprueba, se construye con supervisión humana y se mide.

¿Por dónde se empieza?

Con un diagnóstico de brechas: una revisión de la organización frente a todos los requisitos de la norma, requisito por requisito, que muestra dónde está, qué le falta y por dónde conviene empezar. Termina en un informe con una hoja de ruta y un alcance realista.

A partir de ahí, la implementación avanza por fases. La metodología IA con Criterio organiza ese recorrido en cinco: contexto y alcance; liderazgo y política; riesgos e impacto; operación controlada; y evaluación y mejora, con un eje transversal de personas y cultura.

En resumen

• ISO/IEC 42001 es la norma internacional para gestionar la inteligencia artificial de forma responsable.
• Aplica a cualquier organización que use IA, no solo a quien la desarrolla.
• En Costa Rica existe como INTE/ISO/IEC 42001:2026, con el mismo contenido, y es voluntaria.
• El primer paso práctico es un diagnóstico de brechas.

ISO/IEC 42001 es una norma publicada por ISO e IEC. Este artículo tiene fines informativos: no reproduce la norma ni sustituye la asesoría legal.