Un análisis de brechas ISO/IEC 42001 compara el sistema de gestión de IA de una organización con lo que espera la norma y muestra lo que falta antes de una auditoría de certificación. Esta herramienta usa 32 verificaciones escritas con palabras propias, organizadas por las cláusulas 4 a 10 y los temas del anexo A, y devuelve la preparación por cláusula, las brechas priorizadas, una hoja de ruta de 30, 60 y 90 días y las evidencias a reunir.
Cómo usar
- Indica la organización, su rol con la IA (desarrolla, usa o ambos) y la meta de auditoría.
- En cada etapa, marca lo que está implementado y lo que está parcial. Lo que quede sin marcar cuenta como no iniciado.
- En los temas del anexo A, marca como no aplicable solo lo que puedas justificar en la declaración de aplicabilidad.
- Lee la preparación, la franja, las brechas y la hoja de ruta, y exporta en PDF, DOCX, Markdown o CSV para el plan del proyecto.
Qué pide cada campo
| Campo | Qué completar |
|---|---|
| Organización (opcional) | Ej.: Aseguradora Norvia |
| Rol de la organización con la IA | Cambia el orden de la hoja de ruta: quien usa IA de terceros adelanta proveedores y uso. |
| Meta | Se usa para avisarte cuando el plazo parece corto para la preparación actual. |
| Cláusulas 4 y 5: implementado | Marca lo que ya funciona y tiene evidencia. Lo que quede sin marcar en estas listas cuenta como no iniciado. |
| Cláusulas 4 y 5: parcial | Existe, pero incompleto, sin aprobación o sin registro. |
| Cláusula 6: implementado | Marca lo que ya funciona y tiene evidencia. Lo que quede sin marcar en estas listas cuenta como no iniciado. |
| Cláusula 6: parcial | Existe, pero incompleto, sin aprobación o sin registro. |
| Cláusula 7: implementado | Marca lo que ya funciona y tiene evidencia. Lo que quede sin marcar en estas listas cuenta como no iniciado. |
| Cláusula 7: parcial | Existe, pero incompleto, sin aprobación o sin registro. |
| Cláusulas 8 a 10: implementado | Marca lo que ya funciona y tiene evidencia. Lo que quede sin marcar en estas listas cuenta como no iniciado. |
| Cláusulas 8 a 10: parcial | Existe, pero incompleto, sin aprobación o sin registro. |
| Anexo A (políticas a impacto): implementado | Marca lo que ya funciona y tiene evidencia. Lo que quede sin marcar en estas listas cuenta como no iniciado. |
| Anexo A (políticas a impacto): parcial | Existe, pero incompleto, sin aprobación o sin registro. |
| Anexo A (políticas a impacto): no aplicable | Solo los temas del anexo A pueden excluirse, con justificación en la declaración de aplicabilidad. |
| Anexo A (ciclo de vida y datos): implementado | Marca lo que ya funciona y tiene evidencia. Lo que quede sin marcar en estas listas cuenta como no iniciado. |
| Anexo A (ciclo de vida y datos): parcial | Existe, pero incompleto, sin aprobación o sin registro. |
| Anexo A (ciclo de vida y datos): no aplicable | Solo los temas del anexo A pueden excluirse, con justificación en la declaración de aplicabilidad. |
| Anexo A (uso y terceros): implementado | Marca lo que ya funciona y tiene evidencia. Lo que quede sin marcar en estas listas cuenta como no iniciado. |
| Anexo A (uso y terceros): parcial | Existe, pero incompleto, sin aprobación o sin registro. |
| Anexo A (uso y terceros): no aplicable | Solo los temas del anexo A pueden excluirse, con justificación en la declaración de aplicabilidad. |
Ejemplo
La Aseguradora Norvia, ficticia, usa sistemas de IA de terceros y quiere la auditoría en hasta 12 meses. Tiene alcance, política, roles y patrocinio de la dirección implementados, pero la evaluación de riesgo e impacto y el plan de tratamiento están parciales, y aún no hizo auditoría interna ni revisión por la dirección. La preparación general quedó en 52% (cláusulas 52%, anexo A 50%), franja En desarrollo, con 23 brechas: 4 para los primeros 30 días, 10 para 60 días y 9 para 90 días. Las cláusulas más débiles son 10 Mejora (0%), 9 Evaluación del desempeño (17%) y 6 Planificación (50%).
Cuándo usar
- Antes de decidir buscar la certificación ISO/IEC 42001, para estimar el esfuerzo.
- Al inicio de la implementación del sistema de gestión de IA, para armar el plan del proyecto.
- Unos meses antes de la auditoría de certificación, para comprobar que las evidencias existen.
- Después de una auditoría interna, para seguir el cierre de las brechas.
Preguntas frecuentes
¿Qué es un análisis de brechas ISO 42001?
Es una comparación entre lo que la organización ya hace para gobernar la IA y lo que la ISO/IEC 42001 espera de un sistema de gestión de IA. El resultado es la lista priorizada de lo que falta, para orientar la implementación antes de la auditoría.
¿Por qué las cláusulas 4 a 10 no tienen la opción no aplicable?
Porque son los requisitos del sistema de gestión y valen para toda organización que busca la certificación. Solo los controles del anexo A pueden excluirse, y cada exclusión necesita justificación en la declaración de aplicabilidad.
¿Cómo se calcula la preparación?
Cada ítem implementado vale 1 punto, parcial vale 0,5 y no iniciado vale 0; los ítems no aplicables quedan fuera de la cuenta. La preparación es el total de puntos dividido por los ítems aplicables, por cláusula, por tema y en general.
¿Qué significa casi lista para auditoría?
Al menos 80% en general y en las cláusulas, ningún ítem de cláusula sin iniciar y siete ítems esenciales implementados: alcance, política, evaluación de riesgo, proceso de evaluación de impacto, tratamiento de riesgos, auditoría interna y revisión por la dirección. Por debajo del 40% la franja es inicial.
¿El resultado certifica a la organización en la ISO/IEC 42001?
No. La certificación de un sistema de gestión solo la otorga un organismo de certificación acreditado, después de una auditoría. La herramienta es educativa, refleja la percepción de quien respondió y no es auditoría ni asesoría legal.
¿Qué certificación DPCert cubre este tema?
El sistema de gestión de IA según la ISO/IEC 42001 es tema de la RAIL Responsible AI Leader. Para quien conduce la auditoría interna, la AUDAI Responsible AI Auditor cubre la auditoría según la norma. DPCert certifica personas, no sistemas de gestión.