IA certificada ISO 42001: ¿quién lo está realmente — y qué más importa?

Muy pocos proveedores de IA están hoy realmente certificados según ISO 42001, y amaiko no es uno de ellos: estamos alineados con ISO 42001, pero no certificados. Lo decimos así de claro porque el mercado difumina sistemáticamente esta distinción — y porque puedes comprobarla tú mismo, para cualquier proveedor, en dos minutos.

Lo que te llevas de este artículo:

• ISO/IEC 42001:2023 es la primera norma internacional para sistemas de gestión de IA, publicada en diciembre de 2023.
• Un certificado lo emite exclusivamente un organismo de certificación acreditado — nunca el propio proveedor.
• Tres términos, tres afirmaciones distintas: certificada, alineada, ready.
• Comprobarlo cuesta dos minutos: número de certificado, organismo de certificación, alcance.
• Para la pyme, suele decidir otra cosa: dónde se procesan los datos y qué dice el contrato de encargo de tratamiento.

¿Qué es la ISO 42001 — y qué significa realmente «certificada»?

ISO/IEC 42001:2023 establece los requisitos de un sistema de gestión de IA: cómo una organización identifica riesgos de IA, define responsabilidades, documenta decisiones y mejora todo ello de forma continua. Se publicó en diciembre de 2023 por el comité conjunto ISO/IEC JTC 1/SC 42.

Importante: la norma describe un sistema de gestión, no una característica del producto. No dice nada sobre lo buena que es la respuesta de un modelo — sino sobre si el proveedor opera su IA de forma controlada.

«Certificada» significa: un organismo de certificación independiente y acreditado ha auditado el sistema de gestión y ha emitido un certificado con número, alcance y periodo de validez. En Alemania, la DAkkS — el organismo nacional de acreditación alemán — acredita a estos organismos. Una autodeclaración no es una certificación, por muy convincente que suene.

¿Cómo compruebas si un proveedor de IA está realmente certificado?

Tres preguntas y lo sabrás. Hazlas por escrito, así también tendrás la respuesta para tu expediente de compras:

1. «¿Cuál es el número de certificado y qué organismo lo emitió?» Un certificado real tiene ambos datos. Quien en su lugar te remite a una página de marketing no tiene ninguno.
2. «¿Está ese organismo acreditado — y por quién?» Los organismos de certificación necesitan su propia acreditación, en Alemania a través de la DAkkS. Sin acreditación, el papel es solo una opinión.
3. «¿Cuál es el alcance?» La pregunta que más veces destapa algo. Un certificado puede aplicarse a una sola filial, un centro de datos o un único producto — y no a lo que realmente estás comprando.

Si falta alguna de estas tres respuestas, no hay certificación. No es motivo de descarte — pero debe constar así, correctamente, en tu documentación.

¿Qué diferencia hay entre «certificada», «alineada» y «ready»?

Aquí es donde más se difumina el mercado, así que en claro:

• Certificada — auditada y confirmada por un organismo acreditado, verificable mediante el número de certificado.
• Alineada — el sistema de gestión está construido según los requisitos de la norma, pero sin auditoría externa. Verificable mediante documentación y procesos, solo que sin certificado.
• Ready — el proveedor se considera preparado para certificarse. Una declaración de intenciones, no una prueba.

Las tres pueden ser legítimas. Solo la primera es un certificado, y solo ella puede llamarse así.

¿Dónde se sitúa amaiko?

amaiko está alineada con ISO 42001, no certificada. No hay número de certificado ni organismo acreditado al que podamos remitirte. Si necesitas una línea para tu documentación de cumplimiento: «alineada con ISO 42001, no certificada». Exactamente así.

Lo que sí podemos demostrar es el procesamiento: amaiko opera con infraestructura propia en Alemania — los datos no están en la nube de Microsoft, sino en nuestra propia infraestructura, separada de ella. amaiko cumple con el RGPD y está alineada con el Reglamento de IA de la UE (Reglamento (UE) 2024/1689). Más detalles en la página de seguridad.

Criterio	Qué significa	Prueba
Certificada según ISO 42001	Ha superado una auditoría externa	Número de certificado + organismo acreditado
Alineada con ISO 42001	Sistema de gestión construido según la norma	Documentación, procesos
ISO 42001 ready	Autoevaluación	Ninguna
Cumplimiento del RGPD	Tratamiento lícito	Contrato de encargo, medidas técnicas y organizativas, registro de actividades
Lugar de procesamiento	Qué jurisdicción puede acceder	Contrato + ubicación del centro de datos

¿Qué importa más que un certificado para la pyme?

Incómodo, pero cierto: un certificado no responde a la pregunta que hace tu comité de empresa. Esa pregunta no es «¿qué norma?», sino «¿quién puede acceder a nuestros datos?».

Tres cosas pesan más en la práctica.

El lugar de procesamiento. No dónde reposan los datos, sino dónde se calculan realmente los tokens. Un proveedor estadounidense con un centro de datos europeo sigue siendo un proveedor estadounidense — una cuestión de jurisdicción que ningún certificado resuelve. Lo analizamos en IA conforme al RGPD en Microsoft Teams.

El contrato de encargo de tratamiento. Subencargados, plazos de eliminación, derecho de instrucción. El documento que realmente cuenta si las cosas se complican — y más concreto que cualquier norma.

Si el sistema realmente se usa. Una IA perfectamente certificada que nadie abre es una casilla de cumplimiento, no una herramienta. Ahí fallan la mayoría de los despliegues, como mostramos en por qué los empleados ignoran Copilot.

¿Quieres comprobar dónde se procesan realmente tus datos — con contrato en lugar de sello? Reserva ahora una demo gratuita.

Preguntas frecuentes (FAQ)

¿Está amaiko certificada según ISO 42001?

No. amaiko está alineada con ISO 42001, pero no tiene ninguna certificación según esta norma: ni número de certificado, ni organismo de certificación acreditado. Para la documentación interna de cumplimiento, la formulación correcta es: «alineada con ISO 42001, no certificada».

¿Cómo sé si un proveedor de IA está realmente certificado según ISO 42001?

Pregunta por el número de certificado, el organismo emisor y el alcance. Los tres datos existen en un certificado real. Comprueba además si ese organismo está acreditado — en Alemania, por la DAkkS, el organismo nacional de acreditación alemán. Si falta alguna de las tres respuestas, no hay certificación.

¿Cuál es la diferencia entre «certificada según ISO 42001» y «alineada con ISO 42001»?

Certificada significa que un organismo independiente y acreditado ha auditado y confirmado el sistema de gestión de IA. Alineada significa que el proveedor ha construido su sistema de gestión según los requisitos de la norma, pero sin auditoría externa. Ambas pueden ser legítimas, pero solo la primera es un certificado.

¿Necesito una certificación ISO 42001 para el Reglamento de IA de la UE?

No. El Reglamento (UE) 2024/1689 no exige una certificación ISO. Un sistema de gestión conforme a ISO 42001 ayuda a cumplir de forma estructurada los requisitos de documentación y gobernanza, pero no es una prueba exigida legalmente.

¿Qué es exactamente la ISO/IEC 42001?

ISO/IEC 42001:2023 es la primera norma internacional para sistemas de gestión de IA, publicada en diciembre de 2023. Establece cómo una organización identifica riesgos de IA, define responsabilidades y documenta decisiones. Describe un sistema de gestión, no una característica del producto — no dice nada sobre la calidad de las respuestas de un modelo.

¿Qué debería comprobar en lugar de un certificado?

El lugar de procesamiento — es decir, dónde se calculan realmente los tokens, no solo dónde reposan los datos —, el contrato de encargo de tratamiento con subencargados y los plazos de eliminación, y si el sistema se usa realmente en el día a día. Un certificado no responde a ninguna de estas tres preguntas.

¿Cuánto cuesta amaiko?

amaiko cuesta 29,91 € por usuario y mes con facturación anual (37,39 € con facturación mensual). Para requisitos de datos más estrictos existe amaiko liberté a 44,87 € por usuario y mes: exclusivamente modelos de Mistral, cada token procesado en la UE.