ISO 42001 en España: Quién la Tiene ya en 2026

Iberdrola, Konecta e Inetum ya tienen la certificación ISO/IEC 42001, el primer estándar internacional de gestión de inteligencia artificial. No es un piloto ni un comunicado de intenciones: es un sistema de gobernanza de IA auditado por un organismo acreditado, con AENOR entregando certificados reales en España desde enero de 2026. La pregunta que debería hacerse cualquier empresa que vende o usa IA en España no es si esto llegará algún día, sino qué va a contestar la próxima vez que un cliente, o una licitación, le pida la misma garantía que ya exhiben sus competidores más grandes.

Qué exige realmente la norma ISO/IEC 42001

ISO/IEC 42001, publicada en diciembre de 2023, es el primer estándar internacional específico para sistemas de gestión de inteligencia artificial (AIMS, por sus siglas en inglés). No certifica un modelo de IA ni una herramienta concreta: certifica que la organización tiene un sistema documentado para gobernar cómo desarrolla, opera o integra IA, con requisitos sobre trazabilidad de los procesos, transparencia en el uso de los modelos, gestión de riesgos, protección de datos y revisión continua. En España la acredita ENAC y la certifican organismos como AENOR, Bureau Veritas, KPMG, DNV, EQA, SGS, DEKRA o TÜV.

Quién ya se ha certificado en España

Tres casos reales, con fecha y nombre propio, en lo que lleva de 2026:

• Iberdrola fue la primera multinacional en España en certificarse con ISO/IEC 42001, en enero de 2026. El certificado lo obtuvo su división de Global Business Services para GURIA, la herramienta de IA que automatiza la gestión de correos electrónicos.
• Konecta recibió la certificación ISO/IEC 42001:2023 de AENOR en junio de 2026. Yann Serrand, su Chief Transformation Officer, lo resumió así: «la IA solo puede generar un impacto real en las organizaciones si se acompaña de un modelo sólido de gobernanza». Sergio García, Group DPO de la compañía, añadió que la certificación integra su experiencia en entornos regulatorios complejos para que el cumplimiento y la protección de datos formen parte de la arquitectura desde el diseño, no se añadan después.
• Inetum logró la certificación UNE-EN ISO/IEC 42001:2026 de AENOR en octubre de 2026. Carlos de la Peña, su Deputy Chief AI Officer, lo planteó como una exigencia que ya viene del propio cliente: «nuestros clientes necesitan garantías de que los sistemas de IA que diseñamos, operamos e integramos se desarrollan bajo un marco de gobernanza».

A nivel mundial, la adopción sigue siendo minoritaria: solo unas 350 organizaciones tenían la certificación en abril de 2026, frente a los cientos de miles que ya tienen ISO 27001. El grupo certificado está dominado por el mismo tipo de empresa que lo lee ahora: consultoras, proveedores de ciberseguridad y compañías que venden o integran IA para terceros.

Lo que nadie dice: es voluntaria, hasta que deja de serlo

ISO 42001 no la exige ninguna ley española ni europea. Eso es verdad y, a la vez, es la parte que no cuenta toda la historia. Una certificación voluntaria deja de sentirse voluntaria en el momento en que aparece como requisito de puntuación en un pliego, como condición de un cliente corporativo o como pregunta directa en la debida diligencia de un proveedor. Igual que ocurre con el Esquema Nacional de Seguridad —que no lleva sanción propia pero puede dejar a una empresa fuera de un contrato público sin que nadie la multe por ello—, ISO 42001 no amenaza con una multa: amenaza con una casilla sin marcar en el momento en que ya es tarde para conseguirla a tiempo.

«La IA solo puede generar un impacto real en las organizaciones si se acompaña de un modelo sólido de gobernanza.» — Yann Serrand, Chief Transformation Officer de Konecta

Cómo conecta con la Ley de IA en España

El Reglamento europeo de IA aplaza hasta 2027 las obligaciones más duras para los sistemas de alto riesgo, y España todavía está desarrollando el régimen sancionador propio. Eso ha hecho que muchas empresas traten la gobernanza de IA como un problema para dentro de un año. ISO 42001 funciona al revés: es el marco que ya exige hoy, de forma voluntaria y verificable por un tercero, buena parte de lo que la ley exigirá de forma obligatoria mañana. Iberdrola, Konecta e Inetum no esperaron a la fecha límite regulatoria para tener la respuesta lista.

Qué hace falta para certificarse

El proceso completo, desde cero, suele llevar entre 6 y 12 meses: mapear los sistemas de IA en uso, documentar políticas de gestión de riesgos, establecer supervisión humana y pasar la auditoría externa del organismo certificador. Si la empresa ya tiene ISO 27001 o ISO 9001, el plazo se reduce a 3-6 meses, porque buena parte de la estructura de gestión documental y de auditoría interna ya existe y solo hay que extenderla a los sistemas de IA.

5 preguntas antes de fiarte de que un proveedor de IA «ya tiene todo controlado»

• ¿Puede enseñarte un certificado real, con organismo acreditado y fecha, o solo una política interna sin auditar?
• ¿La certificación cubre los sistemas de IA que usas de verdad, o solo un piloto aislado?
• ¿Quién lo auditó: una entidad acreditada por ENAC (o su equivalente), o nadie de fuera de la empresa?
• ¿Qué pasaría si una licitación o un cliente grande te la pidiera la semana que viene?
• ¿Sabes cuántos meses necesitaría tu empresa para conseguirla si empezara hoy mismo?

Preguntas frecuentes

¿ISO 42001 es lo mismo que ISO 27001? No. ISO 27001 certifica la gestión de la seguridad de la información en general. ISO 42001 certifica específicamente la gobernanza de los sistemas de inteligencia artificial: cómo se desarrollan, se supervisan y se gestionan sus riesgos. Son compatibles y complementarias; tener ya ISO 27001 acelera bastante el proceso de conseguir ISO 42001.

¿Necesita esta certificación una empresa que solo usa herramientas de IA, sin desarrollarlas? Sí, también puede aplicarle, si esas herramientas forman parte de procesos relevantes para clientes o para el negocio: el estándar cubre tanto a quien desarrolla IA como a quien la integra o la opera. El alcance de la certificación lo define cada organización: puede cubrir un sistema de IA concreto, un departamento o toda la empresa.

¿Es relevante solo para grandes empresas como Iberdrola o Inetum? No. El tamaño no es el criterio: lo es el riesgo y la exposición. Una pyme que ofrece servicios de IA a clientes corporativos, o que participa en licitaciones donde se valora la gobernanza de IA, tiene el mismo incentivo que una multinacional, con un proceso de certificación proporcionalmente más rápido por tener menos sistemas que mapear.

¿Qué pasa si un cliente o una licitación la pide y la empresa no la tiene? En la práctica, queda fuera de esa opción o entra con una posición más débil frente a competidores que sí pueden demostrarlo, exactamente como ya ocurre hoy con ISO 27001 en muchos pliegos de contratación.

¿La certificación ISO 42001 es permanente una vez conseguida? No. Como el resto de certificaciones ISO, requiere auditorías de seguimiento periódicas (normalmente anuales) y una recertificación completa cada tres años para mantenerla en vigor.

Lo que hacemos distinto

En Optima Quantum no tratamos la gobernanza de IA como un documento que se redacta una vez y se archiva: la construimos como un sistema que se audita y se puede demostrar, igual que hacen hoy Iberdrola, Konecta e Inetum. Si tu empresa usa o vende IA y todavía no sabría qué responder si un cliente o una licitación te pidiera esa garantía, es el momento de saberlo antes de que te lo pregunten a ti.

¿Quieres saber qué le faltaría a tu empresa para estar lista frente a ISO 42001? Solicita una auditoría gratuita o habla con nuestro equipo.

Más sobre cómo lo hacemos: servicios de ciberseguridad, servicios de IA y automatización, la Ley de IA en España, el ENS y las licitaciones públicas.