Artículos
30 de julio de 2026
“Compliance 4.0”: ISO/IEC 42001 como estándar de debida diligencia y gestión de riesgos en la IA corporativa
Alexandra Aguirre Sumarriva1
La irrupción de la inteligencia artificial (IA) en el núcleo de las operaciones corporativas ha generado un desplazamiento sísmico en la concepción del riesgo legal y el cumplimiento normativo. Lo que tradicionalmente se entendía como cumplimiento —un marco centrado en la prevención del lavado de activos, el financiamiento del terrorismo y la lucha contra la corrupción— ahora debe expandirse hacia el ámbito de la gobernanza algorítmica. Este fenómeno, denominado “Compliance 4.0” , representa un cambio paradigmático donde la responsabilidad jurídica de las empresas depende de la predictibilidad, transparencia y equidad de sus sistemas automatizados.
En este escenario de transformación, la norma ISO/IEC 42001:2023 emerge como el primer estándar internacional diseñado específicamente para dotar a las organizaciones de un Sistema de Gestión de Inteligencia Artificial (SGIA). Toda vez que nos encontramos en un contexto donde regulaciones como el Reglamento de IA de la Unión Europea (AI Act) imponen obligaciones severas, la certificación y el seguimiento de estándares internacionales se convierten en un seguro frente a la incertidumbre regulatoria y la responsabilidad civil por daños.
La frontera entre el algoritmo y la norma
El tránsito hacia el cumplimiento algorítmico responde a la necesidad de gestionar una tecnología que, por su propia naturaleza de aprendizaje profundo y autonomía, desafía los principios clásicos de la responsabilidad jurídica. El derecho tradicional suele operar sobre la base de la causalidad directa y la previsibilidad humana; sin embargo, los sistemas de IA pueden generar resultados imprevistos o «emergentes» que escapan al control directo de sus desarrolladores. Esta «opacidad» o efecto de caja negra genera una brecha entre la acción del algoritmo y la norma, la cual el Compliance 4.0 busca cerrar mediante la implementación de controles preventivos y sistemas de vigilancia continua.
A nivel regional, Latinoamérica presenta un panorama de fragmentación regulatoria. Perú ha dado un paso pionero con la Ley No. 31814, que promueve el uso de la IA bajo un marco de principios éticos y seguridad basada en riesgos. No obstante, esta por sí sola no ofrece el detalle procedimental que una empresa requiere para asegurar que sus algoritmos no estén vulnerando derechos fundamentales. Es aquí donde la ISO/IEC 42001 adquiere su verdadera dimensión, al fungir como escudo jurídico para la organización. Permite a las empresas transmutar los conceptos abstractos de «ética» y «transparencia» en procesos auditables de debida diligencia. Esto es vital para mitigar la responsabilidad ante autoridades administrativas y para defender la posición de la empresa ante reclamaciones judiciales de daños y perjuicios derivados de decisiones automatizadas erróneas o sesgadas.
¿Qué establece la ISO/IEC 42001?
Es un estándar internacional de sistemas de gestión que especifica los requisitos para establecer, implementar, mantener y mejorar continuamente un SGIA. A diferencia de otros estándares técnicos que se enfocan en la calidad del software o la seguridad del hardware, se centra en la gobernanza institucional de la tecnología. Ciertamente, el SGIA no es una lista de verificación estática, sino un conjunto de elementos interrelacionados que permiten a la organización alinear sus objetivos de negocio con el uso responsable de la IA.
Tabla 1
Cláusulas y requisitos de la ISO 42001
| Cláusula | Descripción del requisito | Relevancia jurídica |
| Cláusula 4: Contexto | Identificación de partes interesadas y requisitos legales aplicables. | Define el alcance de la responsabilidad legal de la empresa según su industria. |
| Cláusula 5: Liderazgo | Compromiso de la alta dirección y definición de la política de IA. | Establece la base para la defensa de «Cultura de Cumplimiento» en procesos penales o civiles. |
| Cláusula 6: Planificación | Evaluación de riesgos y oportunidades de IA; establecimiento de objetivos. | Documenta la previsibilidad y las medidas tomadas para evitar daños (Debida Diligencia). |
| Cláusula 7: Soporte | Provisión de recursos, competencia del personal y concienciación. | Prueba que la empresa capacitó a sus empleados para evitar el mal uso de la IA. |
| Cláusula 8: Operación | Implementación de controles y gestión del ciclo de vida de la IA. | Es la ejecución técnica de la política; fundamental para el cumplimiento del AI Act. |
| Cláusula 9: Evaluación | Seguimiento, medición y auditoría interna del sistema. | Proporciona la evidencia auditable que exigen los reguladores. |
| Cláusula 10: Mejora | Acciones correctivas ante no conformidades e incidentes. | Demuestra que la empresa actúa ante errores, evitando la reincidencia. |
Fuente: Adaptado de ISO/IEC 42001 (2023) con comentarios propios.
Datos personales y ciberseguridad
Para que la IA opere, su insumo principal son los datos. Por ello, la ISO 42001 ha sido diseñada para trabajar de forma articulada con la ISO 27001 (Seguridad de la Información) y la ISO 27701 (Privacidad de la Información)2.
En el Perú, la Ley No. 29733, Ley de Protección de Datos Personales, exige que cualquier tratamiento de datos sea proporcional, seguro y con una finalidad determinada. Por ejemplo, un sistema de IA que procesa perfiles de consumo para ofrecer créditos financieros está realizando un tratamiento masivo de datos que, si no es auditado, podría incurrir en infracciones graves sancionadas por la autoridad. De ahí que el estándar internacional obliga a realizar evaluaciones de impacto en la protección de datos (DPIA) específicas para IA, asegurando que la «privacidad desde el diseño» sea una realidad técnica y no solo un enunciado legal.
Asimismo, la ciberseguridad se vuelve crítica debido a amenazas nuevas como el «envenenamiento de datos» o los ataques adversarios que buscan engañar al algoritmo. La integración de la ISO 42001 con marcos de ciberseguridad permite a la empresa defenderse alegando que implementó las medidas de seguridad del «estado del arte», mitigando la responsabilidad objetiva por fallos del sistema.
El ciclo PHVA
Su corazón metodológico es el ciclo Planear, Hacer, Verificar y Actuar (PHVA). Este transforma la supervisión humana de una tarea reactiva a un proceso continuo de control de legalidad.
- Planear (Plan): La organización debe definir qué decisiones tomará la IA y cuáles son los límites éticos y legales. Aquí se mapean los riesgos de sesgo y se definen los criterios de «explicabilidad».
- Hacer (Do): Se implementan los modelos y se aplican los controles del Anexo A sobre calidad de datos y transparencia.
- Verificar (Check): Se monitoriza el comportamiento del algoritmo en tiempo real. ¿Está discriminando a ciertos grupos? ¿Ha «alucinado» información falsa? Se realizan auditorías externas e internas.
- Actuar (Act): Si se detecta un sesgo o un error, se debe ajustar el modelo o retirarlo del mercado. Este paso es crucial para demostrar que la empresa no es negligente tras la detección de un problema.
Mapeo de riesgos y responsabilidad
La gestión de riesgos es el pilar donde el derecho y la tecnología se encuentran de manera más evidente. La ISO 42001 obliga a las organizaciones a realizar «Evaluaciones de Impacto de IA» que consideran riesgos técnicos, para los derechos humanos y la seguridad pública. Para ello, proporciona controles específicos para cada una de estas categorías de riesgo en su Anexo A3.
Tabla 2
Riesgos y controles de la ISO 42001
| Categoría de riesgo | Manifestación práctica | Control ISO 42001 |
| Sesgos y Discriminación | Exclusión de candidatos por género en procesos de selección; denegación de créditos por origen geográfico. | Control A.8: Evaluación de impactos sociales y equidad. |
| Opacidad (Caja Negra) | Incapacidad de explicar por qué el algoritmo tomó una decisión, impidiendo el ejercicio del derecho de defensa. | Control A.7: Transparencia y explicabilidad del sistema. |
| Alucinaciones y Errores | Sistemas generativos que inventan precedentes legales o dan consejos médicos erróneos. | Control A.5: Gestión del ciclo de vida y verificación del comportamiento. |
| Violación de Privacidad | Uso de datos personales para entrenamiento sin base legal; re-identificación de usuarios en datasets anónimos. | Control A.6: Calidad y gobernanza de los datos. |
| Seguridad y Resiliencia | Vulnerabilidad ante ciberataques que alteran la lógica de decisión del sistema. | Control A.4.5: Seguridad del sistema de IA. |
Fuente: Adaptado de ISO/IEC 42001 (2023) con comentarios propios.
Sesgos y discriminación
La discriminación algorítmica es uno de los riesgos más difíciles de gestionar porque a menudo es «invisible». Si los datos de entrenamiento contienen sesgos históricos (por ejemplo, que las mujeres han tenido menos acceso a cargos directivos), el algoritmo aprenderá ese patrón y lo replicará. Desde una perspectiva jurídica, esto constituye una violación del principio de no discriminación y puede generar responsabilidad civil extracontractual.
La implementación del Control A.8 de la ISO 42001 exige a la empresa realizar pruebas de «imparcialidad» (fairness) y documentar los esfuerzos para mitigar el sesgo. En un juicio laboral o de consumo, poseer esta documentación permite a la empresa demostrar que no hubo una voluntad discriminatoria y que se ejerció la debida diligencia necesaria.
Opacidad y el deber de explicabilidad
El «derecho a la explicación» es una tendencia creciente en el derecho comparado y empieza a ganar tracción en el Perú a través de las interpretaciones de la ANPD sobre el derecho a ser informado sobre la lógica de las decisiones automatizadas. En tal sentido, un sistema de IA que es una «caja negra» violaría el derecho de los ciudadanos a conocer cómo son afectados por la tecnología.
La ISO 42001 impone requisitos de transparencia que obligan a los desarrolladores y usuarios de IA a mantener una documentación técnica exhaustiva. Esto incluye bitácoras de eventos (logs) y descripciones de la arquitectura del modelo que permitan a un auditor o a una autoridad supervisar el proceso de toma de decisiones.
Alucinaciones y errores
La IA generativa ha introducido el riesgo de la «alucinación», donde el modelo produce información falsa con una apariencia de veracidad total. Si una empresa implementa un chatbot de atención al cliente que recomienda un uso peligroso de un producto o difama a un competidor, la responsabilidad recae sobre la persona jurídica que despliega el sistema. La norma técnica ayuda aquí estableciendo protocolos de validación y límites a la autonomía del sistema. El principio de «hombre al comando» (human-in-the-loop), se traduce en la exigencia de supervisión humana efectiva y mecanismos de anulación.
ISO 42001 como prueba de «debida diligencia»
La adopción de esta norma ofrece una ventaja competitiva estratégica. En un mercado globalizado, las empresas deben demostrar a sus socios internacionales que sus sistemas son confiables. De ahí que la certificación ISO 42001 se está convirtiendo en el estándar para el B2B (business-to-business). Muchas corporaciones globales y entidades estatales empezarán a exigir esta certificación en sus pliegos de licitación para asegurar que sus proveedores no les trasladen riesgos reputacionales o legales por fallos en la IA.
Estamos presenciando una transición histórica en la que los principios voluntarios (Soft Law) de la OCDE y la UNESCO se están cristalizando en leyes nacionales (Hard Law). La ISO 42001 se sitúa en el punto intermedio, en tanto es una norma técnica que las empresas adoptan voluntariamente, pero que las autoridades están empezando a referenciar como el estándar mínimo de conducta diligente. En el futuro cercano, no estar certificado o no seguir los lineamientos será visto por los tribunales y reguladores como una omisión negligente, similar a no tener un sistema de prevención de incendios o una política básica de seguridad de la información.
Para las empresas en Latinoamérica, esperar a que las sanciones regulatorias se vuelvan severas es una estrategia de alto riesgo. La implementación de un SGIA toma tiempo, requiere cambios en la cultura corporativa, inversión en talento y una redefinición de los procesos de desarrollo de software. De ahí que adoptar este estándar ahora permite a las empresas anticiparse a la regulación, generar confianza y reducir costos4. Es más barato diseñar sistemas correctos desde el principio que tener que retirar del mercado un algoritmo por un sesgo detectado tarde o por una sanción de la autoridad.
- Abogada por la Pontificia Universidad Católica del Perú con Segunda Especialidad en Derecho Administrativo. Cuenta con estudios de especialización en Inteligencia Artificial y Derecho por la Universidad de Salamanca y en Derecho de la Energía y Minería por la Escuela Nacional de Administración Pública. ↩︎
- SGS. (2026). ISO/IEC 42001: La norma que define la gestión ética de la Inteligencia Artificial. Recuperado de: https://www.sgs.com/es-es/noticias/2026/01/iso42001 ↩︎
- Reddy, G. (2025). ISO/IEC 42001 and EU AI Act: A Practical Pairing for AI Governance. Recuperado de: https://www.isaca.org/resources/news-and-trends/industry-news/2025/isoiec-42001-and-eu-ai-act-a-practical-pairing-for-ai-governance ↩︎
- Vaudo, L., Tagliaferro, S., & Gallardo, C. (2024). Cumplimiento corporativo e inteligencia artificial: aportes y controles en la gestión de riesgos. RVDM, No. 13, pp. 67-86. ↩︎
*La entrada publicada en el Blog no refleja la opinión del Departamento de Derecho, Comunicaciones y Tecnologías de la Información. El autor es el único responsable del contenido y las opiniones expresadas en la misma*.
Foto de Sean Pollock en Unsplash