La Unión Europea tiene ya en vigor el primer marco regulatorio del mundo dedicado específicamente a la inteligencia artificial. El Reglamento UE 2024/1689, conocido como AI Act, no es un documento de intenciones: tiene calendarios, obligaciones concretas y sanciones que pueden alcanzar los 35 millones de euros o el 7% de la facturación global. Y las empresas españolas, en su gran mayoría, no están preparadas.
En Binaura llevamos meses acompañando a organizaciones en este proceso. Lo que hemos aprendido en ese tiempo es que el camino más eficiente hacia el cumplimiento del AI Act pasa por ISO/IEC 42001:2023 — la norma internacional que establece el marco para gestionar los sistemas de inteligencia artificial de forma controlada, segura y auditable.
Qué exige el AI Act y cuándo
El AI Act entró en vigor el 2 de agosto de 2024 y su despliegue es escalonado. Las primeras obligaciones ya son exigibles: desde el 2 de febrero de 2025 rigen las prohibiciones de sistemas de IA inaceptables, y desde el 2 de agosto de 2025 son obligatorias las medidas de transparencia del artículo 50 — es decir, informar a los usuarios cuando interactúan con un sistema de IA, ya sea un chatbot, un asistente virtual o cualquier sistema que genere contenido sintético.
El grueso de las obligaciones para sistemas de alto riesgo entra en vigor el 2 de agosto de 2026. Esto afecta a sistemas utilizados en sectores como infraestructura crítica, educación, empleo, servicios esenciales, aplicación de la ley, migración o administración de justicia. Si tu organización desarrolla, distribuye o despliega sistemas de IA en alguno de estos ámbitos, el reloj ya está corriendo.
El problema del cumplimiento sin estructura
Muchas organizaciones se están acercando al AI Act como si fuera una checklist: revisan el texto del reglamento, identifican qué artículos les aplican y documentan lo que ya hacen. El resultado es un dossier de cumplimiento que existe en papel pero no en la práctica.
El AI Act no pide documentos. Pide evidencia de que la organización gestiona activamente sus sistemas de IA: que los ha inventariado, que ha evaluado su nivel de riesgo, que tiene controles sobre el ciclo de vida de los datos de entrenamiento, que dispone de mecanismos de supervisión humana y que puede demostrar todo esto ante un auditor o una autoridad de supervisión.
Eso requiere un sistema de gestión, no una carpeta de documentos.
Qué es ISO 42001 y por qué es la respuesta
ISO/IEC 42001:2023 es la primera norma internacional certificable para sistemas de gestión de inteligencia artificial. Sigue la Estructura de Alto Nivel (HLS) común a ISO 27001, ISO 9001 e ISO 22301, lo que permite integrarla de forma natural en un sistema de gestión existente sin duplicar esfuerzos.
La norma establece los requisitos para que una organización pueda demostrar que sus sistemas de IA se diseñan, despliegan y operan de forma responsable. Cubre el inventario de sistemas de IA — incluyendo la llamada Shadow AI, los sistemas no formalmente autorizados que proliferan en cualquier organización —, la evaluación de riesgos e impacto (AIIA), la gobernanza del ciclo de vida de los datos, los mecanismos de supervisión humana y la transparencia frente a usuarios y partes interesadas.
Lo más importante: ISO 42001 está alineada con el AI Act. Los controles del Anexo A de la norma mapean directamente con las obligaciones del reglamento europeo. Implantar ISO 42001 no es prepararse para una certificación — es construir la infraestructura de gestión que el AI Act exige, con la ventaja adicional de que esa infraestructura es auditable y reconocida internacionalmente.
La integración con ISO 27001: una sinergia real
Para las organizaciones que ya tienen implantado un Sistema de Gestión de Seguridad de la Información (SGSI) conforme a ISO 27001, la implantación de ISO 42001 es significativamente más eficiente. Ambas normas comparten estructura, metodología de evaluación de riesgos y enfoque de mejora continua. La Declaración de Aplicabilidad integrada (ISO 27001 + ISO 42001) permite gestionar controles de seguridad y controles de IA en un único marco, reduciendo entre un 30 y un 40% el esfuerzo respecto a implantaciones separadas.
En la práctica, esto significa que una organización certificada en ISO 27001 tiene ya cubierta una parte sustancial del camino hacia ISO 42001: el análisis de riesgos, el marco documental, los ciclos de auditoría interna y los procesos de mejora continua son directamente aprovechables.
Quién necesita actuar ahora
El error más común es pensar que el AI Act solo afecta a grandes tecnológicas o a empresas que desarrollan sistemas de IA complejos. La realidad es más amplia. Cualquier organización que use un chatbot con IA en atención al cliente, un sistema de scoring automatizado, herramientas de generación de contenido o modelos de IA en sus procesos internos está dentro del ámbito del reglamento — al menos en lo que respecta a las obligaciones de transparencia y alfabetización en IA.
Las obligaciones de alfabetización en IA del artículo 4, que exigen que el personal que trabaja con sistemas de IA tenga el nivel adecuado de competencia y conocimiento, ya están en vigor. No es una obligación futura.
El enfoque de Binaura
En Binaura abordamos el cumplimiento del AI Act en fases, comenzando por la clasificación de sistemas de IA según el nivel de riesgo del reglamento, el análisis de las obligaciones aplicables según ese nivel y el diseño del plan de adecuación. Para organizaciones con sistemas de IA de riesgo limitado — el caso más frecuente —, el foco está en las obligaciones del artículo 50, la alfabetización del equipo y la documentación del ciclo de vida del sistema.
Para organizaciones con ambición de certificación o con clientes que la exigen como requisito contractual, la implantación completa de ISO 42001 es el siguiente paso natural, integrado siempre con el sistema de gestión existente.
El AI Act no es una amenaza para quien se prepara. Es una ventaja competitiva frente a quienes lo ignoran.
Xavier Ferretjans — Director, Binaura CISA · CISM · CDPSE