Obtener la certificación ISO 42001: 6 pasos clave para lograrlo

Obtener la certificación ISO 42001 es el paso que sigue tras la implementación exitosa de un sistema de gestión de Inteligencia Artificial. La demostración para la organización, para terceros y para las partes interesadas de que todo se hizo correctamente y la gestión de la IA es ética, legal, transparente y segura es el certificado ISO del sistema.

Obtener la certificación ISO 42001 requiere seguir un proceso. Es un desafío que requiere realizar acciones que van más allá de solicitar el certificado. Con la acogida masiva que ha tenido el nuevo estándar de sistemas de gestión de IA, es importante conocer y entender la importancia de obtener la certificación ISO 42001 y contar con una guía para hacerlo.

Por qué es importante obtener la certificación ISO 42001

La irrupción de la Inteligencia Artificial en el mundo empresarial, industrial y comercial ha sido apresurada y contundente. Tanto, que las organizaciones apenas han tiempo de evaluar, y menos gestionar, riesgos. Esta ausencia de gestión de riesgos generó desconfianza hacia las organizaciones que intentan aprovechar las oportunidades que IA ofrece.

ISO 42001 llega para resolver estos problemas. Se trata del primer estándar de alcance internacional, diseñado para eliminar o minimizar los riesgos que implica el uso o desarrollo de productos de IA. Sin embargo, a pesar de la solidez y la eficiencia que demuestra el estándar, es evidente que la implementación de ISO 42001 por sí sola no resuelve todos los problemas.

Las empresas necesitan obtener la certificación ISO 42001 para gozar de la confianza de sus clientes, de los reguladores y de las personas en general. También la requieren para contar con herramientas que les permitan adoptar prácticas de gobernanza, riesgo, cumplimiento y sostenibilidad, necesarias para sobresalir en el mundo corporativo moderno.

Obtener la certificación ISO 42001 entrega otros interesantes beneficios a las organizaciones que adoptan el sistema de gestión basado en este estándar:

• Alinea los objetivos comerciales con la gobernanza de IA, lo que garantiza un uso responsable, aprovechando las ventajas y oportunidades sin exponer a las personas o a la organización a los riesgos inherentes al uso de esta tecnología.
• Incremento de la confianza en las partes interesadas, entre las que destacan consumidores, reguladores, inversores y, por supuesto, las personas o sociedad.
• Proporciona una gestión de riesgos sistemática y efectiva que tiene capacidad de avanzar de la mano de la evolución vertiginosa que caracteriza a esta tecnología.
• Entrega ventaja competitiva sobre las organizaciones que no han adoptado el estándar, no lo han implementado y, por supuesto, están lejos de obtener la certificación ISO 42001.
• Facilita la integración del estándar con la gestión de Seguridad de la Información, con la norma de cumplimiento y, por supuesto, con la gestión que busca obtener objetivos ESG.

A quién le sirve obtener la certificación ISO 42001

El sistema, el estándar y la certificación resultan de enorme utilidad a las empresas que desarrollan, comercializan o hacen uso de sistemas de Inteligencia Artificial, sin importar su ubicación, su sector, su tamaño o su complejidad.

La norma es de aplicación universal y, aunque su implementación y certificación no son obligatorias, ya existen regulaciones, como la Ley de Inteligencia Artificial de la UE, que de una u otra forma exigen la adopción del sistema de gestión. Mientras, en muchos países, las leyes se encuentran en etapa embrionaria, pero se espera que en el curso de este año vean la luz.

Cómo obtener la certificación ISO 42001

La norma está dotada con la estructura de Alto Nivel que acompaña la mayoría de las publicaciones ISO. Así, la estructura de ISO 42001 cuenta con diez capítulos (tres de referencia y siete de requisitos) y cuatro de controles y de orientación sobre su uso.

En este contexto, el proceso para obtener la certificación ISO 42001 no difiere en gran medida del análogo para certificar otros sistemas de gestión ISO. En resumen, el proceso se desarrolla en 6 pasos:

1. Involucrar a las partes interesadas

La primera parte interesada que necesita comprometerse con el proyecto es la Alta Dirección. Es el órgano que tiene la capacidad para impulsar el proyecto y asignar responsabilidades y recursos. La segunda es la fuerza laboral y las asociaciones de empleados como sindicatos o cooperativas.

Dentro de las partes interesadas internas, incluidas en el grupo de empleados, es preciso destacar a los directores de áreas clave como TI, Cumplimiento, Seguridad de la Información o Recursos Humanos.

En cuanto a las partes interesadas externas están los componentes de la cadena de valor, los socios comerciales, los representantes de los consumidores y los reguladores, entre otros.

El propósito de incluir a las partes interesadas desde el inicio es obtener información eficaz para gestionar riesgos y aplicar debida diligencia que permita garantizar el cumplimiento y la conformidad en toda la cadena de valor.

2. Realizar un análisis de brechas

Las organizaciones que utilizan o desarrollan sistemas de IA ya han avanzado en estrategias para gestionar los riesgos asociados, aunque no lo hagan de forma sistemática y estandarizada. El objetivo en esta etapa es establecer qué falta para alcanzar la conformidad con los requisitos de ISO 42001.

Dentro de esta evaluación, o análisis de brechas, es preciso prestar especial atención a los procesos de gestión de riesgos, especialmente en lo relacionado con el cumplimiento ético, la seguridad, privacidad e integridad de los datos y la seguridad y transparencia algorítmica.

El consumo de datos, información y documentos es notable en este paso. Por eso, realizar la tarea con base en papel o en hojas de cálculo representa un verdadero desafío. Una organización que desarrolla o aprovecha sistemas de IA cuenta con los recursos necesarios para automatizar y digitalizar la gestión de Inteligencia Artificial, lo que haría que la tarea fuese mucho más ágil, productiva, segura y libre del error humano.

3. Crear políticas, objetivos y elegir controles

Es el paso que mayor esfuerzo demanda en la implementación para obtener la certificación ISO 42001. Es preciso identificar el contexto de la organización (interno y externo), definir el alcance del sistema y, con base en estos dos documentos, fijar objetivos y crear las políticas.

Es importante que los objetivos cumplan con los requisitos que solicita la norma: alcanzables, medibles, relevantes, realistas, específicos y propuestos para alcanzarse en un periodo de tiempo determinado.

Lo que sigue es elegir los controles de ISO 42001 de la lista que aparece en el Anexo A, siguiendo las orientaciones incluidas en el Anexo B. Todo ello previendo que se atiendan algunos frentes críticos para la gestión de riesgos: procesos de gestión de datos, gobernanza de la IA, ética, supervisión y monitoreo y rendición de cuentas.

Con la necesidad de mejorar de forma continua el sistema, y teniendo en cuenta la evolución acelerada de la tecnología, es importante adoptar desde el inicio un ciclo PDCA (planificar, hacer, verificar y actuar).

4. Diseñar procesos y procedimientos de monitoreo, seguimiento y documentación

En este momento se puede afirmar que hay un sistema de gestión de IA ISO 42001 implementado. Lo que sigue es crear los procesos y procedimientos eficaces para revisar y monitorear la gestión con el fin de comprobar la efectividad.

Parte de este paso es definir los indicadores de rendimiento y establecer las metodologías que se utilizarán para medir con la necesaria oportunidad, evitando que se presenten problemas o desviaciones y que estos causen problemas antes de que sean tratadas.

En paralelo, es necesario diseñar e implementar los procesos de documentación de la gestión de riesgos, de pruebas de la IA, de la gobernanza de los datos, de incidentes e infracciones, entre otros eventos relevantes de la gestión.

En la etapa de gestión de documentos, al igual que en la elaboración del análisis de brechas, el soporte tecnológico resulta esencial. La automatización asegura la integridad y la trazabilidad de los documentos, pero también la efectividad de los mecanismos de monitoreo y supervisión.

5. Realizar auditorías internas

Antes de solicitar la auditoría de terceros, para obtener la certificación ISO 42001 es necesario asegurarse de que el sistema está listo para dar el paso definitivo. La gran ventaja de la auditoría interna es que se puede realizar tantas veces como sea necesario. Siguiendo el ciclo PDCA, se practican auditorías internas, se identifican problemas y no conformidades, se implementan acciones correctivas y se realiza una nueva auditoría de verificación.

6. Solicitar y aprobar la auditoría de certificación

Para obtener la certificación ISO 42001 es preciso aprobar una auditoría de terceros que practica un organismo certificador avalado por ISO. En cada país existe por los menos uno. En algunas naciones, como las de la Unión Europea, suelen ser cinco o más por país.

Es importante evaluar las condiciones, los requisitos e incluso las tarifas de cada uno de estos organismos. Hechas las comparaciones, lo que procede es solicitar la auditoría. El auditor de certificación puede hacer alguna observación, de hecho, es lo usual. La empresa soluciona los problemas identificados y el auditor realiza una nueva auditoría para verificar el cumplimiento de lo objetado. Luego se expide la certificación.

Qué sucede después de obtener la certificación ISO 42001

Obtener la certificación ISO 42001 es un hito de gran importancia para el sistema de gestión, pero no es la culminación de la tarea. Es el inicio de un intenso trabajo de mantenimiento y mejora continua, destinado a preservar la conformidad con miras a una auditoría de recertificación que se practicará cada tres años, en adelante.

En los entretiempos, la organización debe practicar auditorías internas, actualizar sus evaluaciones de riesgos con base en los cambios legales y regulatorios y teniendo en cuenta el avance tecnológico de la IA, así como la aparición de nuevas amenazas. Para todo esto, será necesario contar con los recursos tecnológicos adecuados.

Software ISO 42001

El Software ISO 42001 es un desarrollo tecnológico, producto de la misma Inteligencia Artificial, diseñado para automatizar la gestión del sistema de IA, proporcionando los datos, informes, evidencias y registros necesarios para garantizar la mejora continua, la efectividad de la gestión de riesgos y el cumplimiento de los objetivos.

Esta avanzada tecnología está lista para ayudar a tu empresa a obtener el mejor rendimiento de la IA, con la debida seguridad. Uno de nuestros consultores puede ayudarte a tomar una decisión. Contáctalo aquí.