¡Se te pasó leer el artículo anterior!
Aquí lo puedes encontrar.

Octubre, 2026

La comunicación de incidentes de IA vs ISO/IEc 42001
Por David Mondragón Tapia

Confiabilidad de la IA

La integración de la inteligencia artificial o IA, continúa su proceso de expansión a lo largo y ancho de los distintos ámbitos de la vida o actividades del ser humano, esto será así, al menos en lo que queda de la tercera década del siglo XXI o hasta alcanzar el año 2030. Después de esa fecha, difícilmente se hablará o escribirá al respecto, pues la IA, ya será parte de nuestra vida cotidiana como en su momento pasó con las computadoras, con el internet o con los teléfonos móviles. Lo anterior, como ya podremos anticipar o imaginar, conllevará una serie de retos y riesgos para las organizaciones, las sociedades y los individuos. Retos y riesgos que deberemos aprender a resolver en el camino, ya que más que una época de cambios, nuestras generaciones están viviendo un cambio de época.

Dentro de estos retos y riesgos, se encuentra la comunicación de incidentes que ocurren o se presentan en los sistemas de inteligencia artificial (AI systems). Esta actividad es hoy en día un factor crítico de seguridad, robustez y confianza, ya que más del 70% de las organizaciones que usan IA, han reportado algún tipo de incidente en relación con sesgos, fallos de funcionamiento o fugas de datos, por lo que la rapidez y transparencia con que se puedan reportar y comunicar dichos eventos, define el nivel de confiabilidad que clientes y reguladores pueden depositar en el sistema de IA.

En el contexto anterior, existen ya diversos esfuerzos que se han venido realizando como lo es, el caso de la “recientemente” publicada norma internacional ISO/IEC 42001:2023. Dicha norma propone requisitos certificables a partir de los cuáles se derivan objetivos, políticas, procesos, recursos, objetivos de control y controles de IA, para hacer un uso responsable de la tecnología, destacando de entre sus controles el A.8.4. Comunicación de incidentes, mismo que establece lineamientos claros para gestionar y comunicar este tipo de incidentes de manera disciplinada y auditable.

¿Incidentes en sistemas de IA?

Como cualquier otra tecnología creada por el ser humano, la inteligencia artificial tendrá que pasar por una curva de aprendizaje y madurez, tiempo durante el cual experimentará incidentes de diversa índole, algunos seguramente relacionados con la interfaz llamada “user o usuario” y otros relacionados con las propias características de la tecnología y sus algoritmos utilizados.

A nivel global, estudios como el realizado en el año 2025 por la prestigiosa firma PwC, indican que se estima que el 70% de las empresas que utilizan en algún grado IA, han enfrentado incidentes que van desde sesgos algorítmicos hasta fugas de datos. En Europa, región que sigue siendo un referente en la materia, tras la entrada en vigor de Acto de IA (AI Act), se estima que más del 60% de las investigaciones regulatorias referentes al uso o aplicación de IA, incluyen la revisión de cómo se comunicaron los incidentes, tocando aspectos como son: procedimientos, notificaciones a autoridades y usuarios, plazos, violaciones al marco legal y regulatorio, entre otros.

En el caso de nuestro país, México, la constante adopción de la IA en sectores claves como el financiero o de salud, ha generado que alrededor de 4 de cada 10 instituciones reporten incidentes digitales vinculados al uso o aplicación de la tecnología, aunque la comunicación formal de este tipo de situaciones, aún no es pareja (¿tal vez por la falta de observancia por parte de la autoridad responsable?). Sin embargo, no obstante lo anterior, se observan dos tendencias que aunque interesantes van en sentido contrario. Una primera “tendencia positiva” que dice que cada vez más las organizaciones documentan y comunican incidentes de forma temprana, lo que reduce las sanciones aplicables y fortalece la reputación. Y otra “tendencia negativa” que dice que muchas empresas aún carecen de protocolos claros de actuación, lo que les genera pérdida de confianza y riesgos legales significativos.

ISO/IEC 42001:2023 y el control A.8.4

Como ya se mencionó al inicio del artículo, existe una norma internacional especializada en el uso responsable de la inteligencia artificial y esa norma es la ISO/IEC 42001:2023. Dicho estándar, viene a constituir la primera norma internacional desarrollada y liberada al público en general, para aplicarse a los Sistemas de Gestión de Inteligencia Artificial (SGIA). Además dentro del estándar, se han establecido controles de IA para diversos objetivos de control relacionados con aspectos como son:

Las políticas relacionadas con la IA.
La organización interna necesaria.
Los recursos para sistemas de IA.
La valoración de impactos de sistemas de IA (AISIA).
La guía para la gestión del desarrollo de sistemas de IA.
La guía para el ciclo de vida de sistemas de IA.
Los datos para sistemas de IA.
La información para partes interesadas de sistemas de IA.
Entre otros.

De todos los rubros previos, es en el referente a “Información para partes interesadas de sistemas de IA”, en donde encontramos el control A.8.4. Comunicación de incidentes. Tal control establece, con el propósito de lograr una rapidez y transparencia adecuada en el manejo de los incidentes en sistemas de IA, los siguientes puntos:

Contar con procesos documentados e implementados para identificar y clasificar oportunamente los incidentes de IA.
Establecer los mecanismos de comunicación temprana y transparente para todas las partes interesadas (ej. clientes o usuarios, autoridades o reguladores, empleados, etc.).
Obtener evidencia verificable mediante registros claros de qué ocurrió, cómo se detectó y qué medidas se tomaron.
Establecer una cadena de mando bien definida a través de la asignación de roles y responsabilidades claras para responder y comunicar oportunamente los incidentes de IA.
Procurar la mejora continua a través del aprendizaje constante de cada incidente, para evitar su recurrencia.

Conclusión final

El uso de la tecnología de inteligencia artificial, como tecnología, conlleva algunos retos y riesgos para nuestra especie o humanidad. Acercarse a la legislación, regulación y/o a los estándares internacionales existentes en la materia, parece no solo un acto sensato, sino necesario. De acuerdo con las tendencias que marcan algunos estudios hechos sobre IA, hay tendencias positivas que, indican que las organizaciones en el mundo que comunican sus incidentes de IA de manera oportuna, reducen hasta en un 50% el impacto en imagen o reputación, así como demuestran tener una mayor resiliencia. Por el otro lado, hay también tendencias negativas que, indican que las organizaciones que guardan silencio o cuya comunicación es tardía, pierden credibilidad en el mercado y ante la sociedad misma, además de hacerse acreedoras a sanciones regulatorias por parte de la autoridad.

En síntesis, podemos afirmar que la comunicación de incidentes en IA está ganando peso en todo el mundo, las estadísticas obtenidas hasta ahora muestran que la mayoría de las organizaciones, ya enfrentan y reportan incidentes digitales. La norma ISO 42001 a través de su control A.8.4, convierte esa práctica en un requisito formal para los Sistemas de Gestión de IA. Por lo tanto, ¡ya NO basta con resolver el incidente!, ahora hay que comunicarlo con rapidez, transparencia y evidencia verificable.

La comunicación de incidentes en IA es ya un estándar ampliamente esperado por reguladores y clientes, cuya tendencia positiva es gratificante, pero aún hay brechas importantes por abatir en regiones como América Latina, para conectar directamente con la confianza de clientes, reguladores y con la propia resiliencia organizacional.

Si a ti te interesa saber más sobre el tema o cómo podemos apoyarte a desarrollar un Sistema de Gestión de Inteligencia Artificial en tu organización, para un uso responsable y seguro de la IA, ¡escríbenos, será un gusto poder orientarte y apoyarte!

Referencias y/o consultas

1. International Standard ISO/IEC 42001:2023. Information Technology - Artificial Intelligence - Management System. First Edition, Dic-2023.

2. Portal oficial de normas ISO: https://www.iso.org/obp/ui/en/#iso:std:iso-iec:42001:ed-1:v1:en

3. Portal de ISMS Online: https://es.isms.online/iso-42001/annex-a-controls/a-8-information-for-interested-parties-of-ai-systems/a-8-4-communication-of-incidents/?utm_source=copilot.com

4. Portal de normas ISO: https://normasiso.diaonia.com/isoiec-42001-ai-management-system-incident-response-requirements/?utm_source=copilot.com

Contacto

Septiembre, 2026

(ISO 27001 - SGSI) + (ISO 27037 - Manejo de evidencia digital)
Por David Mondragón Tapia

¿Evidencia digital?

En México y a nivel mundial, la evidencia digital tiene una incidencia cada vez mayor y a la vez positiva tanto en juicios como en procesos disciplinarios. Para el año 2025 más del 70% de los tribunales del país, habían incorporado ya, el uso de plataformas digitales y este porcentaje aumenta si hablamos de países en la Unión Europea, siendo mayor al 80% de los casos disciplinarios internos en empresas u organizaciones privadas, en donde se incluía algún tipo de evidencia digital probatoria o prueba digital. Sin embargo, a pesar de estas cifras tan alentadoras, aún persisten desigualdades en su adopción e implementación, así como retos de “confiabilidad”, que aún están pendientes por superarse.

Panorama general de la evidencia digital

Del periodo que va del año 2015 al 2025, el manejo de la evidencia digital en México se ha incrementado significativamente, encontrando su uso integrado en áreas como son:

El Poder Judicial de la Federación y en numerosos tribunales estatales que han admitido su uso y valoración tanto en juicios en línea como en sistemas de gestión digital.
En el caso de los procesos disciplinarios internos tanto en instituciones privadas como públicas, en donde estudios recientes muestran que más del 60% de estos procesos, incluyen evidencia digital como pueden ser: correos electrónicos, registros de acceso, archivos o documentos electrónicos, principalmente.
Los poderes judiciales de las distintas entidades federativas o estados, en donde también la han integrado, aunque presentándose aún desigualdades entre una y otra entidad. Por ejemplo, algunas entidades cuentan ya con plataformas robustas, mientras que otras, apenas se encuentran iniciando su proceso de digitalización.

En el caso de Europa y América del Norte, también podemos encontrar diversos casos que ilustran cómo la evidencia digital, se ha venido integrando en diferentes ámbitos como son:

En la Unión Europea, el Reglamento General de Protección de Datos (GDPR) y las directrices emitidas por la Comisión Europea, han impulsado para que más del 80% de los procesos disciplinarios corporativos, incluyan evidencia digital (ej. mensajes, registros de sistemas o metadatos).
En los Estados Unidos de América (EUA) más del 90% de las pruebas aportadas durante los juicios civiles, tienen algún componente digital.
En los mismos EUA se ha declarado como un estándar, el uso del e-discovery o descubrimiento electrónico (ESI), tanto en litigios civiles y penales, como en investigaciones internas corporativas, en auditorías y cumplimiento normativo, así como en casos de fraude o conducta irregular dentro de las organizaciones.

La norma ISO/IEC 27001 vs Evidencia digital

A nivel mundial, la norma ISO/IEC 27001 es el estándar internacional con mayor reconocimiento para operar y certificar Sistemas de Gestión de Seguridad de la Información (SGSI). Lo anterior se debe, a que define una serie de requisitos necesarios para ofrecer protección a los datos o información de las organizaciones, a través de la gestión de los riesgos de seguridad y la implementación de controles ad hoc. Otra razón de su amplio reconocimiento, es que puede ser aplicada a cualquier tipo de organización sin importar su naturaleza, tamaño y sector.

Una organización que demuestra conformidad con esta norma, significa que cuenta con un sistema para gestionar riesgos relacionados con la seguridad de la información, apegándose a buenas prácticas internacionales. Los beneficios que la certificación conlleva a las organizaciones son varios, destacando entre estos:

Una mayor resiliencia ante los ciberataques.
Una mejor preparación para hacer frente a nuevas amenazas.
La preservación de la integridad, confidencialidad y disponibilidad de los datos o información.
Una mayor protección en toda la organización.
Un ahorro en los costos de los incidentes de seguridad de la información, al anticiparse o prevenirlos.
Entre otros beneficios.

Como parte de los controles de seguridad de la información, la ISO 27001 define las guías para la implementación del control 5.28 Recolección de evidencia, un control perteneciente a la categoría de los controles organizacionales, que propone de manera resumida, la necesidad de que las organizaciones establezcan e implementen procesos o procedimientos para identificar, recolectar, adquirir y preservar evidencia relacionada con eventos de seguridad de la información.

La norma ISO/IEC 27037 vs Evidencia digital

Si hablamos de evidencia digital y estándares internacionales, tal vez no tan conocidos como lo es la ISO/IEC 27001, existe un estándar internacional que proporciona guías prácticas para el manejo de evidencia digital de manera que sea válida, confiable y admisible en procesos legales (juicios), disciplinarios (corporativos) o auditorías. Esta norma es la ISO/IEC 27037, misma que establece las directrices necesarias para la identificación, recolección, adquisición y preservación de evidencia digital, como complemento al marco legal y regulatorio de cada localidad o región, considerándose buenas prácticas en la materia.

La ISO 27037 establece cuatro procesos para el manejo inicial de la evidencia digital, pero sin llegar hasta el proceso de análisis, mismo que es necesario para posteriormente poder presentar los resultados ante alguna autoridad o instancia, que finalmente los valorará en función de su relevancia para el caso que se esté intentando resolver. Los cuatro procesos establecidos por la norma son:

Identificación: proceso que incluye la búsqueda, reconocimiento y documentación de la evidencia digital potencial.
Recolección: proceso de recolección de los elementos físicos que contienen evidencia digital potencial.
Adquisición: proceso de creación de una copia de datos dentro de un conjunto definido o copia de la evidencia digital potencial.
Preservación: proceso de mantener y salvaguardar la integridad de los elementos físicos que contienen la potencial evidencia digital.

El apego o cumplimiento de los procesos anteriores, permitiría cumplir también con los aspectos establecidos por el control 5.28 Recolección de evidencia, de acuerdo con el Anexo “A” de la ISO 27001. Así, se puede observar que la norma ISO 27037 tiene una integración natural con la norma ISO 27001, lo que facilitaría el manejo de evidencia digital pero ahora como parte de un Sistema de Gestión de Seguridad de la Información, que tendría que gestionar también, los eventos e incidentes de seguridad de la información.

Algunas otras aplicaciones prácticas dadas a la ISO 27037, las podremos encontrar en los casos siguientes:

Las auditorías de seguridad informática.
Las investigaciones forenses digitales (ej. fraudes o delitos cibernéticos).
En el cumplimiento normativo de leyes de protección de datos y seguridad.
En las empresas que necesitan demostrar trazabilidad y responsabilidad en el manejo de información.

Reflexión final

La cada vez mayor incidencia de la evidencia digital en juicios y procesos disciplinarios, es claramente un aspecto positivo y creciente de las bondades de la tecnología (¡no todo es bueno, no todo es malo!). Las estadísticas que muestran su uso mayoritario en países desarrollados (Europa y América del Norte) y un notable crecimiento de su adopción en México (2015 - 2025), dan fe de esto. Sin embargo, aún quedan grandes retos por enfrentar en cuanto a tener una mayor homogeneidad en la infraestructura utilizada, así como en el fortalecimiento de la confianza y validez de la evidencia digital (ante cortes u organizaciones).

En este ámbito, la norma ISO 27037 se inserta como una opción que ofrece un manual de buenas prácticas para el manejo de evidencia digital potencial, asegurando que se conserve su integridad, autenticidad y admisibilidad, para que pueda llegar a ser evidencia digital probatoria. Además, la 27037 se integra de manera natural con la norma ISO 27001, una norma internacional ampliamente reconocida y aceptada para Sistemas de Gestión de Seguridad de la Información.

Si a ti te interesa saber más sobre el tema o cómo podemos apoyarte a desarrollar tu Sistema de Gestión de Seguridad de la Información, considerando el manejo de evidencia digital, ¡escríbenos, será un gusto platicar contigo y poder ayudarte!

Referencias y/o consultas

1. International Standard ISO/IEC 27001:2022. Information security, cybersecurity and privacy protection - Information security management systems - Requirements.

2. International Standard ISO/IEC 27037:2012. Information technology - Security techniques - Guidelines for identification, collection, acquisition and preservation of digital evidence.

3. Portal de las normas ISO: https://www.iso.org/standard/44381.html

4. Portal Scielo: https://www.scielo.org.mx/scielo.php?script=sci_arttext&pid=S2594-00822025000200003&utm_source=copilot.com

5. Portal de Revista Jurídica UNAM: https://revistas.juridicas.unam.mx/index.php/derecho-informacion/article/view/19648?utm_source=copilot.com

6. Publicación especializada de la CONAMER: https://www.gob.mx/cms/uploads/attachment/file/487196/Hacia_una_Justicia_Digital_portal.pdf?utm_source=copilot.com

Contacto

Agosto, 2026

El análisis forense digital y la norma ISO/IEC 27037
Por David Mondragón Tapia

Panorama del capital humano

Fenómenos como la transformación digital, que se aceleró a partir del año 2020 en las organizaciones y por ende, en los individuos, así como el actual proceso de incorporación de la inteligencia artificial en los diversos ámbitos de la vida humana, están dinamitando las posibilidades para lo que se puede hacer de manera remota, virtual y con un extraordinario apoyo de las máquinas. Desafortunadamente esto se da no solo en el ámbito de las cosas ”buenas” o benéficas para el ser humano, sino también en el ámbito de las “malas” o negativas, fomentando la delincuencia, el crimen o los incidentes de ciberseguridad.

El panorama actual que guarda el capital humano dedicado a la actividad del análisis forense digital y particularmente aplicando los lineamientos de normas internacionales como la ISO/IEC 27037 o las NIST, muestra una creciente necesidad de perfiles especializados tanto en el sector privado (ej. consultoras, corporaciones, servicios especializados, etc.) como en el sector público (ej. poder judicial, ministerios públicos, cortes, etc.). Dicha tendencia remarca la necesidad de contar cada vez más, con equipos multidisciplinarios que combinen las capacidades y habilidades de los peritos informáticos, los abogados especializados en evidencia digital y los expertos en ciberseguridad.

El capital humano en el sector privado

Si exploramos el sector privado, en este sector encontraremos que suele tener una mayor flexibilidad para encontrar y contratar perfiles híbridos, que combinen competencias en el ámbito de las tecnologías de información con las legales. Sin embargo y a pesar de tal flexibilidad, el sector privado enfrenta el reto de tener que absorber altos costos, así como una escasez de talento certificado. Cabe destacar además, que el costo para los profesionales que se dedican o quieren dedicarse al análisis forense digital, es considerablemente alto y complejo de mantener.

Algunos ejemplos de estos perfiles los podemos encontrar en los siguientes casos:

Consultores en ciberseguridad y respuesta a incidentes: en donde las empresas privadas requieren este tipo de especialistas, integrando el análisis forense digital con los planes de resiliencia.
Auditores de cumplimiento normativo: profesionales que aseguren que las prácticas de preservación de evidencia digital, cumplen con los lineamientos de normas como la ISO/IEC 27037 u otras normas como la NIST SP 800-86.
Equipos legales corporativos: abogados internos con conocimiento en evidencia digital, tan necesaria hoy en día para llevar arbitrajes y litigios.
Laboratorios forenses privados: unidades integradas por técnicos especializados en la adquisición bit a bit, el uso de herramientas forenses (ej. EnCase, FTK o Autopsy) y la validación mediante hash criptográficos.

El capital humano en el sector gobierno

Si ahora exploramos el sector público, en este sector encontraremos particularmente en México, que existe también un déficit de personal (perfiles) con la formación y certificación requerida en normas internacionales (ej. ISO o NIST), lo cual genera una alta dependencia de los servicios especializados entregados por laboratorios forenses privados y peritos externos, o bien la necesidad urgente de recibir capacitación ad hoc.

Algunos ejemplos de estos perfiles los podemos encontrar en los siguientes casos:

Peritos informáticos forenses: personal encargado de aplicar normas como la ISO/IEC 27037 y la 27042, en el proceso de identificación, recolección, adquisición, preservación, análisis y presentación de la evidencia digital.
Agentes del ministerio público y jueces capacitados en evidencia digital: personal que necesita educación o formación para poder valorar la admisibilidad de las pruebas digitales en los juicios.
Especialistas en cadena de custodia digital: personal entrenado en la documentación rigurosa del acceso y la manipulación de la evidencia digital.
Unidades de policía cibernética: unidades integradas por técnicos en informática y analistas de inteligencia digital, que resultan claves en la investigación de los delitos cibernéticos.

Comparación de necesidades de capital humano

Si realizamos una comparación rápida de las principales características, que presenta el capital humano orientado hacia la actividad profesional del análisis forense digital, considerando tanto el sector privado como el público y destacando rubros como: perfil, objetivo o propósito, limitaciones, marcos de trabajo y tendencias, obtendríamos la tabla siguiente:

Perfiles claves:

SPR: consultores forenses, auditores de cumplimiento, entre otros.
SPU: peritos judiciales, jueces capacitados, entre otros.

Objetivo principal:

SPR: mitigación de riesgos, resiliencia corporativa, principalmente.
SPU: admisibilidad de pruebas en juicio, principalmente.

Limitaciones:

SPR: altos costos de contratación y certificación.
SPU: escasez de formación estandarizada.

Normas aplicadas:

SPR: ISO/IEC 27037 y NIST SP 800-86.
SPU: ISO/IEC 27037 y NIST SP 800-86.

Tendencias:

SPR: tercerización a laboratorios forenses y peritos externos.
SPU: creación de unidades cibernéticas o policías cibernéticas.

Notación: SPR = Sector privado, SPU = Sector público

Retos y recomendaciones

Si nosotros nos encontráramos o mejor aún, nos encontramos explorando, tenemos inquietud, interés o hemos decidido ya integrarnos a este “mundo forense”, entonces, ante tal panorama de retos y oportunidades que vamos a encontrar, la pregunta por plantear es: ¿Qué podemos hacer para poner manos a la acción y no quedarnos fuera?

Algunos de los retos y recomendaciones por atender, son los siguientes:

Abatir el déficit de talento certificado: tanto en sector gobierno como en privado, hay escasez de especialistas con acreditaciones internacionales.
Enfatizar la necesidad de formación continua: la volatilidad de los datos digitales exige una actualización constante en técnicas y herramientas de trabajo.
Establecer los equipos multidisciplinarios obligatorios: no basta con tener solamente técnicos, se requieren también abogados, jueces y auditores con conocimiento en evidencia digital.
Fomentar la inversión en laboratorios forenses: el sector público necesita seguir fortaleciendo su infraestructura propia, para no depender de laboratorios y servicios privados.

Conclusión final

El capital humano que se requiere para el análisis forense digital efectivo y sobre todo, bajo normas internacionales como la ISO/IEC 27037, la NIST SP 800-86 o la ACPO/NPCC, debe ser personal competente, multidisciplinario y certificado. Sin embargo, hoy existe un déficit real de especialistas en esta materia, tanto en las empresas privadas como en el poder judicial (ej. México). Si se le quiere dar la vuelta a esta situación, la clave está en invertir en formación y crear equipos híbridos de trabajo, que puedan integrar los aspectos técnicos con lo legal.

Referencias y/o consultas

1. International Standard ISO/IEC 27037:2012. Information technology - Security techniques - Guidelines for identification, collection, acquisition and preservation of digital evidence.

2. International Standard ISO/IEC 27001:2022. Information security, cybersecurity and privacy protection - Information security management systems - Requirements.

3. Portal de Informática Forense: https://informaticaforense.com/el-estandar-iso-iec-27037-y-la-evidencia-digital/?utm_source=copilot.com

4. Portal de Normas ISO: https://normasiso.diaonia.com/isoiec-27037-digital-evidence/?utm_source=copilot.com

5. Artículo en LinkedIN: “Normas y Directrices en el Análisis Forense” por Maurice Frayssinet D., url: https://www.linkedin.com/pulse/normas-y-directrices-en-el-an%25C3%25A1lisis-forense-digital-e-maurice-w4pue/?utm_source=copilot.com

Contacto

Julio, 2026

Uso responsable y seguro de la IA con base en la ISO 42001
Por David Mondragón Tapia

Panorama general

El uso responsable y seguro de la inteligencia artificial o también llamada “IA”, hoy en día es un tema prioritario a nivel internacional, ya que organismos como la Organización de las Naciones Unidas (ONU) advierten que sin una regulación global, que sea adecuada al entorno actual de aplicación creciente y desarrollo acelerado de dicha tecnología, puede agravarse la desigualdad entre los seres humanos. Por otro lado, algunos estudios realizados por la prestigiosa firma McKinsey & Company, así como por la Oficina del Alto Comisionado de los Derechos Humanos, destacan el potencial positivo que está teniendo y que tendrá aún más en el futuro, el uso de la IA en temas como son: 1) la mejora de la salud, 2) el clima y 3) la inclusión social.

Dentro de los impactos o consecuencias hasta ahora previsibles por el uso de la IA, tanto en los individuos, grupos de individuos y en las sociedades, se encuentran los siguientes:

Riesgos y regulación general:
- ONU (2024): por su carácter transfronterizo, la IA requiere regulación mundial para evitar brechas digitales y desigualdad, por lo que la opción de dejar su desarrollo y autorregulación solamente al mercado, no es aconsejable.
- Derechos humanos: el uso irresponsable de la IA puede afectar derechos fundamentales como son: privacidad, libertad de expresión y equidad.
Impactos positivos:
- Salud: la aplicación de la IA en el diagnóstico temprano y la gestión hospitalaria, mejora significativamente la atención médica a las personas.
- Clima y sostenibilidad: los modelos predictivos de IA, ayudan a optimizar el consumo energético (ej. manufactura, almacenes o centros de datos) y a reducir las emisiones contaminantes.
- Inclusión social: la IA puede apoyar en los programas de educación personalizada y accesibilidad para personas con capacidades diferentes.
Impactos negativos:
- Sesgos algorítmicos: existe un riesgo de discriminación o exclusión en los procesos de contratación, impartición de justicia y acceso a servicios.
- Privacidad: por el uso masivo de datos personales o de identificación personal, sin transparencia.
- Desempleo tecnológico: por la automatización de tareas rutinarias y algunas otras administrativas, que desplaza a personas de empleos tradicionales en diversos sectores económicos.

Retos y riesgos de la IA

La continua integración de la inteligencia artificial en los distintos ámbitos de la vida o actividades del ser humano, conllevará al menos durante la tercera década del siglo XXI (hasta 2030), una serie de retos y riesgos de la IA, mismos que deberemos aprender a resolver en el camino. Algunos de estos retos y riesgos de la IA son los siguientes:

Retos de la IA:
1. Regulación: de acuerdo con la ONU, más de 60 países han iniciado marcos regulatorios de IA (ej. Unión Europea, E.U.A., China y Latinoamérica), faltando todavía poco más de dos terceras partes de estos.
2. Impacto social: de acuerdo con la firma McKinsey & Company, el 70% de los proyectos de IA para el bien social, se enfocan en salud, educación y medio ambiente, debiendo todavía extenderse este enfoque hacia otros ámbitos.
3. Derechos humanos: de acuerdo con la Oficina del Alto Comisionado de los Derechos Humanos, la ONU identifica a la IA como clave para cumplir la “Agenda 2030”, pero también advierte sobre riesgos de exclusión, si no se regula oportunamente.
Riesgos de la IA:

Falta de transparencia (explicability): una gran proporción de los sistemas de IA funcionan como “cajas negras”, que resultan difíciles de entender y auditar.
Concentración de poder: son unas cuantas corporaciones tecnológicas las que dominan el desarrollo de la IA, lo que puede limitar el acceso equitativo.
Desigualdad global: los países en vías de desarrollo enfrentan serias barreras para adoptar la IA, de manera segura y responsable.

Inteligencia artificial vs Norma ISO 42001

Como ya se mencionó anteriormente, la inteligencia artificial se aplica cada vez más en todos los sectores que utilizan tecnologías de la información y como consecuencia de esto, se espera que ciertas aplicaciones puedan implicar verdaderos desafíos sociales en los años por venir. Ante tal situación, la Organización Internacional de Normalización mejor conocida como “ISO”, ha puesto a disposición del mercado la norma ISO/IEC 42001:2023 (Sistemas de Gestión de IA), con el propósito de apoyar a las organizaciones de cualquier tamaño, giro o sector, a desempeñar un rol responsable respecto al aprovisionamiento o uso de los sistemas de IA (ej. uso, desarrollo o entrega de productos y/o servicios basados en IA). Lo anterior resulta particularmente importante, para hacer frente de mejor manera a casos específicos que utilizan la IA, para/en lo siguiente:

En la toma de decisiones automáticas de forma poco transparente e inexplicable, pudiendo requerir una gestión específica para supervisar y garantizar resultados consistentes.
En el análisis de datos, conocimiento y aprendizaje automático, que sustituye al ser humano, aumentando las oportunidades de aplicación de los sistemas de IA y modificando la forma en que estos se desarrollan, justifican e implementan.
En los sistemas de IA que realizan aprendizaje continuo, modificando su comportamiento durante su uso, pudiendo requerir consideraciones especiales para garantizar su uso responsable a pesar de los cambios en su comportamiento.

Así pues, en la norma ISO 42001 se encuentran contenidos los requisitos propuestos para planear y operar un Sistema de Gestión de IA, de acuerdo con el contexto de cada organización. Dichos requisitos deberán ser aplicados por las organizaciones, de acuerdo con las características propias de la inteligencia artificial implicada. Tales características (ej. la capacidad de aprender y mejorar continuamente, la falta de transparencia o explicability, la integración de diversos componentes de IA en el sistema, la robustez tecnológica, entre otros), podrán requerir controles de IA y medidas diferentes si plantean preocupaciones adicionales (riesgos) para la organización. La alta dirección de las organizaciones que adopten un Sistema de Gestión de IA, debe comprender y asumir como una decisión estratégica la ampliación de las estructuras de gestión existentes, incorporando ahora la figura y los departamentos especializados en IA (ej. Chief Artificial Intelligence Officer).

Controles de IA

Algunos factores que influyen en el establecimiento e implementación del Sistema de Gestión de IA, son los casos de uso de la IA y la necesidad de lograr un equilibrio entre los mecanismos de gobernanza y la innovación. Además, las organizaciones podrán optar por aplicar los requisitos del sistema de gestión, mediante un enfoque basado en el riesgo de IA, con el fin de garantizar que se aplique el nivel de control adecuado para los casos de uso, servicios y/o productos de IA específicos del ámbito de la organización. Un aspecto clave de la gestión de riesgos de IA, para mantener el nivel de protección suficiente, es que la información relacionada se revise y actualice periódicamente.

El Sistema de Gestión de IA debe considerar e integrar aspectos específicos relacionados con la inteligencia artificial utilizada (según la arquitectura e información disponible), destacando algunos de los siguientes:

La política organizacional en la materia.
La gestión de riesgos de IA definida e implementada para la organización.
La confiabilidad de los sistemas de IA (ej. seguridad, protección, equidad, transparencia, calidad de los datos, calidad de los sistemas de IA vs ciclo de vida, etc.).
Los proveedores, socios y terceros que proporcionen o desarrollen sistemas de IA para la organización, entre otros.

En el anexo “A” de la norma ISO 42001, se ha plasmado una relación de los objetivos de control (10) y controles de IA (38) aplicables a los aspectos específicos de dicha tecnología, con el objetivo de poder seleccionar e implementar los controles y medidas aplicables a su organización. Por ejemplo, retomando el tema de los impactos o consecuencias ocasionados por el uso de la IA sobre los individuos, grupos de individuos y las sociedades, el objetivo de control: A.5 Valorando los impactos de los sistemas de IA, en su control: A.5.2 Proceso de valoración de impactos de los sistemas de IA, establece que: “se debe establecer un proceso para evaluar las posibles consecuencias para los individuos o grupos de individuos, o ambos, así como para las sociedades que puedan resultar del sistema de IA a lo largo de su ciclo de vida”.

Reflexión final

No cabe duda que la inteligencia artificial o IA, tiene un enorme potencial para mejorar la vida de millones de personas en el mundo, sin embargo su uso irresponsable e inseguro, junto a la ausencia de una regulación global y principios éticos claros que guíen su aplicación, puede profundizar las desigualdades. Afortunadamente existe ya un consenso entre los organismos internacionales (ej. la Organización Internacional de Normalización o ISO, la ONU o la Comisión Europea) sobre lo que debe considerar un uso responsable de la IA, destacando lo siguiente: 1) transparencia, 2) rendición de cuentas, 3) protección de datos y 4) equidad. En el caso de Latinoamérica y particularmente de México, el reto consiste en alinear las políticas nacionales con los estándares internacionales vigentes (ej. ISO 42001, sus objetivos y controles de IA), con el fin de garantizar que la integración de la IA beneficia o beneficiará a los individuos, a los grupos de individuos y a las comunidades, sin generar ningún tipo de sesgo, discriminación o exclusión.

Referencias y/o consultas

1. International Standard ISO/IEC 42001:2023. Information Technology - Artificial Intelligence - Management System. First Edition, Dic-2023.

2. Portal de la ONU: https://news.un.org/es/story/2024/09/1532941

3. Portal de la firma McKinsey & Company: https://www.mckinsey.com/featured-insights/destacados/ia-para-el-bien-social-mejorar-vidas-y-proteger-el-planeta/es

4. Portal de la Oficina del Alto Comisionado de los Derechos Humanos de la ONU: https://www.ohchr.org/es/stories/2024/06/artificial-intelligence-game-changer-sustainable-development

Contacto

Junio, 2026

Protección de la información con base en la norma ISO 27001
Por David Mondragón Tapia

Panorama 2025-2026

Durante el año 2025 y lo que va del 2026, la seguridad de la información ha enfrentado un panorama crítico. Lo anterior se puede afirmar cuando más del 60% de las empresas PyMEs en México, han sufrido algún tipo de ataque digital, esto sin considerar que las PyMEs representan entre el 95 y 99 por ciento del total de empresas en el país. La situación se agrava aún más si consideramos que a nivel mundial, el Fondo Monetario Internacional (FMI) estima que la ciberdelincuencia costará al mundo la impresionante cifra de 23 billones de dólares para el año 2027, lo que representará un incremento del 175% con respecto al 2022 (¡en solo cinco años!). ¡Si, seguramente coincidimos con el pensamiento!, el panorama se ve preocupante y a la vez interesante.

Como ya se mencionó anteriormente, en México, más del 60% de las PyMEs mexicanas fueron blancos de intentos de robo de datos, ransomware y/o accesos no autorizados, provocando pérdidas económicas, paros operativos y/o daños en la reputación, resultando en incidentes que superaron generalmente la capacidad de respuesta de estas. Lo anterior, ha dejado al descubierto la ausencia de estrategias formales de seguridad de la información, ciberseguridad, protección de la privacidad y monitoreo continuo de seguridad, principalmente. En el caso de Latinoamérica (ej. México, Colombia y Chile), los ataques digitales vienen creciendo año con año tanto en frecuencia como en costo, destacando nuevamente el ransomware, así como los fraudes online y el robo de datos. Desde la pandemia de COVID-19, tendencias como la digitalización y el trabajo flexible, han incrementado la exposición de las empresas y las personas, a sufrir algún tipo de ciberataque. ¿Y tú, ya estás preparad@ para este desafio?

Amenazas y riesgos a la seguridad de la información

Hoy en día, la necesidad de ofrecer una seguridad ad-hoc para la información de las organizaciones y las personas, enfrenta amenazas evolutivas destacando algunas de las siguientes:

Ransomware: a través del secuestro de información considerada “crítica” por la parte interesada, exigiendo a cambio de su liberación, un pago.
Phishing y fraudes online: a través de campañas masivas y/o dirigidas a sujetos o grupos de sujetos, para robar las credenciales y los datos financieros de estos.
Robo de identidad: a través del uso indebido y no autorizado de los datos personales o información de identificación personal, mismos que fueron obtenidos mediante filtraciones.
Ataques a la cadena de suministro: a través de la vulneración de los proveedores, para posteriormente tener acceso a los sistemas corporativos del objetivo final.
Falta de capacitación interna: en México, la nula o escasa concientización, capacitación y/o formación en materia de seguridad de la información, provoca que muchas PyMEs enfrenten incidentes frecuentes o incluso recurrentes.

No quepa la menor duda, que aunque hoy existen diferentes tipos de recursos y opciones aplicables a la seguridad de la información de una organización, es la falta de planes, programas o sistemas de seguridad de la información y particularmente en el sector de las empresas PyMEs en México, lo que las convierte en objetivos fáciles para la delincuencia informática. Ante tan preocupante situación, las organizaciones pero también las personas, deben procurar seguir algunas de las recomendaciones que a continuación se comparten:

La habilitación de capacidades de monitoreo continuo.
La implementación de planes de respuesta a incidentes.
La inversión en copias de seguridad seguras y preferentemente completas para mitigar el riesgo de ransomware.
El uso de autenticación de múltiples factores.
La implementación del cifrado de datos sensibles.
La capacitación y concientización del personal especialmente en la detección de phishing y en buenas prácticas digitales.

Seguridad de la información vs Norma ISO 27001

En la actualidad, todas las organizaciones requieren y manejan algún grado de información para la realización o cumplimiento de sus operaciones diarias, en muchas ocasiones integrando también “información de identificación personal o datos personales”. Si a la anterior situación, le adicionamos que la información digital crece en cuanto a los tipos y la cantidad de información que se viene manipulando, el panorama se torna mucho más retador para los profesionales y las áreas responsables de la seguridad de la información. Es en este contexto, que ofrecer y garantizar un nivel de protección adecuado contra las amenazas que podrían comprometer la seguridad de la información, ya no es solo una expectativa, sino que se volvió una necesidad o exigencia del mercado y la sociedad.

La norma internacional ISO 27001 en su edición del año 2022, es la contribución hecha por la Organización Internacional de Normalización, para definir los requisitos necesarios para planear y operar un Sistema de Gestión de Seguridad de la Información, de acuerdo con las características contextuales de su propia organización. La norma considera dentro de sus requisitos, algunos enfocados en las actividades de valoración y tratamiento de riesgos de seguridad de la información, de acuerdo con las necesidades de protección de cada organización. Los requisitos establecidos en la norma, son genéricos, facilitando con esto que puedan ser aplicables y cumplidos por cualquier organización, sin importar su tipo (ej. privada o pública), su tamaño (ej. micro, pequeña, mediana o grande) o su naturaleza (ej. financiera, tecnológica, manufactura, aeroespacial, educación, etc.).

Al implementar y certificar su Sistema de Gestión de Seguridad de la Información, se asegura que la confidencialidad, integridad y disponibilidad de la información se protege, mediante la aplicación de un proceso de gestión de riesgos y diversos controles de seguridad de la información, brindando con esto “confianza” a cualquier parte interesada, en que los riesgos a la información se gestionan adecuadamente.

Controles de seguridad de la información

Al implementar un Sistema de Gestión de Seguridad de la Información con base en la norma ISO 27001, la organización deberá definir y aplicar un proceso para el Tratamiento de los Riesgos de (S)eguridad de la (I)nformación (ref. sección 6.1.3), considerando entre otros aspectos los siguientes:

La selección de las opciones de tratamiento adecuadas para los riesgos de seguridad de la información (ej. aceptar, reducir, evitar, etc.), considerando los resultados del proceso de Valoración de Riesgos de SI.
La determinación de todos los controles de SI que sean necesarios para implementar las opciones de tratamiento seleccionadas.
La elaboración del Plan de tratamiento para garantizar que las opciones y los controles de SI seleccionados, son implementados.

Estos dos últimos puntos se podrán cubrir mediante el uso y determinación de los controles de SI (ej. organizacionales, físicos, etc.) que se encuentran contenidos en el Anexo “A” de la norma ISO 27001, así como mediante el uso complementario de cualquier otra fuente de información especializada (ej. NIST-CSF, CIS Controls o la misma ISO 27017, 27018 y 27032).

Regresando a alguna de las amenazas a la seguridad de la información que vienen evolucionando de manera acelerada, imaginemos por un momento el escenario siguiente: “ocurre un acceso no autorizado a nuestra infraestructura e información corporativa, a través de un usuario utilizado por uno de nuestros proveedores, provocando divulgación de información sensible, ¿qué se debería haber hecho para evitar esta situación? La respuesta puede tener muchas posibilidades, pudiendo ir desde la definición, aplicación y supervisión de una serie de requisitos de seguridad (ej. control de acceso), hasta la elaboración y seguimiento de mejores contratos y acuerdos con los proveedores o terceros.

De acuerdo con los controles de seguridad de la información de la ISO 27001 Anexo “A”, se ha establecido el control: 5.19 Seguridad de la información para la relación con proveedores, en donde se dice que se deben definir e implementar los procesos y procedimientos necesarios para gestionar los riesgos de seguridad de la información, de acuerdo con el tipo de relación establecida con un proveedor o tercero, además se debieran abordar los requisitos de seguridad de la información aplicable a cada tipo de relación con un proveedor (ref. al control 5.20 Abordar la seguridad de la información dentro de los acuerdos con proveedores).

Lo anterior nos señala que ya se han definido una serie de controles organizacionales, con el fin de proteger la información mediante la implementación de medidas o acciones, aplicables a los diversos riesgos de SI, de acuerdo con los resultados de una gestión de riesgos de SI y sin necesidad de estar improvisando (¿seguridad por aproximaciones?).

Reflexión final

En conclusión, la seguridad de la información en los años 2025-2026, está marcada por un crecimiento acelerado de los ataques y los costos globales. En México, es particularmente vulnerable el sector PyME con más del 60% de este tipo de organizaciones mexicanas, experimentando diversos tipos de incidentes mientras que a nivel mundial, los ataques a las telecomunicaciones y los servicios públicos crecieron más del 30%.

También en los años 2025–2026, los sectores más atacados tanto a nivel global como en México son: 1) gobierno, 2) educación, 3) telecomunicaciones, 4) PyMEs, 5) finanzas y 6) salud, ocupando el ransomware y el robo de datos, los primeros lugares en cuanto a las principales amenazas. Los principales motivos y razones de tales tendencias, son:

En gobierno y educación, por la gran cantidad de datos personales que manejan.
En las telecomunicaciones, porque se puede afectar a millones de usuarios simultáneamente.
En las PyMEs mexicanas, porque el sector es el más vulnerable debido a la falta de sistemas, programas o planes formales de seguridad o ciberseguridad.
Y finalmente en las finanzas y salud, porque el robo de datos tiene consecuencias económicas y sociales graves.

Si a ti te interesa saber más sobre el tema o cómo podemos apoyarte a desarrollar el Sistema de Gestión de Seguridad de la Información de tu organización, ¡escríbenos, será un gusto platicar contigo y poder ayudarte!

Referencias y/o consultas

1. International Standard ISO/IEC 27001:2022. Information security, cybersecurity and privacy protection - Information security management systems - Requirements.

2. Portal de ISO Standards: https://www.iso.org

3. Portal de SentinelOne: https://www.sentinelone.com/es/cybersecurity-101/cybersecurity/cyber-security-statistics/

4. Portal de Tantius: https://tantius.com.mx/estadisticas-de-ciberseguridad/

5. Blog de PreyProject: https://preyproject.com/es/blog/estadisticas-seguridad-informatica

Contacto

Mayo, 2026

Protección de la privacidad con base en la norma ISO 27701
Por David Mondragón Tapia

Antecedentes

No obstante que para el 2025 se estimó que al menos el 75% de la población mundial, tendría protegidos sus datos personales mediante alguna ley de privacidad, los datos personales se encuentran cada vez más amenazados dentro del ciberespacio, debido entre otras razones a que los ataques y filtraciones siguen aumentando, causando cada trimestre que millones de registros queden expuestos para fines distintos a los autorizados por sus titulares. Dicha tendencia de endurecimiento regulativo, se viene presentando sobretodo en regiones como: Europa, Asia y América Latina, siendo el caso de México, uno a destacar debido al aumento en el número de solicitudes recibidas por el Instituto de Transparencia, con el propósito de proteger los datos personales, lo que refleja una mayor preocupación ciudadana por el mal uso de dicha información.

Desde la perspectiva de la ciberseguridad el panorama es más complejo y desafiante, no solo en México sino a nivel global, pues las amenazas muestran un proceso de evolución acelerado a raíz del “aprovechamiento” de la IA, lo que viene presionando a las organizaciones públicas y privadas para invertir más en seguridad y cumplimiento.

Amenazas y riesgos de la privacidad

En nuestros días, el derecho a la privacidad enfrenta amenazas persistentes como son:

Filtraciones masivas de datos: en donde las empresas y los gobiernos, siguen siendo el blanco preferido de los ataques que logran exponer millones de registros personales, con datos como son: nombres, correos, contraseñas, datos financieros, entre otros.
Rastreo digital y vigilancia: en donde a través del uso de diversas plataformas y aplicaciones populares, se recopila información sobre el comportamiento, ubicación y preferencias de las personas (ej. cookies persistentes y de rastreo), siendo esto sin un consentimiento claro en muchas ocasiones.
Uso indebido de datos biométricos: cada vez es más común que se utilice el reconocimiento facial y las huellas digitales, con el propósito de fortalecer la seguridad en el control de acceso, sin embargo, su almacenamiento centralizado representa un riesgo considerable para la privacidad.
Phishing y robo de identidad: finalmente tenemos los ataques de ingeniería social, que siguen siendo una de las principales maneras para obtener datos personales y posteriormente hacer un mal uso de estos.

No cabe duda que aunque las leyes en materia de privacidad avanzan en el mundo, los ataques también se vienen sofisticando, por lo que la sola regulación no garantiza tener una seguridad y protección de la privacidad de manera inmediata. Ante esta realidad, las organizaciones y las personas deben procurar algunas de las acciones siguientes:

Revisión periódica de las configuraciones de privacidad en redes sociales y aplicaciones.
Uso de contraseñas robustas y autenticación de múltiple factor.
No compartir datos sensibles en la medida de lo posible y mucho menos en plataformas no verificadas.
No abrir y/o responder a correos sospechosos y campañas de phishing, manteniéndose alertas en todo momento ante estos.

Protección de la privacidad vs Norma ISO 27701

En la actualidad casi todas las organizaciones procesan datos personales o también llamada en el mundo de la normas ISO, como “información de identificación personal”. Si a esta situación le agregamos que los tipos y la cantidad de datos personales que se están procesando, va en aumento, al igual que el número de situaciones en las que una organización necesita interactuar con otras, para el procesamiento de dicha información, el panorama se vuelve más complejo. En este contexto, la protección de la privacidad es una necesidad social y un derecho irrenunciable de las personas, así como un tema que cuenta con requisitos legales específicos a nivel mundial (ej. GDPR).

La norma ISO 27701 en su nueva edición del año 2025, puede y debería ser utilizada por las organizaciones que tratan o intervienen en el tratamiento de datos personales o información de identificación personal, demostrando con esto su compromiso con la protección de la privacidad, al cumplir con los requisitos necesarios para un Sistema de Gestión de Información de Privacidad. Con esto, una organización cualquiera puede generar evidencia de cómo gestiona el procesamiento de información de identificación personal, pudiendo utilizarla también para facilitar el cierre de acuerdos con socios comerciales o algunas otras partes interesadas, cuando la protección de la privacidad sea un aspecto de interés mutuo. El apego a los requisitos y controles propuestos por la norma ISO 27701, puede servir también para el cumplimiento de algunas otras normas ISO relacionadas (ej. ISO 29100), así como para el GDPR o Reglamento General de Protección de Datos por sus siglas en español.

Objetivos de control y controles de privacidad

Al implementar un Sistema de Gestión de Información de Privacidad con base en la norma ISO 27701, la organización deberá definir y aplicar un proceso para el Tratamiento de los Riesgos de Privacidad, relacionados con el tratamiento de información de identificación personal, básicamente mediante lo siguiente:

La selección de las opciones de tratamiento adecuadas para los riesgos de privacidad identificados, considerando los resultados del proceso de Valoración de Riesgos de Privacidad.
La determinación de todos los controles que sean necesarios para implementar las opciones de tratamiento seleccionadas, entre otros aspectos.

Este último punto se podrá cubrir mediante la determinación de los objetivos de control y los controles de privacidad contenidos en el Anexo “A” de la norma ISO 27701, así como de cualquier otra fuente de información especializada y relacionada.

Ahora bien, retomando algunas de las amenazas persistentes al derecho a la privacidad, pensemos por un momento en alguno de los escenarios siguientes: ¿qué se debería hacer o cómo se debería responder, cuando ocurre una filtración masiva de datos que incluye datos biométricos o cuando se sufre el robo de identidad? La respuesta puede tener muchas aristas dependiendo de quién conteste la pregunta, pudiendo ir desde la aplicación de un plan de continuidad y recuperación detonando el plan de respuesta a incidentes, hasta la activación de protocolos de comunicación e informes a las partes interesadas.

De acuerdo con los controles de privacidad de la ISO 27701 Anexo “A”, el objetivo de control para: “Garantizar la seguridad del procesamiento de información de identificación personal”, establece en su control: A.3.12. Respuesta ante incidentes de seguridad de la información, que las organizaciones deberán responder ante los incidentes de seguridad de la información, relacionados con el procesamiento de información de identificación personal, de conformidad con los procedimientos documentados para tal fin (ref. al control A.3.11. Planeación y preparación para la gestión de incidentes de seguridad de la información).

Lo anterior nos muestra que se han identificado y definido ya, una serie de controles de privacidad para la implementación de medidas o acciones aplicables a diversos riesgos de privacidad, de acuerdo con los resultados de una gestión de riesgos especializada y sin necesidad de estar adivinando o improvisando (¿privacidad por tanteo?).

Reflexión final

En conclusión, la necesidad social de que las organizaciones pero también los individuos, protejan o aprendan a proteger su derecho a la privacidad, es hoy un tema obligatorio al menos para el 75% de la población mundial. Sin embargo, también es un hecho que la privacidad dentro del ciberespacio, ¡está en un punto crítico!, pues aunque hay más regulaciones también hay más amenazas. La clave para ofrecer una mejor protección de la privacidad y seguridad de la información, está en desarrollar y combinar políticas públicas, estándares internacionales (ej. ISO 27701 y 27001), inversión en ciberseguridad y sobretodo, en adoptar “hábitos” responsables en el manejo y uso de información de identificación personal o datos personales.

Si a ti te interesa saber más sobre el tema o cómo podemos apoyarte a desarrollar el Sistema de Gestión de Información de Privacidad de tu organización, ¡escríbenos, será un gusto platicar contigo y poder ayudarte!

Referencias y/o consultas

1. International Standard ISO/IEC 27701:2025. Information security, Cybersecurity and Privacy protection - Privacy Information Management Systems - Requirements and guidance. 2nd Edition, 10-2025.

2. Portal de ISO Standards: https://www.iso.org

3. Portal de Kiteworks: https://www.kiteworks.com/es/gestion-de-riesgos-de-ciberseguridad/pronostico-tendencias-seguridad-datos-y-cumplimiento-en-2025/

4. Portal del Instituto de Transparencia, Acceso a la Información Pública, Protección de Datos Personales y Rendición de Cuentas de la Ciudad de México: https://infocdmx.org.mx/index.php/protege-tus-datos-personales/estad%C3%ADsticas.html

Contacto

Abril, 2026

Consejos para implementar la ISO 42001
Por David Mondragón Tapia

En pleno ascenso tecnológico, respecto a la relevancia que cada vez más juega la “IA” o inteligencia artificial, encontramos que esta tecnología se aplica en más actividades y sectores económicos del ser humano (ej. salud, educación, investigación, manufactura, hogar, entre otros), previéndose que siga siendo uno de los principales impulsores de la rápida transformación digital que estamos experimentando, así como uno de los principales motores económicos de los años por venir. Como resultado de esta interesante tendencia, llama la atención de expertos en la materia (técnicos y legales) que ciertos usos o aplicaciones dadas a la “IA”, podrían estar implicando ya serios desafíos sociales hacia el año 2030, como por ejemplo: la desaparición de algunos trabajos y el surgimiento de nuevos, cambios en los paradigmas de colaboración y eficacia en el binomio “hombre-máquina”, la potencial manipulación o supresión de los derechos humanos, así como una mayor exposición a la integración tecnológica voluntaria o forzada. Ante este panorama, la Organización Internacional de Normalización (ISO por sus siglas en inglés) lanzó al mundo una norma internacional, con el objetivo de ayudar a las organizaciones a desempeñar de manera responsable, su función en el desarrollo, suministro, uso y/o supervisión de productos y/o servicios que utilizan sistemas de IA. Y aunque una norma por sí sola no es suficiente para evitar la adopción sesgada o incorrecta de la “IA”, si ayuda significativamente a prevenir situaciones en donde la tecnología puede:

Tomar decisiones de forma automática y autónoma.
Diseñar sistemas en sustitución de la lógica y el esfuerzo humano.
Moldear su comportamiento durante su uso o aplicación.

La norma ISO 42001

La norma ISO 42001 liberada al mercado en el mes de diciembre del año 2023, define los requisitos necesarios para establecer, implementar, mantener y mejorar continuamente un Sistema de Gestión de Inteligencia Artificial (SGIA), de acuerdo con el análisis hecho del contexto de la organización y centrando la aplicación de los requisitos y controles de IA, en las características exclusivas de la “IA”. Ciertas características de la “IA” como son: 1) la capacidad de aprendizaje y mejora continua ó 2) la falta de transparencia, pueden justificar la adopción de diferentes medidas de seguridad (ref. ISO 42001, anexo “A”), si es que estas plantean inquietudes adicionales respecto a cómo se realizaría la tarea de forma tradicional. Además, otros aspectos como son: 1) los objetivos y necesidades de la organización, 2) sus procesos o actividades, 3) el tamaño y estructura organizacional y 4) las expectativas de las distintas partes interesadas o stakeholders, influyen también en la definición y operación de un SGIA, por lo que se espera que todos estos factores de influencia cambien y por ende, se revisen periódicamente (ciclo de vida).

Así pues, la norma ISO 42001 es un apoyo para las organizaciones que buscan la adopción de un Sistema de Gestión de Inteligencia Artificial, integrando para esto, los procesos y la estructura de gestión general necesaria para tal fin. Cualquier cuestión específica relacionada con la IA, debe considerarse en el diseño de los procesos, los sistemas de información y los controles seleccionados como necesarios; algunos ejemplos de estos procesos de gestión son:

Para la determinación de los objetivos organizacionales, la participación de las partes interesadas y/o la política de IA.
La gestión de riesgos y oportunidades.
Los procesos para la gestión de algunos puntos de preocupación relacionados con la confiabilidad de los sistemas de IA, como son: seguridad, protección, equidad, transparencia, robustez tecnológica, etc.
Los procesos para la gestión de proveedores, socios y terceros que proporcionen o desarrollen sistemas de IA para la organización.
Entre otros.

Consejo No. 1: el AISIA

Al implementar un SGIA con base en los requisitos y controles de IA previstos en la norma ISO 42001, se debe tener en cuenta que un aspecto importante a considerar, es la definición y realización periódica de las Valoraciones de los impactos de los sistemas de IA (ref. ISO 42005). Para esto, es necesario contar con los siguientes elementos:

El inventario de activos aplicable a las tecnologías de IA, por ejemplo: proceso o actividad desarrollada (ej. desarrollo o uso), producto o servicio entregado (ej. nombre comercial), sistemas de IA implicados (ej. imágenes, predicciones, etc.), componentes de IA o tipos de activos integrados en los sistemas de IA (ej. modelo y algoritmo, componente de NLP/NLU o data lake).
Los tipos de impactos y los criterios aplicables para evaluar su influencia positiva o negativa, en los individuos (ej. velocidad), los grupos de individuos (ej. bienestar), en la sociedad (ej. económico) o en su conjunto.
La fórmula para ponderar el peso de cada activo valorado (consecuencias vs impactos), información que posteriormente deberá de ser utilizable durante el análisis de riesgos de IA.

Los resultados obtenidos en la Matriz de valoración de impactos de los sistemas de IA, debe revisarse y actualizarse continuamente, dependiendo del rol desempeñado por la organización (ej. desarrollador, integrador, suministrador, etc.) y de su incidencia en el ciclo de vida del sistema de IA.

Consejo No. 2: la gestión de riesgos de IA

Una vez que se cuenta con los resultados de las Valoraciones de los impactos de los sistemas de IA, se debe considerar también el desarrollo de una práctica de gestión de riesgos de IA (ref. ISO 23894), estableciendo un marco de referencia, principios y un proceso general, en donde los procedimientos de Valoración de riesgos de IA y Tratamiento de riesgos de IA, serán la base para entregar un nivel adecuado de protección a la organización. Al igual que con la Valoración del impacto del sistema de IA (AISIA por sus siglas en inglés), también se recomienda que la gestión de riesgos de IA se efectúe con frecuencia y de acuerdo al ciclo de vida del sistema de IA (cambios).

La mecánica para realizar el análisis de riesgos de IA y el tratamiento de los riesgos que así lo requieran (criterios de aceptación), es parecida a la que se sigue para otros sistemas de gestión ISO como puede ser el Sistema de Gestión de Seguridad de la Información o SGSI. Sin embargo, se requiere adecuar el método, enfoques, parámetros, criterios, escalas y fórmulas de estimación del nivel de riesgo, a las características exclusivas de la “IA”. Incluso la selección de las opciones de tratamiento (ej. mitigar o trasferir), de los controles de IA y sus medidas aplicables (ref. anexos “A” y “B” de la ISO 42001), la elaboración de un plan de tratamiento y una declaración de aplicabilidad o SOA, es similar a aquella realizada en un SGSI.

Consejo No. 3: los controles de IA

Obtenidos los resultados de la Valoración de riesgos de IA, a partir de la integración de los resultados de la Valoración del impacto del sistema de IA (AISIA), toca identificar aquellos riesgos de IA que incumplan con los criterios de aceptación establecidos, para definir los riesgos de IA que requerirán tratamiento. Para el tratamiento adecuado de los riesgos de IA, se deben considerar las características de los activos valorados (ej. proceso o actividad, sistema de IA, componente de IA, etc.), así como los detalles dados por el análisis de riesgos de IA (ej. amenazas, vulnerabilidades, consecuencias, etc.). Con toda la información anterior y partiendo de la estructura de controles de IA disponible en el anexo “A” de la ISO 42001, se deben seleccionar los controles y las medidas correspondientes a las opciones de tratamiento seleccionadas (ej. mitigar), para finalmente volver a estimar el riesgo residual (menor o igual a los criterios de aceptación) y en su caso, proceder a la implementación de los controles y medidas escogidas, con base en los lineamientos contenidos en el anexo “B” de la misma 42001. Solo así se podrá ofrecer el nivel de protección adecuado en materia de tecnología de “IA”, garantizando un rol responsable de la organización.

Reflexión final

En conclusión, al afrontar el reto de establecer y certificar su propio Sistema de Gestión de Inteligencia Artificial, es importante recordar algunos consejos prácticos para lograr con éxito la misión. Consejos tales como:

Definir y realizar ejercicios de valoración de los impactos de los sistemas de IA (AISIA), de acuerdo con el rol desempeñado por su organización y el ciclo de vida del sistema de IA.
Integrar los resultados del ejercicio de AISIA, dentro de la gestión de riesgos de IA (análisis de riesgos de IA).
Definir y realizar ejercicios de gestión de riesgos de IA con base en la valoración y tratamiento de riesgos de IA.
Brindar el nivel adecuado de protección a la organización con base en la selección “ad-hoc” de los controles de IA y sus medidas, con el fin de desempeñar un rol responsable en cuanto a la tecnología de IA.

Si a ti te interesa saber más sobre el tema o cómo podemos apoyarte a desarrollar el sistema de gestión de IA de tu organización, ¡escríbenos, será un gusto platicar contigo y poder apoyarte!

Referencias y/o consultas

1. International Standard ISO/IEC 42001:2023. Information Technology - Artificial Intelligence - Management System. First Edition, Dic-2023.

2. International Standard ISO/IEC 23894:2023. Information Technology - Artificial Intelligence – Guidance on risk management. First Edition, Feb-2023.

3. International Standard ISO/IEC 42005:2025. Information Technology - Artificial Intelligence (AI) – AI system impact assessment (AISIA). First Edition, May-2025.

Contacto

Marzo, 2026

Lecciones aprendidas de la ISO 27001
Por David Mondragón Tapia

Una curiosidad agobiante

De los últimos 7 años de colaboración como consultor, apoyando a diversas organizaciones en proyectos para la implementación y certificación de Sistemas de Gestión de Seguridad de la Información ISO 27001, he podido observar una situación a la que llamaría por decir lo menos, “curiosa”. Dicha situación peculiar radica en el hecho -obvio para unos pocos y desconocido para la gran mayoría-, de que para poder ofrecer seguridad a la información de una organización, es necesario desarrollar una práctica de Gestión de Riesgos de Seguridad de la Información (ref. ISO 27005 ó 31000). Para esto, se requiere entre otras cosas: un marco de referencia, de personal competente, de datos suficientes, una cultura adecuada y de herramientas de apoyo. Para elaborar y mantener actualizada una Matriz de valoración de riesgos y un Plan de tratamiento de riesgos de una organización pequeña a mediana, podría sorprender a más de uno y seguramente agobiar al responsable o a todo el equipo responsable de la gestión de riesgos. Definitivamente el rol del Risk Manager o Gestor de Riesgos, es uno de esos roles que llegó para quedarse en las organizaciones, que vislumbren un futuro más seguro sin importar su tamaño, tipo o naturaleza.

Sistema de Gestión de Seguridad de la Información

¡Recordemos brevemente algunos detalles de la norma ISO 27001! La ISO 27001 es la norma internacional que establece una serie de requisitos necesarios para implementar y certificar un Sistema de Gestión de Seguridad de la Información o SGSI. De estos requisitos, recordemos que algunos están orientados hacia la construcción del sistema de gestión ISO y otros hacia las actividades necesarias para llevar a cabo una Gestión de Seguridad de la Información de manera especializada. Un Sistema de Gestión de Seguridad de la Información basado en dicha norma, requiere cumplir para obtener la eventual certificación, con algunos de los siguientes aspectos claves:

La determinación de las obligaciones legales, regulatorias y/o contractuales aplicables en materia de seguridad de la información.
La definición de un alcance aplicable a la protección de la información de la organización.
Una política de seguridad de la información alineada a la estrategia organizacional.
La definición de roles y responsabilidades especializados en seguridad de la información (ej. Information Security Officer)
La definición de las actividades necesarias para gestionar los riesgos vinculados a la seguridad de la información.
La ejecución sistemática de las actividades de valoración y tratamiento de los riesgos de seguridad de la información.
La evaluación continua de la eficacia y desempeño de la seguridad de la información y sus controles aplicables (ej. tecnológicos y físicos; ref. ISO 27002).
Entre otros aspectos.

Un Sistema de Gestión de Seguridad de la Información, permite proteger la confidencialidad, integridad, disponibilidad y privacidad de la información de una organización, a partir de la valoración y tratamiento de riesgos de seguridad de la información, con base en la selección e implementación de los controles de seguridad de la información más convenientes y adecuados.

Curiosidad No. 1

Al desarrollar la práctica de Gestión de riesgos de seguridad de la información de la organización -un aspecto clave de la operación del SGSI (ref. sección 8. Operación, ISO 27001)-, es recomendable primero identificar el alcance del sistema de gestión, con el fin de determinar el universo de activos a proteger (inventario de activos) y luego utilizar el enfoque “basado en activos”, por ser el enfoque ideal para alcanzar el nivel de detalle necesario durante el “análisis de riesgos”, que permita establecer el nivel de protección adecuado para la organización.

En el papel, lo anterior sonará simple y elemental, pero en la práctica requiere de una buena definición del método de análisis de riesgos, así como de una gran capacidad para manejar y discriminar volúmenes considerables de datos relacionados a la identificación y análisis de riesgos. La situación se puede agravar, si además no se cuenta con la herramienta de apoyo adecuada.

Curiosidad No. 2

Anteriormente se mencionó que el enfoque “basado en activos”, es el recomendado para la Gestión de riesgos de seguridad de la información. Lo anterior se debe al nivel de detalle que exige al método de análisis de riesgos utilizado, al requerirle parámetros como son: activos (primarios y de apoyo), vulnerabilidades, amenazas, eventos o incidentes, consecuencias, controles existentes, entre otros parámetros, además de requerir también la definición de criterios de evaluación, de impacto y de aceptación, entre otros aspectos, ponderaciones y demás fórmulas. Un activo puede tener “n” vulnerabilidades, cada vulnerabilidad puede ser explotada por “m” amenazas, por cada combinación factible de vulnerabilidad y amenaza se identifican “n x m” riesgos y para cada riesgo pueden requerirse “c” controles para su tratamiento. Eso quiere decir que un solo activo puede tener “n x m” riesgos y cada riesgo puede requerir “c” controles, por lo que “a” activos puede abrir la relación anterior tantas veces como el valor que adquiera “a” (ej. a x (n x m) x c).

Curiosidad No. 3

A pesar de que el enfoque “basado en activos” es el recomendable para establecer un nivel de protección adecuado para la información de la organización, existe otro enfoque complementario que se debe saber integrar y combinar con el de “activos”, ese es el enfoque “basado en eventos”. El enfoque “basado en eventos” es una forma más general de analizar y tratar un riesgo identificado, limitando la cantidad de información y agrupando todos los posibles eventos que tendrían posibilidad de afectar a un activo de interés, calculando de manera simple su probabilidad e impacto, para estimar el nivel de riesgo y luego determinar las medidas a tomar, en caso de requerir tratamiento. Al combinar el enfoque “basado en eventos” con el enfoque “basado en activos”, es posible disminuir y simplificar el análisis de riesgos junto con el volumen de información manejada, pero se debe saber cuándo y cómo hacerlo, para evitar que sea en detrimento del nivel de protección requerido por la organización.

Curiosidad No. 4

Del ámbito de las mejores prácticas para gestionar servicios tecnológicos, surge una idea consistente en establecer “modelos” para el manejo de situaciones que son repetitivas y que pueden abordarse de la misma forma en beneficio del servicio. Así pues, un modelo de incidentes o un modelo de solicitudes de servicio, se puede implementar a partir de definir los pasos, la secuencia, a los responsables, los tiempos, las entradas y salidas, así como los resultados finales que se deben alcanzar para cada situación. Tal idea se puede extrapolar a la Gestión de riesgos de seguridad de la información, particularmente para el tratamiento de los riesgos, creando un “modelo de tratamiento por activo” que permita predefinir los controles aplicables así como las variantes a considerar, en caso de que al activo le apliquen diferentes riesgos, sobre todo por cambios en su entorno lo que conlleva la aplicación de diferentes amenazas. De esta forma, se puede simplificar el tratamiento de los “n x m” riesgos, al seleccionar e implementar los “c” controles aplicables al riesgo, para los “a” activos.

Reflexión final

En conclusión el aprendizaje adquirido de los proyectos, debe servir para compartir algunas experiencias que sean de utilidad a otras organizaciones y personas, que deberán afrontar en algún momento el reto de establecer y certificar su propio SGSI. Recordemos que la seguridad de la información, ciberseguridad y protección de la privacidad de una organización (ref. ISO 27001:2022), requiere del desarrollo de una práctica de Gestión de riesgos de seguridad de la información. Para lograr lo anterior con éxito, es importante considerar las reflexiones finales siguientes:

La gestión de riesgos de SI requiere: marco de referencia, personal competente, datos suficientes, cultura adecuada y herramientas de apoyo.
La cantidad de información a manejar y el tiempo que puede demandar, requiere una posición o un equipo de tiempo completo, preferentemente.
El rol del Risk Manager llegó para quedarse en las organizaciones.
La certificación ISO 27001 viene creciendo como requisito y como habilitador en el mercado.
Hoy se debe proteger la confidencialidad, integridad, disponibilidad y privacidad de la información.
Para el análisis de riesgos, es importante manejar e integrar el enfoque “basado en activos” y el enfoque “basado en eventos”.
Para el tratamiento de riesgos, es importante incorporar el concepto de “modelo de tratamiento por activo”.

Si a ti te interesa saber más sobre el tema o cómo podemos apoyarte a desarrollar una Gestión de riesgos de seguridad de la información, robusta y eficaz para tu organización, ¡escríbenos, será un gusto platicar contigo!

Referencias y/o consultas

1. International Standard ISO/IEC 27001:2022. Information security, cybersecurity and privacy protection - Information security management systems - Requirements.

Contacto

Febrero, 2026

Lecciones aprendidas de la ISO 22301: BIA y RA
Por David Mondragón Tapia

Antecedentes

Del año 2019 a la fecha, durante mi colaboración como consultor con diversas organizaciones en proyectos para la implementación y certificación de algunos sistemas de gestión basados en normas internacionales ISO (ej. ISO 27001 ó ISO 22301), pude notar que la idea inicial o los resultados iniciales que tenían u obtenían las organizaciones que servía, respecto a la capacidad real para ofrecer “continuidad del negocio”, mostraban diferentes áreas de oportunidad con el fin de alcanzar un mayor nivel de efectividad.

La actividad de enseñanza de las normas ISO, me ha dejado claro que para leer e interpretar de manera “adecuada” una norma ISO certificable, se requiere saber o mostrar al menos cuatro características esenciales para mí, que son:

el uso de las “formas verbales (ej. “debe o shall”),
el tema de especialización de la norma (ej. continuidad del negocio),
el uso de las guías de implementación aplicables a la norma y
un poco de sentido común e imaginación.

En mi opinión, la ausencia de alguna de estas cuatro características generalmente lleva a una lectura e interpretación deficiente, insuficiente o sesgada de la norma, sus conceptos, requisitos y/o lineamientos. Y como consecuencia de lo anterior, las organizaciones pueden tener en el “papel”, planes y procedimientos de continuidad del negocio suficientes para recuperar las actividades prioritarias o críticas.

La gestión de la continuidad del negocio

Para adquirir una idea más amplia de lo que implica el concepto: “continuidad del negocio”, “planes de continuidad del negocio (BCP, por sus siglas en inglés)” y “gestión de la continuidad del negocio”, es importante retomar primero las definiciones siguientes:

Continuidad del negocio: es la capacidad de la organización para continuar con la entrega de productos y servicios, dentro de periodos de tiempo aceptables, a una capacidad predefinida, durante un evento disruptivo.
Planes de continuidad del negocio: es la información documentada que orienta a una organización para responder a un evento disruptivo, reanudar, recuperar y restaurar la entrega de productos y servicios, de manera que sea consistente con sus objetivos de continuidad del negocio.
Gestión de la continuidad del negocio: es el proceso de implementación y mantenimiento de la continuidad del negocio.

La norma internacional ISO/IEC 22301:2019, establece los requisitos necesarios para implementar y mantener un Sistema de Gestión de Continuidad del Negocio (SGCN), mismo que faculta a las organizaciones para desarrollar capacidades en materia de continuidad del negocio, que resulten adecuadas a la cantidad y tipo de impactos que pueden o no aceptar, después de experimentar un evento disruptivo (emergencia o desastre). Así pues la norma define los requisitos para establecer, implementar, mantener y mejorar continuamente un SGCN que sirva para: protegerse contra, reducir la probabilidad de ocurrencia de, prepararse para, responder ante y recuperarse de los eventos disruptivos cuando éstos se presenten. Tales requisitos son aplicables a cualquier tipo y tamaño de organización, siempre que esté buscando lo siguiente:

Saber cómo responder ante un evento disruptivo y ser capaz de continuar con la entrega de sus productos y servicios.
Evaluar la capacidad de la organización para cumplir sus propias necesidades y obligaciones en materia de continuidad del negocio.
Mejorar su capacidad de recuperación, antes y después de un evento disruptivo.
Implementar y certificar un SGCN.

De lo anterior, cabe destacar que la continuidad del negocio busca garantizar la entrega de productos y servicios, cuando se presenta un evento disruptivo que interrumpe la operación normal, a partir de garantizar la continuidad de las actividades prioritarias para esto, incluyendo los recursos necesarios.

ISO 22301: el Sistema de Gestión de Continuidad del Negocio

Como ya se indicó anteriormente, la norma ISO 22301 establece una serie de requisitos para implementar y certificar un Sistema de Gestión de Continuidad del Negocio o SGCN. De estos requisitos, algunos están dirigidos hacia las partes correspondientes al sistema de gestión ISO (ej. sección 4. Contexto de la organización ó 10. Mejora) y otros hacia las actividades especializadas para llevar a cabo una gestión de la continuidad del negocio (ej. sección 8. Operación).

De todo el conjunto de requisitos que se debe acreditar para certificar la norma ISO 22301, pero sobre todo para operar eficazmente el Sistema de Gestión de Continuidad del Negocio, se puede destacar la implementación de los aspectos claves siguientes:

El alcance aplicable a los productos y servicios, así como a los procesos prioritarios, asegurando niveles de servicio mínimos aceptables.
Las obligaciones legales, regulatorias y/o contractuales aplicables en materia de continuidad del negocio (compliance).
Una política de continuidad del negocio alineada a la estrategia organizacional.
Roles y responsabilidades especializados en continuidad del negocio.
La realización y mantenimiento del Análisis de Impacto al Negocio (BIA, por sus siglas en inglés) y la Valoración de Riesgos (RA, por sus siglas en inglés).
Estrategias y soluciones de continuidad del negocio de acuerdo con los resultados del BIA y el RA.
Planes y procedimientos de continuidad del negocio, de acuerdo con las estrategias y soluciones seleccionadas.
Ejercicios y pruebas de la continuidad del negocio.
Y por último, la medición, auditoría, revisión, corrección y mejora continua del SGCN.

De todo lo anterior, cabe destacar nuevamente que la clave para elaborar, operar y mantener planes y procedimientos de continuidad del negocio adecuados para la organización, son la selección de las estrategias y soluciones de continuidad del negocio ad-hoc, mismas que tienen su sustento en los resultados obtenidos del BIA y el RA.

Claves para el BIA y el RA

De acuerdo con la subsección 8.2 Análisis de impacto al negocio y evaluación de riesgos, dentro de la norma ISO 22301, el Análisis de impacto al negocio o BIA debe servir para establecer las actividades prioritarias, los requisitos de continuidad del negocio y los recursos necesarios. Todo lo anterior es posible, a partir de definir los productos y servicios para los que se planea ofrecer continuidad del negocio, analizando el impacto al negocio en el tiempo por la presencia de un evento disruptivo. Para la elaboración del BIA, la norma 22301 propone la integración y manejo de la información siguiente:

Los productos y servicios a analizar.
Las actividades necesarias para la provisión de los productos y servicios.
Los tipos de impactos y criterios para evaluar los impactos en el tiempo del evento disruptivo.
Los periodos de tiempo aceptables (ej. RTO y MTPD) y las capacidades mínimas específicas aceptables (ej. MBCO) para recuperar las actividades de los productos y servicios.

De acuerdo con la misma subsección 8.3, la Evaluación de riegos o RA debe servir para identificar los escenarios de riesgo relevantes, para las actividades prioritarias y sus recursos implicados, así como los riesgos que requieran tratamiento. Todo lo anterior es posible, a partir de identificar las actividades prioritarias y sus recursos necesarios, para seguir entregando los productos y servicios previamente definidos. Para la elaboración del RA, la norma 22301 propone la integración y manejo de la información siguiente:

Las actividades prioritarias y sus recursos necesarios, de acuerdo con el BIA.
El método para identificar los escenarios de riesgo (ej. amenazas) de las actividades prioritarias y sus recursos.
El método para analizar y evaluar los riesgos identificados (ej. criterios de evaluación).
Las opciones y medidas de tratamiento para los riesgos evaluados que así lo requieran (ej. mitigar o transferir).

Lo anterior, permite destacar claramente la dependencia y complementación que debe haber entre el BIA y el RA, con el fin de seleccionar posteriormente las estrategias y soluciones de continuidad del negocio ad-hoc para la organización, para lo que solamente faltará agregar la información referente a los requisitos de continuidad del negocio (ej. RTO, RPO, MBCO, etc.).

Conclusión final: lecciones aprendidas

Finalmente podemos decir que las lecciones aprendidas, obtenidas de estos poco más de 6 años de experiencias -en el caso de la norma ISO 22301 y la continuidad del negocio-, nos han dejado lo siguiente:

Para leer e interpretar de manera “adecuada” una norma ISO certificable, se requiere saber o mostrar cuatro características esenciales: “formas verbales”, tema de especialización, guías de implementación y sentido común.
La continuidad del negocio garantiza la entrega de productos y servicios, ante la presencia de un evento disruptivo que interrumpe la operación normal.
Tener planes y procedimientos de continuidad del negocio, adecuados y efectivos para la organización, depende de la selección correcta de estrategias y soluciones de continuidad del negocio.
Las estrategias y soluciones de continuidad del negocio ad-hoc para la organización, tienen su sustento en el BIA y el RA.
Existe una fuerte dependencia y complementación entre los resultados del BIA y el RA.

Si a ti te interesa saber más sobre el tema o cómo podemos apoyarte a desarrollar la continuidad del negocio de tu organización, ¡escríbenos, será un gusto platicar contigo y apoyarte en este reto!

Referencias y/o consultas

1. International standard ISO 22301:2019. Security and resilience - Business continuity management systems – Requirements. 2nd Edition, 10-2019.

Contacto

Enero, 2026

Nueva norma ISO 27701:2025, ¡adiós y bienvenida a la ISO 27001!
Por David Mondragón Tapia

De acuerdo con una información publicada en la revista Cybercrime Magazine, el costo de los daños causados por el cibercrimen, se esperaba que alcanzara la espeluznante suma de los 10.5 billones de dólares, para el término del año 2025. Más grave aún son, las proyecciones y tendencias hechas hacia el año 2030, que señalan que dicha suma solamente irá en ascenso. Si somos conscientes de lo anterior, tal vez la pregunta que nos estemos haciendo sea: ¿qué se puede hacer ante este panorama tan adverso para las organizaciones y personas en materia de ciberseguridad y protección de la privacidad?

Protección de la privacidad

En el mundo digital de hoy, el manejo de los datos personales se da con mucha mayor frecuencia de lo que pensamos. Dentro de este mundo, los entornos de trabajo hiperconectados y abiertos, integran una gran variedad de dispositivos y servicios digitales, con infinidad de posibilidades para su buen o mal uso; es en esta arena, que la “privacidad” se vuelve crucial para ofrecer un nivel mínimo de protección a las personas, sujetos o individuos, sin importar su naturaleza o posición. Así pues, hoy en día los datos personales son uno de los activos más sensibles y valiosos que gestionan las organizaciones. Lo anterior, incrementa las expectativas y exigencias de las personas, de los organismos reguladores y de los propios gobiernos o autoridades en la materia, para cumplir con leyes, regulaciones y/o estándares desarrollados con el propósito de proteger los datos personales. Ante tal reto, en el año 2019 una de las normas de la serie 27000 (seguridad de la información), fue dada a conocer al público general bajo la norma ISO/IEC 27701:2019, con el fin de complementar la implementación de un Sistema de Gestión de Seguridad de la Información (SGSI), basado en las normas ISO/IEC 27001 y 27002, pero adicionando algunos requisitos y controles complementarios en materia de protección de la privacidad.

Sin embargo y a pesar del esfuerzo anterior, la necesidad de tener que implementar un SGSI para posteriormente complementarlo y volverlo un Sistema de Gestión de la Información de Privacidad (SGIP), no era práctica, por lo que el pasado mes de octubre del 2025 y después de concluir el proceso de revisión y liberación de la nueva norma ISO/IEC 27701:2025, esta situación cambio. La ISO 27701 año 2025, viene ahora a proporcionar ese marco que hacía falta para apoyar a las organizaciones del mundo, en la difícil tarea de demostrar un nivel adecuado de responsabilidad al gestionar los riesgos de la información de identificación personal (PII, por sus siglas en inglés), permitiendo con esto mejorar también sus prácticas en cuanto a la protección de la privacidad y quitando la dependencia de las normas ISO 27001 y 27002, pero sin dejar de verse como un binomio necesario: (Seguridad de la información) + (Protección de la privacidad).

La nueva norma ISO/IEC 27701:2025

Como ya se dijo anteriormente, la mayoría –si no es que todas- las organizaciones del mundo manejan y/o procesan información personal identificable (PII), incrementándose rápidamente la cantidad y los tipos de PII que se procesan, al igual que el número de situaciones en las que una organización necesita cooperar con otras organizaciones, en relación con el procesamiento de la PII. En este contexto, proporcionar la debida protección de la privacidad en el procesamiento de la PII, es una necesidad social y una exigencia mundial, por cumplir con leyes y regulación específica (ejemplo: GDPR en Europa). La norma ISO/IEC 27701:2025 establece ahora los requisitos para establecer, implementar, mantener, mejorar continuamente y certificar un Sistema de Gestión de la Información de Privacidad o SGIP, considerando su fácil integración o correspondencia con otras normas ISO claves como son:

La norma ISO/IEC 29100, necesaria para el establecimiento de un marco y los principios de privacidad.
La norma ISO/IEC 27018, que establece las directrices necesarias para la protección de información de identificación personal (PII), en nubes públicas que actúan como procesadores de PII.
La norma ISO/IEC 29151, que establece un código de prácticas (controles) para la protección de la información de identificación personal (PII).
Y finalmente el Reglamento General de Protección de Datos (GDPR) de la Unión Europea (UE), siendo la ley de privacidad y ciberseguridad más completa del mundo, ya que fortalece y unifica el concepto de “protección de datos personales” para todos los estados e individuos de la Unión Europea.

La nueva norma ISO/IEC 27701:2025, puede ser utilizada por cualquier organización responsable o corresponsable del tratamiento de PII, así como por las que son encargadas o subcontratadas para el tratamiento de PII, ya que al cumplir con los requisitos de esta, queda posibilitada para generar y entregar evidencia de cómo se maneja el procesamiento de PII. Tal evidencia puede además utilizarse para facilitar la construcción de acuerdos con socios comerciales, donde el procesamiento de PII sea relevante para el establecimiento de la relación, así como para facilitar las relaciones con otras partes interesadas, en general. La nueva ISO 27701 ha sido desarrollada bajo la “estructura de alto nivel” (anexo SL), lo que permite su alineación con otras normas de referencia e integración con otras normas de sistemas de gestión certificables (ref. Sistema de Gestión Integrado), en particular con el Sistema de Gestión de Seguridad de la Información especificado en la norma ISO/IEC 27001:2022.

El Sistema de Gestión de Información de Privacidad

Con base en todo lo anterior, la nueva norma ISO/IEC 27701:2025, es la norma internacional que viene a establecer los requisitos y controles necesarios (anexo A) para establecer, implementar, mantener y mejorar continuamente un Sistema de Gestión de la Información de Privacidad (SGIP), siendo la norma que proporciona los lineamientos necesarios para ayudar a las organizaciones a poner en práctica, estos requisitos en materia de protección de la privacidad.

La norma fue diseñada para las organizaciones responsables y encargadas del procesamiento y tratamiento de información de identificación personal (PII), proponiendo un marco estructurado y reconocido internacionalmente que ayude a las organizaciones a demostrar responsabilidad, gestionar los riesgos relacionados con la información de identificación personal y mejorar continuamente sus prácticas de protección de la privacidad. Todo lo anterior es posible, a partir de la implementación y mantenimiento de un proceso de valoración y tratamiento de riesgos de privacidad, así como por la determinación de los planes de tratamiento y las declaraciones de aplicabilidad pertinentes (similar al SGSI).

Ahora las organizaciones que busquen y requieran certificar un SGIP, ya NO requerirán certificar primero un SGSI y luego el SGIP, ya que la nueva versión del estándar es para certificar un sistema de gestión independiente. No importa si tu organización es privada o pública, pequeña o grande, con o sin fines de lucro, de servicios, manufactura o tecnológica, con la nueva ISO 27701 cualquier organización que recopile, procese, almacene o controle información de identificación personal o PII, puede demostrar sus buenas prácticas de protección de la privacidad de manera sólida y consistente, logrando beneficios como son:

El fortalecimiento de sus capacidades de privacidad y protección de datos personales.
El cumplimiento de las normativas globales de privacidad, como el GDPR de la UE.
El fortalecimiento de la confianza en: clientes, socios y organismos reguladores.
El mantenimiento de su alineación con los sistemas ISO/IEC 27001 existentes.
La facilitación de la rendición de cuentas y la gestión de la privacidad con base en la evidencia objetiva.

Si a ti te interesa saber más sobre el tema o cómo podemos apoyarte a robustecer la protección de la privacidad y la seguridad de la información de tu organización, ¡escríbenos, será un gusto platicar contigo y poder apoyarte en este reto!

Referencias y/o consultas

1. International Standard ISO/IEC 27701:2025. Information security, Cybersecurity and Privacy protection - Privacy Information Management Systems - Requirements and guidance. 2nd Edition, 10-2025.

2. Portal de ISO Standards: https://www.iso.org

3. International Standard ISO/IEC 27001:2022. Information security, Cybersecurity and Privacy protection - Information Security Management Systems – Requirements. 3rd Edition, 10-2022.

4. Portal de Ciberseguridad: https://cybersecurityventures.com/cybercrime-to-cost-the-world-8-trillion-annually-in-2023/>

Contacto

Diciembre, 2025

ISO/IEC 22989:2022: conceptos y terminología de IA
Por David Mondragón Tapia

Antecedentes

Desde hace seis o cinco años (2019-2020) durante la pandemia de COVID-19, la Organización para la Cooperación y el Desarrollo Económico (OCDE), se encontraba liderando el esfuerzo por comunicar y difundir los cinco principios de la OCDE para Inteligencia Artificial Confiable (trustworthy AI), los cuales a pesar de no ser vinculantes desde el punto de vista legal (compliance), han sido suficiente para que los gobiernos de diversos países comenzaran a legislar y establecer leyes y/o estándares en la materia (ej. privacidad y datos personales en EUA, Europa, Asia y Latinoamérica; ley de IA en Europa; a nivel internacional la norma ISO/IEC 22989 por el Comité ISO, entre otros esfuerzos). Los cinco principios de la OCDE para IA Confiable, fueron desarrollados y propuestos por un grupo de expertos en IA, así como formalmente adoptados en el mes de mayo del 2019. Con este hecho y a pesar de no ser vinculantes –legalmente-, los países miembros de la OCDE y algunos otros países socios, manifestaron su adhesión formal al primer conjunto de lineamientos creados para el establecimiento de políticas intergubernamentales en materia de Inteligencia Artificial, conviniendo en procurar y proteger los estándares internacionales dirigidos a garantizar que los sistemas de IA sean robustos, seguros, justos y confiables, desde el punto de vista tecnológico, ético y legal.

Dentro del universo de países que aceptaron los cinco principios para desarrollar IA confiable, se encontraban los 36 países miembros del organismo en el año 2019, más los 6 países socios entre los que destacan: Brasil, Argentina, Colombia, Perú, Costa Rica y Rumanía.

La norma ISO/IEC 22989:2022

Como se mencionó ya anteriormente, junto a los cinco principios de la OCDE para IA Confiable, el Comité ISO también se encontraba trabajando en el desarrollo del primer estándar internacional en la materia, con el apoyo de la Comisión Electrotécnica Internacional (IEC), para que finalmente viera la luz en el mes de julio del año 2022, la norma ISO/IEC 22989:2022 en su primera edición. El Comité Técnico Conjunto ISO/IEC JTC 1, Tecnología de la información, Subcomité SC 42, Inteligencia artificial, fue el responsable de la generación y liberación del estándar. Con este último acontecimiento, la norma internacional ISO 22989 es el documento en donde se estableció la terminología aplicable a la inteligencia artificial, de manera descriptiva, así como puede servir de base para el desarrollo de otros estándares (ej. ISO 42001, ISO 23894 ó ISO 42005) y como apoyo a la comunicación entre diversas partes interesadas en el uso o aplicación de la tecnología (ej. productor de IA, proveedor de IA, integrador de IA, sujeto de IA, etc.).

En comunión con el espíritu de otras normas ISO certificables o de lineamientos (guidelines), la ISO 22989 también es un documento aplicable a todo tipo de organizaciones, sin importar su tipo, tamaño o sector (ej. empresas comerciales, agencias gubernamentales y organizaciones sin fines de lucro).

Es importante recalcar que aunque este documento proporciona conceptos y terminología estandarizados, con el fin de facilitar el entendimiento y uso de la tecnología de inteligencia artificial por parte de un grupo amplio de interesados, abarcando un amplio público tanto a nivel de expertos como para no profesionales, su lectura y análisis requiere de una formación sólida en ciencias de la computación, sobre todo para la lectura de las secciones: 5.10 Datos, 5.11 Conceptos de Machine Learning y 8. Ecosistema de IA, en donde se tocan temas más técnicos con respecto al resto del documento.

Destacables de la ISO 22989

Los avances en el uso o aplicación de la tecnología de inteligencia artificial, han convertido a la IA en una rama cada vez más importante de las tecnologías de la información. Con esto, la inteligencia artificial se ha vuelto un campo interdisciplinario, demandando diversas capacidades y/o competencias en materia de: informática, ciencia de datos, ciencias naturales, humanidades, matemáticas, ciencias sociales, estadística, entre otras. En el ámbito de la inteligencia artificial términos como: agente, inteligencia, comprensión, conocimiento, algoritmos, aprendizaje, decisiones, habilidades, actuadores, sensores, entornos, componentes, etc., se utilizan ampliamente. Por lo tanto, en la norma ISO 22989 se han establecido y documentado una serie de temas y subtemas, que buscan facilitar el camino para un mejor entendimiento y un uso responsable de esta tecnología, en las organizaciones.

Así pues, la norma 22989 ha sido estructurada de la siguiente manera (temas y aspectos principales):

Sección 3. Términos y definiciones: cubriendo términos relacionados con inteligencia artificial, datos, machine learning, neural networks, trustworthiness, natural language processing y computer visión.
Sección 4. Términos abreviados: como son el uso de “API”, “CPS”, “DNN”, “NPU”, entre otros términos.
Sección 5. Conceptos de IA: cubriendo aspectos como son los tipos de IA, el agente de IA, los conocimientos, los algoritmos, los datos, el machine learning, el IoT, los sistemas ciber-físicos, trustworthiness, los roles de las partes interesadas en IA, entre otros aspectos.
Sección 6. Ciclo de vida del sistema de IA: cubriendo aspectos como lo son el modelo del ciclo de vida, las fases del ciclo de vida y sus procesos, los procesos de iniciación, diseño, desarrollo, validación, despliegue, entre otros.
Sección 7. Descripción funcional del sistema de IA: cubriendo aspectos como son la importancia de los datos e información, el conocimiento y el aprendizaje, la predicción, la decisión y la acción, principalmente.
Sección 8. Ecosistema de IA: cubriendo aspectos como son los sistemas de IA, la función de los sistemas de IA, ingeniería, machine learning, big data y fuentes de datos, cloud, entre otros aspectos.
Sección 9. Campos de la IA: cubriendo aspectos como son el reconocimiento de imágenes, el procesamiento de lenguaje y la minería de datos.
Sección 10. Aplicación de los sistemas de IA: cubriendo aspectos como la detección y/o prevención de fraudes, los vehículos automatizados y el mantenimiento predictivo.
Anexo A: en donde se mapea el ciclo de vida del sistema de IA según la ISO 22989, contra la definición del ciclo de vida del sistema de IA hecho por la OCDE.

Si a ti te interesa saber más sobre el tema o cómo podemos apoyarte con la implementación y certificación de tu SGIA con base en la ISO 42001, ¡escríbenos, será un gusto platicar contigo!

Referencias consultadas

1. International Standard ISO/IEC 22989:2022. Information Technology - Artificial Intelligence – Artificial intelligence concepts and terminology. First Edition, Jul-2022.

2. International Standard ISO/IEC 42001:2023. Information Technology - Artificial Intelligence - Management System. First Edition, Dic-2023.

Escríbenos

Noviembre, 2025

ISO/IEC 23894:2023: guía para la gestión de riesgos de IA
Por David Mondragón Tapia

La mayoría de los sistemas de inteligencia artificial integran un grado de interacción con los seres humanos, con el fin de realizar alguna función específica como puede ser: el análisis de imágenes (computer vision), la búsqueda de información (ej. Copilot o Siri), el procesamiento y entendimiento de lenguaje (NLP/NLU), la generación de lenguaje (chatbots), entre otras. Lo anterior implica que los sistemas de inteligencia artificial pueden procesar información, emitir juicios y decidir las mejores acciones para el logro de su función, a partir de simples reglas o modelos basados en relaciones estadísticas y matemáticas (modelos heurísticos y regresión lineal), o bien aprendiendo del análisis de sus acciones previas y ajustando continuamente su comportamiento (reinforcement/continuous learning).

La Inteligencia Artificial (IA) en nuestros días

La inteligencia artificial está cambiando la forma en que hacíamos las cosas, situación que algunos llaman como un salto del “enfoque tradicional”, hacia una nueva realidad o enfoque basado en la nueva relación “hombre-máquina” o tal vez sea más correcto decir “humano-tecnología”.

Las voces que manifiestan su creciente preocupación por la incorporación y uso de la inteligencia artificial en la vida cotidiana y laboral, se incrementan con el paso de los días, argumentando principalmente la falta de robustez tecnológica contra el nivel de madurez tecnológico exhibido por el ser humano, así como los usos o aplicaciones que se le vienen dando en los diferentes contextos y sectores de la vida, mostrando una vulnerabilidad crítica por la posibilidad de comprometer los derechos y principios fundamentales del ser humano (ej. manipulación o calificación de las personas, IA encubierta, sistemas de armas autónomas, entre otras). Es claro que un sesgo en el uso o aplicación de la inteligencia artificial, se puede concretar al inclinar las acciones decididas por el agente de inteligencia artificial, respecto a un tema o asunto en particular. Lo anterior a su vez podría ser causado por sesgos en el método de recolección, tipo y/o cantidad de datos utilizados (ej. de internet o medios sociales), sesgos en el diseño y desarrollo de los modelos y algoritmos, sesgos en el proceso de entrenamiento, pruebas y validaciones, sesgos por las limitaciones propias del entorno en que se desenvuelve la tecnología, sesgos en el proceso de interacción con el usuario, entre otras posibilidades. Cualquiera que sea la razón para un sesgo, lo importante es recalcar que aunque este pudiera ser bueno o malo, al final este podría resultar en un acto de injusticia, discriminación o daño a la persona, grupos de personas o la sociedad en su conjunto.

Para prevenir este tipo de situaciones (sesgos) en el uso o aplicación de la inteligencia artificial, se recomienda seguir algún modelo de gobierno y cumplimiento tecnológico (ej. OWASP), algún estándar internacional especializado en la materia (ej. ISO 42001) o alguna guía ética que ayude a operar sistemas de inteligencia artificial confiables (ej. OCDE).

Sistemas de Gestión de Inteligencia Artificial (IA)

La norma internacional ISO 42001, establece los requisitos que se deben cumplir para certificar un Sistema de Gestión de Inteligencia Artificial (SGIA), el cual basa su implementación y operación en dos pilares fundamentales para el sistema de gestión, que son:

La gestión de riesgos de IA (controles de IA; ISO 23894).
La valoración del impacto del sistema de IA (personas, grupos y sociedades; ISO 42005).

Para el desarrollo de una práctica de gestión de riesgos especializada en IA, la norma ISO 42001 recomienda utilizar la norma ISO/IEC 23894:2023, la cual, si estudiamos su estructura, es un reflejo de otra norma ISO clave para el desarrollo de una práctica de gestión de riesgos general, como lo es la ISO 31000. Lo anterior, no es algo nuevo, salvo la orientación que ahora se le debe dar hacia la inteligencia artificial o IA, ya que al menos se tiene otro caso similar y documentado para los Sistemas de Gestión de Seguridad de la Información con base en la norma ISO 27001, la cual basa también su implementación y operación exitosa, en el desarrollo de una gestión de riesgos pero orientada a la seguridad de la información. En este último caso, hablamos de la norma ISO 27005, la cual también es un reflejo de la ISO 31000, que como ya se señaló anteriormente, sirve para el desarrollo de una práctica de gestión de riesgos general.

Así pues, para hacer un uso responsable de la inteligencia artificial o IA en las organizaciones, se recomienda adoptar los requisitos establecidos por la norma ISO 42001 e integrar en el desarrollo de la capacidad organizacional para gestionar los riesgos de IA, la norma ISO 23894 o en su defecto, la ISO 31000 y posteriormente orientarla hacia el tema de la inteligencia artificial con la ayuda de la ISO 22989.

Norma ISO/IEC 23894:2023

La norma internacional ISO 23894 es un documento que proporciona orientación sobre cómo las organizaciones que desarrollan, producen, implementan o utilizan productos, servicios y/o sistemas que utilizan inteligencia artificial (IA), pueden gestionar los riesgos relacionados con el uso o aplicación de la tecnología. Además, la norma también busca apoyar a las organizaciones en la tarea de desarrollar e integrar la gestión de riesgos de IA, en sus actividades y funciones relacionadas con la gestión o manejo de dicha tecnología. Para lo anterior, la norma presenta y describe las actividades claves para la implementación e integración exitosa de la gestión de riesgos de IA. Es importante mencionar también, que la aplicación de esta norma puede adaptarse a cualquier organización y contexto, situación similar a la que se presenta con los requisitos de la norma ISO 42001.

Recordemos que aunque la norma ISO 23894 fue diseñada para el desarrollo de una práctica específica de gestión de riesgos de IA, se sugiere extender su uso o aplicación en conjunto con la norma ISO 31000, ya que aunque la ISO 23894 amplía la orientación específica sobre inteligencia artificial de acuerdo con el marco establecido por la 31000, se vuelve necesario complementar la información referente al marco para la gestión de riesgos, con los lineamientos detallados en la ISO 31000. La norma ISO 23894 como espejo de la 31000, se ha dividido en tres partes o secciones principales que son:

Sección 4. Principios de la gestión de riesgos de IA: en esta parte del documento se describen los principios de la gestión de riesgos, con algunas consideraciones específicas respecto a algunos de estos principios y la inteligencia artificial (sección 4 de la ISO 31000).
Sección 5. Marco de referencia: en esta parte del documento se establece el marco de gestión de riesgos para que la organización pueda integrarla en sus actividades y funciones significativas (sección 5 de la ISO 31000).
Sección 6. Proceso de gestión de riesgos de IA: en esta parte del documento se establecen las actividades para la gestión de riesgos, como son: establecimiento del contexto, valoración, tratamiento, registro y notificación de riesgos, comunicación y consulta, seguimiento y revisión (sección 6 de la ISO 31000).

Adicionales de la ISO 23894

Como ya se mencionó anteriormente, la norma ISO 23894 toma como base los lineamientos de la norma ISO 31000, destacando una estructura común en cuanto a principios, marco de referencia y proceso de gestión de riesgos, manteniendo hasta la misma numeración en las secciones o apartados que hay entre una y otra norma. Sin embargo y además de esta situación, la norma 23894 también incorpora en su estructura documental una serie de tres anexos, conteniendo la información siguiente:

Anexo A. Objetivos: en esta parte del documento se consideran diversos objetivos relacionados con la inteligencia artificial, según la naturaleza del sistema de IA y su contexto de aplicación, con el fin de identificar los riesgos de estos últimos. Entre los objetivos relacionados con la tecnología se encuentran los siguientes: responsabilidad, experiencia en IA, mantenibilidad, privacidad, seguridad, entre otros.
Anexo B. Fuentes de riesgos: en esta parte del documento se consideran diversas fuentes de riesgo, según la naturaleza del sistema de IA y su contexto de aplicación, con el fin de identificar los riesgos de estos últimos. Entre las fuentes de riesgo a considerar se encuentran los siguientes: complejidad del entorno, falta de transparencia y explicabilidad, nivel de automatización, preparación tecnológica, entre otras.
Anexo C. Gestión de riesgos y ciclo de vida del sistema de IA: en esta parte del documento se hace un mapeo entre las actividades del proceso de gestión de riesgos de IA (ej. establecimiento del contexto, valoración, tratamiento, etc.) y el ciclo de vida de un sistema de IA (ej. inicio, diseño, desarrollo, validación, despliegue, etc.).

Si a ti te interesa saber más sobre el tema o cómo podemos apoyarte con la implementación y certificación de tu SGIA con base en la norma ISO 42001, ¡escríbenos, será un gusto platicar contigo!

Referencias consultadas

1. International Standard ISO/IEC 23894:2023. Information Technology - Artificial Intelligence – Guidance on risk management. First Edition, Feb-2023.

2. International Standard ISO/IEC 42001:2023. Information Technology - Artificial Intelligence - Management System. First Edition, Dic-2023.

Escríbenos

¡Se te pasó leer el artículo anterior!Aquí lo puedes encontrar.

Octubre, 2026

La comunicación de incidentes de IA vs ISO/IEc 42001Por David Mondragón Tapia

Septiembre, 2026

(ISO 27001 - SGSI) + (ISO 27037 - Manejo de evidencia digital)Por David Mondragón Tapia

Agosto, 2026

El análisis forense digital y la norma ISO/IEC 27037Por David Mondragón Tapia

Julio, 2026

Uso responsable y seguro de la IA con base en la ISO 42001Por David Mondragón Tapia

Junio, 2026

Protección de la información con base en la norma ISO 27001Por David Mondragón Tapia

Mayo, 2026

Protección de la privacidad con base en la norma ISO 27701Por David Mondragón Tapia

Abril, 2026

Consejos para implementar la ISO 42001Por David Mondragón Tapia

Marzo, 2026

Lecciones aprendidas de la ISO 27001Por David Mondragón Tapia

Febrero, 2026

Lecciones aprendidas de la ISO 22301: BIA y RAPor David Mondragón Tapia

Enero, 2026

Nueva norma ISO 27701:2025, ¡adiós y bienvenida a la ISO 27001!Por David Mondragón Tapia

Diciembre, 2025

ISO/IEC 22989:2022: conceptos y terminología de IAPor David Mondragón Tapia

Noviembre, 2025

ISO/IEC 23894:2023: guía para la gestión de riesgos de IAPor David Mondragón Tapia

¡Se te pasó leer el artículo anterior!
Aquí lo puedes encontrar.

La comunicación de incidentes de IA vs ISO/IEc 42001
Por David Mondragón Tapia

(ISO 27001 - SGSI) + (ISO 27037 - Manejo de evidencia digital)
Por David Mondragón Tapia

El análisis forense digital y la norma ISO/IEC 27037
Por David Mondragón Tapia

Uso responsable y seguro de la IA con base en la ISO 42001
Por David Mondragón Tapia

Protección de la información con base en la norma ISO 27001
Por David Mondragón Tapia

Protección de la privacidad con base en la norma ISO 27701
Por David Mondragón Tapia

Consejos para implementar la ISO 42001
Por David Mondragón Tapia

Lecciones aprendidas de la ISO 27001
Por David Mondragón Tapia

Lecciones aprendidas de la ISO 22301: BIA y RA
Por David Mondragón Tapia

Nueva norma ISO 27701:2025, ¡adiós y bienvenida a la ISO 27001!
Por David Mondragón Tapia

ISO/IEC 22989:2022: conceptos y terminología de IA
Por David Mondragón Tapia

ISO/IEC 23894:2023: guía para la gestión de riesgos de IA
Por David Mondragón Tapia