Caminos hacia la confianza
Cómo se prepara una organización para un estándar o una ley: un camino para cualquier marco y luego los caminos hacia SOC 2, ISO 27001, ISO/IEC 42001 y el EU AI Act. Cada uno indica cuándo se necesita, qué exige, los pasos y las trampas habituales.
Orientación general, no asesoramiento jurídico, ni una afirmación de que ninguna organización esté o haya estado certificada, atestiguada o en cumplimiento. Los pasos proceden de los estándares, de la ley y de los auditores; el orden y el énfasis proceden de la práctica.
El camino para cualquier marco
Úselo cuando una ley, un estándar o un cliente exija pruebas. Los mismos nueve pasos sirven para todos, de modo que cada marco se convierte en una variación de este camino.
Nombre la obligación
Qué se exige, a quién, para cuándo y quién decide que se cumple: una ley, un estándar, un cliente.
Fije el alcance
Qué sistemas, servicios, personas y datos entran. Anótelo primero.
Relacione requisitos con controles
Un control puede responder a muchos requisitos, así que escríbalo una sola vez.
Encuentre las brechas
Compare lo que realmente ocurre con lo que los controles esperan, y conserve la evidencia.
Dé a cada control un responsable
Una persona designada, una fecha y una prioridad según el riesgo. Un plan sin responsable es un deseo.
Construya y opere
Políticas que las personas puedan seguir y controles que se ejecuten. La evidencia debe surgir del trabajo.
Compruébese a sí mismo
Una revisión interna y una revisión por la dirección antes de que mire nadie externo.
Obtenga aseguramiento independiente
Donde el marco lo pide: un auditor, un organismo de certificación o un organismo notificado. Una ley puede, en cambio, ser aplicada por un regulador, sin un paso de auditoría que superar.
Manténgalo vivo
Supervisión, control de cambios y un ritmo anual, para que la próxima auditoría sea rutinaria.
Dónde ayudan la IA y la automatización
- Mantener enlazados el mapa de requisitos a controles, los responsables y la evidencia.
- Recopilar la evidencia de forma periódica y contrastarla con el control.
- Vigilar la deriva: un control que dejó de ejecutarse, una revisión vencida, una afirmación sin ningún artefacto detrás.
Trampas que más tiempo cuestan
- Empezar por los documentos en lugar de por el alcance.
- Un mapa de controles copiado de una plantilla que nadie sabe explicar.
- Evidencia que solo existe en la cabeza de una persona.
- Tratar la auditoría como la meta.
El camino hacia SOC 2
Úselo cuando los clientes pidan garantías. SOC 2 es un informe de un auditor sobre cómo sus controles cumplen los Criterios de Servicios de Confianza. El informe es el producto: los clientes lo leen en lugar de enviarle un cuestionario.
Elija el alcance
Qué servicios y sistemas, y qué criterios. Seguridad entra siempre; disponibilidad, confidencialidad, integridad del procesamiento y privacidad se añaden cuando los clientes lo piden.
Describa el sistema y evalúe el riesgo
La descripción del sistema por parte de la dirección y una evaluación de riesgos que explique por qué existe cada control. Los auditores leen ambas cosas antes de probar nada.
Encuentre las brechas
Compare lo que hace hoy con lo que esperan los criterios. Una breve evaluación de preparación ahorra meses después.
Ponga los controles por escrito
Políticas que las personas puedan seguir, responsables designados y controles que encajen con el modo en que trabaja realmente el equipo.
Recopile evidencia desde el primer día
Los tickets, las revisiones, las listas de acceso y los resultados de pruebas ya existen; captúrelos a medida que se producen.
Tipo I: controles según su diseño
Una firma de contadores públicos informa sobre si los controles están adecuadamente diseñados en un momento dado. Es el primer informe más rápido. SOC 2 es una atestación, no una certificación, y el informe se comparte normalmente con los clientes bajo uso restringido.
Tipo II: controles en funcionamiento
Los mismos controles demostrando que funcionan durante un periodo de observación, a menudo de tres a doce meses. Los clientes suelen valorar más este informe.
Dónde ayudan la IA y la automatización
- Extraer evidencia de los sistemas según un calendario y comprobarla contra el control, en lugar de capturas de pantalla en el momento de la auditoría.
- Redactar políticas y descripciones de controles a partir de su práctica real, para que una persona las revise y apruebe.
- Vigilar la deriva: un control que dejó de ejecutarse sin que nadie lo notara, una revisión de accesos vencida.
Trampas que más tiempo cuestan
- Escribir políticas que nadie sigue. El auditor prueba lo que ocurre, no lo que dice el documento.
- Un alcance que crece durante la auditoría. Decídalo pronto y déjelo por escrito.
- Evidencia que nadie posee. Cada control necesita una persona con nombre que lo compruebe.
Conjunto SOC y criterios (AICPA) ↗ Más referencias en la biblioteca →
El camino hacia ISO 27001
Úselo cuando necesite una prueba independiente y certificada de cómo gestiona la seguridad de la información. ISO 27001 certifica un sistema de gestión, no un producto: una forma de trabajar que mejora de forma continua y que un organismo independiente comprueba.
Comprenda el contexto
Quién depende de usted, qué exigen la ley y los contratos, y qué debe protegerse.
Fije el alcance y la política
Qué partes de la organización y qué activos entran. La alta dirección es responsable de la política.
Evalúe y trate el riesgo
Un método de riesgos repetible, un registro con responsables y decisiones de reducir, aceptar, transferir o evitar.
Seleccione los controles
Elija entre los controles del Anexo A (ISO/IEC 27001:2022) y registre sus elecciones y motivos en la Declaración de Aplicabilidad.
Opere el sistema
Opere los controles, forme a las personas, supervise y conserve los registros que lo demuestran.
Audítese y luego revise
Una auditoría interna, acciones correctivas para sus hallazgos y una revisión por la dirección antes de que llegue el organismo de certificación.
Certificación y ciclo
Una auditoría en dos etapas por un organismo de certificación acreditado, auditorías anuales de seguimiento y recertificación al final del ciclo de tres años.
Dónde ayudan la IA y la automatización
- Mantener enlazados el registro de riesgos, la lista de controles y la evidencia.
- Seguir las fechas de revisión, las tareas vencidas y las acciones correctivas, y recordárselo a los responsables.
- Preparar la auditoría interna: muestreo, comprobaciones de evidencia y una primera lista de hallazgos para que el auditor la confirme.
Trampas que más tiempo cuestan
- Tratarlo como un proyecto documental. Los auditores buscan un sistema que funcione y mejore.
- Una Declaración de Aplicabilidad copiada de una plantilla, con motivos que nadie sabe explicar.
- Dejar que la revisión por la dirección se convierta en una formalidad. Es donde se registran las decisiones.
El camino hacia ISO/IEC 42001
Úselo cuando desarrolle, proporcione o utilice IA y necesite una forma de gobernarla que un organismo independiente pueda comprobar. ISO/IEC 42001 es un estándar de sistemas de gestión para la IA, publicado en 2023. Si ya gestiona ISO 27001, la estructura es común y gran parte puede reutilizarse.
Comprenda su papel
¿Desarrolla IA, la suministra o la usa? ¿Quién depende de ella y qué esperan la ley y sus clientes?
Fije el alcance y una política de IA
Qué sistemas de IA y qué partes de la organización entran, y una política de la que sea responsable la alta dirección.
Inventarie los sistemas de IA
Cada sistema, su responsable, los datos que usa y los proveedores que hay detrás. No se puede gestionar lo que no se ve.
Evalúe el riesgo y el impacto
Los riesgos de la IA para la organización y una evaluación de impacto de cada sistema sobre las personas a las que afecta. Repítala cuando un sistema cambie.
Seleccione los controles
Elija los controles adecuados, registre los motivos y cubra el ciclo de vida de la IA: datos, desarrollo, pruebas, despliegue y supervisión.
Opere con personas en el circuito
Supervisión humana donde importa, seguimiento de lo que el sistema hace realmente y gestión de incidentes y reclamaciones.
Audite y revise
Una auditoría interna y una revisión por la dirección, y luego una auditoría de certificación por un organismo acreditado, con auditorías de seguimiento después.
Dónde ayudan la IA y la automatización
- Mantener actualizado el inventario de IA leyendo lo que realmente está desplegado, y señalar los usos que nadie registró.
- Recopilar de forma periódica evidencia de supervisión: rendimiento, deriva, intervenciones humanas.
- Redactar evaluaciones de impacto para que una persona las revise y apruebe.
Trampas que más tiempo cuestan
- Escribir una sola política y darlo por terminado.
- No ver la IA que llega dentro de los productos de los proveedores.
- Tratar la evaluación de impacto como un formulario en lugar de una conversación con las personas afectadas.
La certificación según ISO/IEC 42001 no demuestra por sí sola la conformidad con la Ley de IA de la UE, que es una ley con sus propios requisitos.
ISO/IEC 42001 (ISO) Marco de Gestión de Riesgos de IA del NIST Más en la biblioteca
El camino hacia la Ley de IA de la UE
Úselo cuando construya, proporcione o utilice sistemas de IA y la ley pueda afectarle. El EU AI Act es una ley, no un estándar: las obligaciones dependen de su rol y del nivel de riesgo de sus sistemas de IA. La primera pregunta es qué categoría le corresponde.
Encuentre su papel
Proveedor, responsable del despliegue, importador, distribuidor o representante autorizado. Los deberes dependen de cuál sea usted, y puede ser más de uno.
Inventarie sus sistemas de IA
Cada sistema y uso, incluidos los que se compran y los integrados en otras herramientas.
Clasifique el riesgo
Prácticas prohibidas (ya en vigor), sistemas de alto riesgo, sistemas con deberes de transparencia y el resto. La categoría decide lo que sigue.
Deberes del proveedor para sistemas de alto riesgo
Gestión de riesgos, gobernanza de datos, documentación técnica, registro de eventos, transparencia hacia los usuarios, supervisión humana, precisión y robustez, y un sistema de gestión de la calidad. Los proveedores de modelos de IA de uso general tienen sus propios deberes.
Deberes del responsable del despliegue
Usar el sistema según las instrucciones, encomendar la supervisión humana a personas competentes, supervisarlo, conservar registros e informar a las personas afectadas. Algunos responsables del despliegue deben además evaluar el efecto sobre los derechos fundamentales. Los sistemas que hablan con personas o generan contenido sintético tienen deberes de transparencia.
Demuéstrelo
En la mayoría de los sistemas de alto riesgo el proveedor evalúa por sí mismo la conformidad; un organismo notificado interviene solo en algunos. Regístrese donde se exija y conserve documentación que una autoridad pueda leer.
Desarrolle la alfabetización en IA
Este deber ya se aplica: quienes trabajan con IA necesitan comprensión suficiente para hacerlo de forma responsable.
Supervise tras el lanzamiento
Observe el sistema en uso, notifique los incidentes graves y actualice el expediente cuando cambie el sistema o la ley.
Dónde ayudan la IA y la automatización
- Mantener actualizados el inventario y la clasificación, con una persona que confirme cada decisión.
- Recopilar registros y evidencia de supervisión para que el expediente técnico se construya solo.
- Seguir qué obligaciones se aplican desde qué fecha y a qué sistemas.
Trampas que más tiempo cuestan
- Clasificar por esperanza en lugar de por el texto.
- Olvidar que usar la IA de otro sigue convirtiéndole en responsable del despliegue, con deberes.
- Tratarlo como un proyecto puntual cuando los deberes continúan tras el lanzamiento.
Orientación general, no asesoramiento jurídico. La Ley entró en vigor en agosto de 2024. Según entiendo el calendario, las prohibiciones y el deber de alfabetización en IA se aplican desde febrero de 2025, las normas para los modelos de IA de uso general desde agosto de 2025, y las fechas de las normas de alto riesgo dependen del tipo de sistema y pueden modificarse. Consulte el texto oficial y las modificaciones para conocer las fechas que se le aplican hoy.
Ley de IA de la UE, texto oficial Guía independiente con búsqueda Más en la biblioteca
Hacer varios sin hacerlo dos veces
Los caminos comparten la mayor parte del terreno. Construya controles y evidencia una sola vez, relaciónelos con cada marco que necesite y deje que cada auditoría lea los mismos registros.
- Un registro de control enlazado con cada requisito al que responde, en SOC 2, ISO 27001, ISO/IEC 42001 y el AI Act.
- Una sola traza de evidencia para cada auditoría.
- Un registro de riesgos que explica por qué existe cada control.
¿Desea ayuda para elegir o iniciar un camino? Trabaje conmigo → Leer: el cumplimiento como grafo → Volver a AI World →