La nueva generación de estándares internacionales y europeos está transformando la gobernanza de la inteligencia artificial en una capacidad estratégica para gestionar riesgos, demostrar cumplimiento y escalar la innovación con responsabilidad ante la incertidumbre del avance tecnológico.
La inteligencia artificial está entrando en una nueva etapa empresarial. La conversación ya no se limita a cuánto puede aumentar la productividad, reducir costos o acelerar la innovación, sino a cómo garantizar que los sistemas de IA operen bajo controles verificables, responsabilidades definidas y mecanismos efectivos de supervisión.
En este contexto, octubre de 2026 marca un momento relevante para la gobernanza tecnológica con la publicación de tres estándares que complementan las prácticas existentes: ISO/IEC 27090:2026, EN 18286:2026 e IEEE 2863:2026.
Su relevancia no radica en que sustituyan los marcos anteriores, sino en que permiten profundizar en dimensiones específicas del control organizacional de la IA: la ciberseguridad, la gestión de la calidad orientada al cumplimiento regulatorio europeo y la gobernanza organizacional.
Para las empresas, el desafío consiste en integrar estas referencias en un marco coherente de Gobernanza, Riesgo y Cumplimiento (GRC) que conecte la estrategia corporativa con los controles técnicos, las obligaciones regulatorias y la evidencia documental.
Publicada el 14 de octubre de 2026, ISO/IEC 27090:2026, Cybersecurity — Artificial intelligence (AI) — Addressing security threats and compromises to AI systems, proporciona orientación para comprender, detectar y mitigar amenazas de ciberseguridad específicas de los sistemas de IA durante su ciclo de vida.
La norma aborda riesgos que requieren especial atención, entre ellos la manipulación de datos de entrenamiento, el robo de modelos y las vulnerabilidades que pueden surgir durante el desarrollo, la operación y la actualización de los sistemas.
Su aportación consiste en reconocer que proteger la infraestructura tecnológica no siempre es suficiente: también es necesario proteger los datos, los modelos y los procesos que determinan el comportamiento de la IA.
¿Cómo se complementa con ISO/IEC 42001:2023?
ISO/IEC 42001 establece los requisitos para implementar y mejorar continuamente un Sistema de Gestión de Inteligencia Artificial (SGIA). ISO/IEC 27090 aporta orientación especializada para identificar y tratar amenazas de seguridad propias de estos sistemas.
En términos prácticos, una organización puede utilizar ISO/IEC 42001 para establecer responsabilidades, procesos de gestión de riesgos y mecanismos de seguimiento, mientras incorpora las recomendaciones de ISO/IEC 27090 para fortalecer sus controles de seguridad relacionados con la IA.
La integración con ISO/IEC 27001 también resulta relevante: el sistema de gestión de seguridad de la información proporciona una estructura general de control, mientras que ISO/IEC 27090 profundiza en las particularidades de las amenazas que afectan a la inteligencia artificial.
Implicación empresarial: la seguridad de la IA debe abordarse desde el diseño y mantenerse durante todo su ciclo de vida, incluyendo los sistemas desarrollados internamente y aquellos adquiridos o contratados a terceros.
EN 18286:2026, Artificial intelligence — Quality management system for EU AI Act regulatory purposes, representa un avance relevante en la convergencia entre normalización técnica y regulación.
Aprobada por el Comité Europeo de Normalización (CEN) en julio de 2026, esta norma establece requisitos y orientación para definir, implementar y mantener un sistema de gestión de la calidad destinado a apoyar el cumplimiento de las obligaciones regulatorias aplicables a las organizaciones que proporcionan sistemas de IA.
Su alcance se orienta especialmente a los proveedores que introducen en el mercado o ponen en servicio sistemas de IA de alto riesgo.
El 15 de octubre de 2026, CEN-CENELEC informó de la publicación en el Diario Oficial de la Unión Europea de la decisión de ejecución que cita EN 18286:2026 como la primera norma armonizada de apoyo al Reglamento Europeo de Inteligencia Artificial.
Este reconocimiento tiene una consecuencia importante: la aplicación de la norma ofrece a los proveedores una vía para demostrar conformidad con los requisitos correspondientes del Reglamento, beneficiándose de la presunción de conformidad en el alcance previsto por la legislación.
Esta presunción no equivale a una certificación automática de todo el sistema ni exime del cumplimiento de las demás obligaciones aplicables.
¿Cómo se complementa con ISO/IEC 42001:2023?
Ambas normas trabajan sobre sistemas de gestión, pero sus finalidades y ámbitos de aplicación no son idénticos.
ISO/IEC 42001 proporciona un marco internacional para gestionar la IA responsablemente, con independencia del tamaño o sector de la organización. EN 18286 responde a un contexto regulatorio europeo específico y se orienta a los requisitos de gestión de la calidad vinculados al Reglamento Europeo de IA.
Una empresa europea que desarrolla sistemas de IA de alto riesgo podría utilizar ISO/IEC 42001 como marco general de gestión y EN 18286 para abordar los requisitos de calidad relacionados con sus obligaciones regulatorias.
Para una empresa mexicana o latinoamericana que suministra soluciones de IA a clientes europeos, comprender esta relación puede ser decisivo para preparar sus procesos, documentación y controles ante las exigencias de sus mercados de destino.
Implicación empresarial: la gestión de la calidad de la IA deja de ser exclusivamente una cuestión operativa y se convierte en un componente de la estrategia de acceso a mercados regulados.
Publicado el 16 de octubre de 2026, IEEE 2863-2026, IEEE Recommended Practice for Organizational Governance of Artificial Intelligence, aporta una perspectiva centrada en las actividades de gobernanza que las organizaciones que desarrollan o utilizan IA deberían considerar.
El estándar presenta principios de gobernanza que los órganos directivos deben evaluar y priorizar, procesos para llevar esos principios a la práctica y casos de estudio que ilustran su aplicación en escenarios concretos, incluidas situaciones en las que existen tensiones entre diferentes principios.
Su aportación es especialmente pertinente para las organizaciones que necesitan conectar las decisiones de negocio con la supervisión efectiva de sus sistemas de IA.
La gobernanza no puede limitarse a un equipo técnico ni a una política corporativa. Requiere definir quién decide, quién autoriza, quién supervisa, cómo se resuelven los conflictos y qué mecanismos permiten evaluar los resultados.
¿Cómo se complementa con ISO/IEC 42001:2023?
IEEE 2863 ofrece una práctica recomendada para la gobernanza organizacional, mientras que ISO/IEC 42001 establece requisitos para un sistema de gestión de IA.
Una organización puede emplear IEEE 2863 como referencia para estructurar y fortalecer las prácticas de gobernanza y utilizar ISO/IEC 42001 para establecer procesos sistemáticos, responsabilidades, controles, evaluación del desempeño y mejora continua.
Esta relación puede contribuir a que la gobernanza tenga una presencia efectiva en el consejo de administración, la dirección ejecutiva y las áreas responsables de riesgos, cumplimiento, tecnología y auditoría.
Implicación empresarial: la responsabilidad por la IA debe integrarse en la estructura de gobierno corporativo y no permanecer aislada en los equipos que desarrollan o implementan la tecnología.
La publicación de nuevos estándares no reduce la importancia de ISO/IEC 42001:2023. Por el contrario, refuerza la utilidad de disponer de una estructura de gestión que permita integrar diferentes referencias técnicas y organizacionales.
Publicada en diciembre de 2023, ISO/IEC 42001 especifica los requisitos para establecer, implementar, mantener y mejorar continuamente un Sistema de Gestión de Inteligencia Artificial.
Es aplicable a organizaciones de cualquier tamaño, tipo o naturaleza que proporcionen o utilicen productos o servicios basados en sistemas de IA.
Su valor empresarial reside en proporcionar una estructura sistemática para gestionar la IA, vinculando los objetivos de la organización con las responsabilidades, los riesgos, los controles y la mejora continua.
Sin embargo, es importante comprender que ISO/IEC 42001 no sustituye todas las normas técnicas, las obligaciones legales ni los controles especializados que pueda requerir un caso de uso.
Su fortaleza está en facilitar una gestión integrada.
Una organización puede utilizarla como eje de su SGIA e incorporar otras referencias en función de sus necesidades:
La combinación concreta dependerá de los riesgos, los objetivos, las obligaciones legales y el modelo de negocio de cada organización. No existe una obligación universal de adoptar todos estos estándares simultáneamente.
Antes de los nuevos estándares de 2026, ISO/IEC 38507:2022 ya ofrecía orientación sobre las implicaciones de gobernanza del uso de inteligencia artificial por parte de las organizaciones.
Su enfoque se dirige a los miembros de los órganos de gobierno y también resulta pertinente para directivos, especialistas, asesores, autoridades y auditores.
La norma reconoce que las implicaciones de la IA deben evaluarse en relación con la organización, sus objetivos y las consecuencias de su utilización. Además, su alcance incluye empresas públicas y privadas, entidades gubernamentales y organizaciones sin fines de lucro, independientemente de su tamaño.
Su relación con ISO/IEC 42001 es estratégica. Mientras ISO/IEC 38507 proporciona orientación para que los órganos de gobierno puedan dirigir y supervisar adecuadamente el uso de la IA, ISO/IEC 42001 permite estructurar un sistema de gestión que traduzca los objetivos y las decisiones organizacionales en procesos operativos verificables.
La diferencia es fundamental: una organización puede contar con políticas de IA, pero si carece de responsables definidos, evaluación sistemática de riesgos, controles implementados y seguimiento de resultados, la gobernanza puede quedarse en el plano declarativo.
La combinación de ambas referencias ayuda a conectar la responsabilidad directiva con la ejecución y la evidencia.
Para convertir los estándares en una capacidad empresarial efectiva, es necesario superar una visión fragmentada del cumplimiento.
Un marco integrado de GRC para inteligencia artificial debe conectar, al menos, cinco componentes:
1. Estrategia y gobierno corporativo. Definir los objetivos de negocio, el apetito de riesgo, las responsabilidades directivas y los criterios para autorizar el desarrollo, la adquisición y el uso de IA.
2. Gestión de riesgos y controles. Identificar los riesgos legales, operativos, reputacionales, éticos, de seguridad y de impacto sobre las personas, estableciendo controles proporcionales a cada caso de uso.
3. Gestión del ciclo de vida. Documentar los sistemas, sus proveedores, los datos relevantes, las evaluaciones, las aprobaciones y los cambios introducidos durante su operación.
4. Cumplimiento y trazabilidad. Vincular las obligaciones aplicables con políticas, controles, responsables y evidencias que permitan demostrar cómo se gestionan los riesgos.
5. Evaluación y mejora continua. Supervisar el desempeño, investigar incidentes, revisar la eficacia de los controles y actualizar las medidas conforme evolucionen los sistemas, los riesgos y las obligaciones.
Este enfoque permite distribuir las funciones de manera coherente: la alta dirección define la orientación y supervisa; las áreas técnicas implementan controles; las funciones de riesgos y cumplimiento evalúan las obligaciones; y los responsables de auditoría realizan las verificaciones que correspondan a su independencia y mandato.
La tecnología puede facilitar la ejecución de estas actividades, pero no reemplaza la responsabilidad de la organización.
La expansión de la IA está haciendo cada vez más compleja la supervisión de los modelos, las aplicaciones, los proveedores y los procesos automatizados. En consecuencia, las organizaciones necesitan mecanismos que permitan gestionar inventarios, evaluar riesgos, documentar decisiones y supervisar el comportamiento de los sistemas durante su operación.
Las plataformas especializadas de gobernanza pueden contribuir a resolver parte de este desafío.
Holistic AI ofrece una plataforma orientada a la gobernanza y el cumplimiento de la inteligencia artificial, con capacidades que incluyen la evaluación de sistemas, la gestión de riesgos y la supervisión durante el ciclo de vida.
En un proyecto basado en ISO/IEC 42001, una plataforma de este tipo puede ayudar a organizar información, apoyar evaluaciones y facilitar el seguimiento de determinados controles.
La organización debe determinar qué capacidades necesita, cómo se integrarán con sus procesos y qué evidencias generará la herramienta. No debe asumirse que la utilización de una plataforma garantiza por sí misma el cumplimiento de ISO/IEC 42001.
IBM watsonx.governance ofrece capacidades para gestionar modelos de aprendizaje automático y modelos generativos, registrar información relevante de los activos de IA, evaluar su desempeño y supervisar indicadores relacionados con riesgos y calidad.
Entre sus funcionalidades se encuentran los inventarios y registros de modelos, los mecanismos de evaluación y monitorización, las fichas de información de los modelos y los flujos de trabajo para apoyar actividades de gobernanza y cumplimiento.
En una implementación de ISO/IEC 42001, estas capacidades pueden contribuir a mejorar la trazabilidad y la generación de evidencia para determinados procesos del SGIA.
La utilidad concreta dependerá de la configuración, las funcionalidades contratadas, las integraciones y los procedimientos establecidos por la organización.
Las plataformas tecnológicas pueden automatizar tareas, centralizar información y facilitar el seguimiento de controles. Sin embargo, no determinan por sí mismas el contexto organizacional, el alcance del SGIA, las obligaciones legales aplicables ni el nivel de riesgo aceptable.
Tampoco sustituyen el liderazgo directivo, la asignación de responsabilidades, la evaluación profesional de riesgos o la validación de la eficacia de los controles.
Una implementación sólida de ISO/IEC 42001 requiere, entre otras actividades, un diagnóstico inicial, la definición del alcance, la identificación de riesgos y oportunidades, la documentación de los procesos, la implementación de controles, la evaluación del desempeño y la mejora continua.
El acompañamiento de profesionales competentes y debidamente cualificados es importante para adaptar el sistema a la realidad de la organización y preparar las actividades de evaluación y certificación que correspondan.
La certificación, cuando se busca, depende de una evaluación realizada por un organismo de certificación competente dentro del alcance aplicable; no se obtiene simplemente por adquirir o utilizar una herramienta de software.
La relevancia de estos estándares trasciende el mercado europeo.
México y Latinoamérica participan en cadenas de suministro internacionales, prestan servicios tecnológicos, desarrollan soluciones de IA y mantienen relaciones comerciales con organizaciones sometidas a diferentes marcos regulatorios.
Por ello, las empresas de la región necesitan evaluar no solo sus obligaciones locales, sino también las exigencias contractuales, regulatorias y de seguridad que puedan derivarse de sus clientes, proveedores y mercados de destino.
Para las empresas mexicanas y latinoamericanas, un sistema de gestión de IA puede ayudar a estructurar responsabilidades, documentar controles, fortalecer la confianza de los clientes y preparar evidencias sobre la gestión de riesgos.
Para las empresas europeas con operaciones en la región, un marco coherente de gobernanza también puede facilitar la coordinación entre matrices, filiales, proveedores y socios comerciales.
Esto no significa que todos los requisitos europeos se apliquen automáticamente a cualquier empresa latinoamericana. La aplicabilidad del Reglamento Europeo de IA y de otras disposiciones debe analizarse conforme a su ámbito territorial, material y personal, así como a las funciones que desempeñe cada organización en la cadena de valor.
La evaluación de EN 18286 adquiere especial importancia para los proveedores que deban cumplir los requisitos correspondientes del Reglamento Europeo de IA. Las empresas que no estén directamente sujetas a esas obligaciones también pueden verse afectadas por requisitos contractuales o por las exigencias de sus clientes europeos.
Eurostat informó en diciembre de 2025 que el 20 % de las empresas de la Unión Europea con diez o más empleados utilizó tecnologías de inteligencia artificial durante 2025, frente al 13,5 % registrado en 2024.
La diferencia fue de 6,5 puntos porcentuales, lo que muestra la aceleración de la adopción empresarial en ese periodo.
El desglose por tamaño también resulta significativo: en 2025, utilizó IA el 17 % de las pequeñas empresas, el 30,4 % de las medianas y el 55 % de las grandes empresas europeas incluidas en la estadística.
Estos datos no miden directamente la calidad de la gobernanza ni demuestran que la adopción de IA provoque determinados resultados financieros. Sí evidencian que la IA está penetrando en organizaciones de tamaños diferentes, con capacidades y necesidades de control potencialmente distintas.
Por ello, la gobernanza no debería concebirse como una estructura exclusiva de las grandes corporaciones. Las pequeñas y medianas empresas también pueden beneficiarse de controles proporcionales a sus riesgos, a sus recursos y a los sistemas que utilizan.
En el caso de México y Latinoamérica, es necesario complementar los datos internacionales con estadísticas locales comparables para cuantificar con precisión la adopción de IA y el grado de preparación de las organizaciones de cada mercado. No sería riguroso extrapolar directamente las cifras europeas a toda la región.
Los nuevos estándares no deben interpretarse como una colección adicional de documentos que las empresas necesitan acumular para demostrar responsabilidad.
Su verdadero valor está en la posibilidad de construir un marco integrado que conecte la gobernanza corporativa, la gestión de riesgos, la ciberseguridad, la calidad, el cumplimiento regulatorio y la supervisión tecnológica.
ISO/IEC 38507:2022 aporta orientación para los órganos de gobierno. ISO/IEC 42001:2023 proporciona la estructura de un sistema de gestión de IA. ISO/IEC 27090:2026 profundiza en las amenazas de seguridad específicas de estos sistemas. EN 18286:2026 aborda la gestión de la calidad en el contexto regulatorio europeo. IEEE 2863-2026 ofrece una práctica recomendada para la gobernanza organizacional.
Juntos, estos instrumentos permiten desarrollar una visión más completa de cómo dirigir, controlar y supervisar la inteligencia artificial.
Para las empresas, la prioridad no debería ser implementar todos los estándares indiscriminadamente, sino identificar cuáles resultan pertinentes, cómo se complementan y qué controles necesitan para gestionar sus riesgos de manera efectiva.
La gobernanza de la IA no es un obstáculo para la innovación: es una de las capacidades que permiten escalarla de manera sostenible.