La norma ISO/IEC 42001 se publicó a finales de 2023 y es la primera certificable sobre gestión de inteligencia artificial. El autor participó en el equipo que la redactó y el libro es lo que promete: cómo se interpreta cada cláusula, cómo se arma una auditoría interna, cómo se conecta con el reglamento europeo. Es un libro de cumplimiento, no de tecnología: no hay una línea de código.
Qué me llevé
La idea que más uso es que esto es un sistema de gestión, no un control técnico. La pregunta que ordena todo no es qué modelo se usa sino quién decidió usarlo, con qué criterio, quién revisa la salida y quién responde cuando la salida está mal. Esa cadena, escrita en una página, es lo que le falta a la mayoría de los proyectos con IA que he visto por dentro.
La segunda es la evaluación de impacto sobre las personas afectadas, que la norma trata aparte de la evaluación de riesgos de la organización. No es lo mismo el riesgo de que la empresa quede mal que el riesgo de que a alguien le nieguen algo por una decisión automática. Distinguir esas dos cosas cambia el diseño, no solo el papeleo.
Y la tercera: lo que se documenta sobre un sistema —qué datos usa, para qué se pensó, dónde no debe usarse— sirve aunque nadie se certifique nunca. Es media hora de escritura que evita que el sistema termine haciendo algo para lo que no se pensó.
Qué dejé fuera
El proceso de certificación entero. Una empresa mediana en Ecuador no va a contratar un organismo acreditado para auditar su asistente de facturación, y fingir lo contrario sería vender humo. También dejo fuera el repaso de normativa estadounidense y europea: cambia rápido y aquí no aplica. Leído con esa tijera, el libro rinde unas cuarenta páginas útiles. Hay que leerlo sabiendo cuáles.