Checklist express de 10 puntos: ¿Está tu empresa lista para la ISO 42001 y los riesgos de la IA?

Quién decide

• 1. ¿Existe un responsable formal de IA en la organización? Nombre, rol y mandato. Si “todos” son responsables, nadie lo es.
• 2. ¿Hay una política escrita de uso de IA? Qué se puede usar, con qué datos, con qué aprobación y con qué prohibiciones.
• 3. ¿El directorio o la alta dirección conoce los riesgos de IA que ya operan? Si la IA solo vive en TI o en un piloto, no hay gobernanza: hay sombra.

Qué está en juego

• 4. ¿Inventariaste los sistemas de IA en uso (incluidos los no oficiales)? ChatGPT, Copilot, proveedores y scripts internos cuentan.
• 5. ¿Sabes qué datos personales, sensibles o confidenciales entran a esos sistemas? Sin mapa de datos no hay cumplimiento ni mitigación creíble.
• 6. ¿Evaluaste impacto en personas (selección, clientes, proveedores, empleados)? Donde hay decisión automatizada, el estándar de control sube.

Cómo lo demuestras

• 7. ¿Puedes explicar y documentar cómo se toma una decisión asistida por IA? Trazabilidad y explicabilidad no son opcionales ante auditoría o litigio.
• 8. ¿Tienes controles frente a sesgos, errores y uso indebido? Detección, escalamiento y remedio — no solo un disclaimer del proveedor.
• 9. ¿Tu cadena de proveedores de IA está contratada con cláusulas de riesgo, datos y responsabilidad? El riesgo se hereda si no se negocia.

Qué falta para el sistema de gestión

• 10. ¿Tienes un plan de cierre de brechas hacia ISO 42001 (roles, procesos, evidencia, mejora continua)? Sin hoja de ruta, la norma es un PDF, no un sistema.

Si respondiste “no” o “parcial” en tres o más puntos, el siguiente paso no es comprar otra herramienta: es un diagnóstico de gobernanza y una hoja de ruta de cumplimiento.