ISO 27001 + ISO 42001: implementación coordinada en Chile

Es el error más común. ISO 27001 protege la confidencialidad, integridad y disponibilidad de la información, pero no dice nada sobre los riesgos propios de la IA. ISO 42001 cubre justamente ese vacío:

• Gestión de sesgo, equidad y no discriminación en los sistemas de IA.
• Transparencia y explicabilidad de las decisiones automatizadas.
• Evaluación del impacto del sistema de IA en las personas y la sociedad.
• Gobernanza de los datos de entrenamiento y del ciclo de vida del modelo.
• Supervisión humana sobre decisiones autónomas.

Tener 27001 es una base excelente, pero no equivale a gobernar la IA. Quien usa o desarrolla IA y solo tiene 27001 tiene cubierta la seguridad, no la responsabilidad sobre el comportamiento de sus modelos.

Los pasos típicos según los organismos de certificación:

1. **Gap analysis** contra las cláusulas y los controles de 42001 (y de 27001 si aún no la tienes), priorizando por criticidad.
2. **Alcance común**: definir el ámbito conjunto del ISMS y el AIMS.
3. **Evaluación de riesgos integrada**: reutilizar la metodología de 27001 y extenderla con los riesgos propios de la IA (sesgo, impacto en personas).
4. **Controles compartidos**: políticas de acceso, gestión de proveedores, auditoría interna y tratamiento de riesgos se reutilizan; se añaden los controles específicos de IA.
5. **Auditoría integrada**: un solo programa de auditoría; el organismo emite certificados separados por cada norma tras una auditoría conjunta.

Según estimaciones de la industria, partir de un ISO 27001 maduro puede recortar de forma significativa el tiempo y el costo de certificar 42001 frente a hacerlo desde cero, porque buena parte de la estructura de gestión ya existe. Trátalo como esfuerzo coordinado, no como dos proyectos paralelos.

Dos fuerzas regulatorias convergen. La **Ley 21.719** de protección de datos personales entra en plena vigencia el 1 de diciembre de 2026 e introduce el principio de responsabilidad proactiva: la empresa debe poder demostrar su cumplimiento con evidencia. Exige evaluación de impacto en tratamientos de alto riesgo y transparencia frente a decisiones automatizadas. El delegado de protección de datos, en cambio, es facultativo: el artículo 50 dice que el responsable de datos «podrá designar» uno. Solo pasa a ser obligatorio de forma derivada, como elemento mínimo del modelo de prevención de infracciones que el artículo 49 califica de adopción voluntaria; y una vez designado queda sujeto a un estatuto imperativo (autonomía, medios suficientes, deber de secreto y las ocho funciones del artículo 50). Los controles de 27001 y 42001 producen exactamente esa evidencia auditable.

Además, el proyecto de ley de IA chileno avanza con un enfoque basado en riesgo, y la **Ley 21.663 de Ciberseguridad** ya empuja a muchas empresas (operadores de importancia vital) hacia ISO 27001. Para ellas, el ISMS es el trampolín natural hacia ISO 42001: la ventaja inicial está dada. La adopción de 42001 en Chile es todavía incipiente, lo que la convierte hoy en un diferenciador competitivo, no solo en un requisito.

Este artículo no constituye asesoría legal ni de certificación. El alcance y los tiempos reales dependen de cada organismo certificador y de la madurez de tu empresa.