Gobierno antes que tecnología
Las reglas se definen antes de construir. Ninguna herramienta se implementa sin saber quién la supervisa, con qué datos opera y qué riesgos implica.
Metodología
IA con Criterio: de la norma a la práctica
IA con Criterio es la metodología de Soto AI Consulting para adoptar la inteligencia artificial de forma responsable. Traduce ISO/IEC 42001 en cinco fases con entregables concretos, siguiendo el ciclo Planificar–Hacer–Verificar–Actuar.
Primero se define cómo se usa la IA en la organización, quién responde por cada sistema y qué riesgos se aceptan. Después, con esas reglas claras, se implementan las automatizaciones y los casos de uso que generan valor.
Principios
Cinco principios guían cada decisión
Riesgo proporcional
No todos los usos de la IA requieren el mismo nivel de control. Un asistente de redacción interna no se gobierna igual que un sistema que interviene en decisiones sobre clientes.
Responsabilidad humana
La IA apoya las decisiones; no las sustituye. Cada sistema tiene un responsable con autoridad para supervisarlo, corregirlo o detenerlo.
Transparencia y trazabilidad
La organización sabe qué IA usa, con qué datos, con qué propósito y con qué resultados, y puede explicarlo a quien corresponda.
Mejora continua
El marco no es un documento estático. Se mide, se revisa y evoluciona junto con el negocio y la tecnología.
Las cinco fases
Un ciclo de mejora continua
Las tres primeras fases construyen el marco; la cuarta lo pone en operación junto con los casos de uso; la quinta verifica que funcione y lo mejora, y alimenta un nuevo ciclo.
01
Contexto y alcance
Qué inteligencia artificial se usa hoy, con qué datos, bajo qué obligaciones y hasta dónde debe llegar el sistema de gestión.
Referencia ISO/IEC 42001: Cláusula 4
- Checklist de cumplimiento inicial: diagnóstico de brechas frente a todos los requisitos.
- Informe de diagnóstico de madurez.
- Inventario de usos de IA.
- Alcance propuesto del sistema de gestión.
- Mapa inicial de oportunidades de IA.
02
Liderazgo y política
El gobierno de la IA es una decisión de la dirección. Se formaliza el compromiso, se establecen las reglas de uso y se define quién responde por qué.
Referencia ISO/IEC 42001: Cláusula 5 · controles A.2 y A.3
- Política de IA aprobada por la dirección.
- Política de uso responsable publicada.
- Matriz de roles y responsabilidades.
03
Riesgos e impacto
Cada uso de la IA se evalúa según su riesgo y su impacto sobre las personas y la organización, se decide cómo tratarlo y se prioriza dónde invertir primero.
Referencia ISO/IEC 42001: Cláusula 6 · control A.5
- Matriz de riesgos de IA.
- Evaluaciones de impacto.
- Declaración de aplicabilidad de controles.
- Hoja de ruta de casos de uso priorizados.
04
Operación controlada
El marco entra en funcionamiento. Es también el momento de las automatizaciones y los casos de uso priorizados, implementados dentro de las reglas ya definidas.
Referencia ISO/IEC 42001: Cláusulas 7 y 8 · controles A.4 y A.6 a A.10
- Registro de controles implementados, con su responsable y su evidencia.
- Procedimientos documentados del ciclo de vida de la IA.
- Casos de uso en producción, con su documentación operativa y su responsable.
05
Evaluación y mejora
Se verifica que el sistema de gestión funcione, que los casos de uso cumplan sus objetivos y que la organización aprenda de cada ciclo.
Referencia ISO/IEC 42001: Cláusulas 9 y 10
- Checklist de cumplimiento final: verificación interna de todos los requisitos.
- Informe de auditoría interna.
- Acta de revisión por la dirección.
- Plan de mejora para el siguiente ciclo.
Eje transversal · Personas y cultura: formación por perfiles, toma de conciencia, comunicación, gestión del cambio y un canal de consulta, en todas las fases.
Alcance y verificación
Todos los requisitos, dentro del alcance acordado
La metodología siempre abarca todos los requisitos de la norma. Lo que se ajusta a cada organización es el alcance: las áreas, los procesos y los sistemas de IA que cubre el sistema de gestión. Dentro de ese alcance se trabajan las cláusulas 4 a 10 y los controles del Anexo A que apliquen; los que no aplican se excluyen con una justificación documentada.
El avance se mide con un checklist de cumplimiento que recorre cada requisito. Se aplica dos veces: al inicio, como diagnóstico de brechas, y al final, como verificación interna. Comparar ambos muestra con claridad el antes y el después.
Costa Rica
Alineada con la estrategia nacional
En Costa Rica, la norma está adoptada como INTE/ISO/IEC 42001:2026, y el MICITT la presentó como una herramienta para implementar la Estrategia Nacional de Inteligencia Artificial 2024–2027. La metodología trabaja los mismos principios que promueve la estrategia: supervisión humana, transparencia, equidad, responsabilidad, seguridad y protección de datos conforme a la Ley 8968.
Cómo se mide el éxito
Indicadores en tres dimensiones
Gobierno
Requisitos de la norma que se cumplen, usos de IA inventariados y con responsable, políticas aprobadas y comunicadas, personas formadas.
Riesgo
Riesgos evaluados y tratados, incidentes relacionados con IA y no conformidades cerradas a tiempo.
Valor
Horas liberadas, menor tiempo de ciclo y menos errores en los procesos intervenidos, adopción por parte del equipo y retorno de la inversión.
Contacto
El primer paso es una conversación
Cada organización parte de un lugar distinto. Una conversación inicial sin costo permite conocer el punto de partida, entender las prioridades del negocio y definir el alcance adecuado.