El panorama europeo de normalización de la inteligencia artificial se encuentra en un momento especialmente relevante. Tras la publicación de ISO/IEC 42001 como primer estándar internacional para los sistemas de gestión de la inteligencia artificial, recientemente CEN/CENELEC ha publicado EN 18286 como norma europea orientada a los sistemas de gestión de la calidad para fines regulatorios relacionados con el Reglamento Europeo de Inteligencia Artificial. Su publicación convierte la relación entre ambas normas en una cuestión especialmente relevante para proveedores, auditores, consultores y organizaciones que desarrollan, comercializan o utilizan sistemas de IA en el mercado europeo. En este contexto surge una pregunta inevitable: ¿por qué necesitamos dos normas que, aparentemente, describen sistemas de gestión tan similares?
La pregunta es razonable. Basta comparar la estructura de ISO/IEC 42001 con la de EN 18286 para comprobar que ambas comparten los principales componentes de un sistema de gestión: contexto, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora continua. Sin embargo, esta semejanza no implica que una de las normas resulte redundante. Por el contrario, refleja una estrategia deliberada: aprovechar una arquitectura de gestión ya consolidada y especializarla para responder a las obligaciones regulatorias del AI Act.
La idea clave
ISO/IEC 42001 y EN 18286 no responden a preguntas radicalmente distintas; responden a una misma cuestión desde dos perspectivas complementarias:
- ISO/IEC 42001: ¿cómo debe una organización gestionar la inteligencia artificial de forma eficaz, responsable y confiable?
- EN 18286: ¿cómo debe una organización gestionar la inteligencia artificial para proporcionar evidencias del cumplimiento de los requisitos aplicables del Reglamento Europeo de IA?
Por tanto, la principal diferencia no reside en la estructura del sistema de gestión, sino en su propósito. ISO/IEC 42001 proporciona un marco internacional para implantar un sistema de gestión de la inteligencia artificial, mientras que EN 18286 especializa ese sistema para convertirlo en una herramienta de conformidad regulatoria en el contexto europeo.
Entendiendo ambas normas
¿Qué gestionan?
Ambas normas definen un Sistema de Gestión de la Inteligencia Artificial basado en el ciclo de mejora continua y en la estructura común utilizada por los estándares ISO de sistemas de gestión. Sin embargo, el énfasis es diferente. ISO/IEC 42001 persigue implantar un sistema de gestión de la inteligencia artificial que permita planificar, operar, evaluar y mejorar continuamente el uso de la IA dentro de la organización, EN 18286 toma ese mismo sistema de gestión y añade los requisitos y evidencias necesarios para apoyar la demostración del cumplimiento del AI Act. Ambas normas utilizan una estructura de gestión muy similar, pero se diferencian en su alcance, en las organizaciones a las que se dirigen y en el tipo de evidencias que exigen para demostrar el cumplimiento normativo.
¿Quién debería utilizarlas?
Las dos normas están dirigidas a organizaciones que desarrollan, adquieren, integran o utilizan sistemas de inteligencia artificial. La diferencia aparece en el contexto de aplicación.
ISO/IEC 42001 puede implantarse en cualquier organización del mundo, independientemente del sector o del nivel de riesgo de sus sistemas de IA. Por el contrario, la futura EN 18286 está especialmente orientada a los proveedores y demás organizaciones que deban demostrar el cumplimiento de obligaciones regulatorias aplicables a determinados sistemas de IA, particularmente a los clasificados como de alto riesgo.
Más que cambiar el destinatario, la norma europea añade nuevas obligaciones para determinados actores del ecosistema.
¿Cuándo deben implantarse?
Las dos normas acompañan al sistema de IA durante todo su ciclo de vida dado que ambas contemplan actividades de planificación, desarrollo, operación, seguimiento, evaluación y mejora continua. No obstante, EN 18286 incorpora controles adicionales relacionados con momentos específicos del ciclo regulatorio, como la evaluación de la conformidad, la puesta en servicio, la vigilancia poscomercialización o la gestión de incidentes exigida por el AI Act.
El ciclo de gestión sigue siendo el mismo; lo que cambia son algunas de las evidencias que deben generarse durante ese ciclo.
¿Dónde resultan aplicables?
ISO/IEC 42001 es una norma internacional y puede implantarse en cualquier organización, independientemente de su ubicación geográfica. Por el contrario, EN 18286 se está desarrollando específicamente para apoyar la aplicación del Reglamento Europeo de IA y, por tanto, tiene un ámbito de aplicación vinculado al mercado europeo y a las organizaciones que comercializan o ponen en servicio sistemas de IA dentro de la Unión Europea.
EN 18286 puede entenderse como una norma europea que adapta un enfoque de gestión similar al de ISO/IEC 42001 al contexto regulatorio del AI Act.
¿Por qué existen dos normas?
Porque persiguen objetivos distintos utilizando prácticamente la misma arquitectura.
- ISO/IEC 42001 busca mejorar la gestión de la inteligencia artificial mediante un enfoque basado en riesgos, liderazgo, responsabilidad, supervisión y mejora continua.
- EN 18286 busca que esa misma gestión sirva, además, para demostrar el cumplimiento de los requisitos establecidos por el Reglamento Europeo de IA.
EN 18286 no sustituye a la ISO/IEC 42001; la convierte en una herramienta de conformidad regulatoria.
¿Para qué utilizarlas conjuntamente?
La implantación conjunta ofrece una ventaja evidente: evita construir dos sistemas de gestión independientes.
Una organización que ya dispone de un sistema conforme con ISO/IEC 42001 cuenta con una base sólida sobre la que incorporar los requisitos específicos incorporados por EN 18286 para apoyar la conformidad con el AI Act. Del mismo modo, una organización que implante directamente EN 18286 estará adoptando, en gran medida, la estructura y los requisitos del sistema de gestión establecidos por ISO/IEC 42001. El resultado es un único sistema de gestión capaz de satisfacer simultáneamente dos objetivos complementarios, por un lado, gestionar la inteligencia artificial de forma eficaz, responsable y confiable; y por otro, demostrar que dicha gestión cumple las obligaciones establecidas por el AI Act.
Conclusión
ISO/IEC 42001 y EN 18286 comparten una arquitectura de gestión ampliamente coincidente, pero responden a finalidades distintas. La primera proporciona un marco internacional para gestionar la inteligencia artificial mediante un sistema de gestión, mientras que la segunda orienta esa misma estructura hacia la demostración de conformidad con el AI Act.
Una organización puede implantar ISO/IEC 42001 sin necesidad de aplicar EN 18286. Sin embargo, aquellas organizaciones que deban demostrar conformidad con el AI Act encontrarán en EN 18286 un complemento natural sobre una base ya establecida por ISO/IEC 42001.
Para las organizaciones, la consecuencia práctica es clara: no se trata de implantar dos sistemas paralelos, sino de construir una base común y completar posteriormente las brechas regulatorias necesarias.
Una organización certificada o alineada con ISO/IEC 42001 no debería crear desde cero un segundo sistema de gestión. Debería realizar un análisis de correspondencia y brechas, identificar los requisitos regulatorios adicionales de EN 18286 y ampliar sus procesos, responsabilidades y evidencias documentales.