El cronograma de una implantación de ISO/IEC 42001 no lo fija un número de meses: lo fija una cadena de dependencias. El alcance desbloquea el inventario, el inventario la evaluación de riesgos y de impacto, y esa evaluación decide qué controles del anexo A se implantan. Después llega el tramo que no se comprime con más gente, el de la operación real, porque la auditoría no mira si los documentos existen: mira el rastro que han dejado. Aquí no hay una duración media: no la publicamos, y el primer apartado explica por qué. Sí vas a encontrar qué depende de qué, qué mueve el calendario y las fechas del AI Act, que son las únicas fijas y desde las que se puede contar hacia atrás.
Por qué aquí no hay un número de meses
La pregunta que trae a alguien aquí es cuánto tarda. La respuesta honesta es que no tenemos una cifra que podamos respaldar: no publicamos estadística propia de duraciones y ninguna de las fuentes normativas que citamos al final fija un plazo para implantar un sistema de gestión. Las fechas que sí existen son de aplicación de obligaciones legales del AI Act, que es otra cosa.
Podríamos escribir un rango y quedaría bien. El problema es lo que pasa después: se convierte en un compromiso ante dirección, y quien lo asume acaba defendiendo un calendario construido sobre un dato que nadie midió. Cuando alguien te da una horquilla de meses sin preguntarte cuántos sistemas de IA entran en tu alcance, si los modelos son tuyos o de un proveedor y si ya tienes un sistema de gestión certificado, no está estimando tu proyecto: está citando una plantilla.
Hay además una razón estructural: parte del calendario no está en tus manos: lo que tarde un proveedor en contestar un cuestionario y lo que tarde la entidad de certificación en tener hueco. Una cifra global esconde justo eso.
Así que cambiamos la pregunta: en vez de cuánto tarda, qué determina lo que tarda. Un plan que aguanta se escribe con hitos y criterio de salida, no con duraciones: qué tiene que estar terminado para que el siguiente pueda empezar. Es más incómodo de presentar y más difícil de incumplir sin que se note.
La cadena de dependencias: qué desbloquea cada fase
Este es el esqueleto, y no depende de tu empresa: sale de encadenar lo que exigen las cláusulas 4 a 10 de ISO 42001. Cada fila necesita el resultado de la anterior, y la columna del medio es la que se salta en los planes que después hay que rehacer. Es una lista de puertas: mientras la anterior no esté cerrada, la siguiente no se abre con criterio.
| Fase | Qué la desbloquea | Qué entrega |
|---|---|---|
| Decisión y alcance | Solo la decisión de dirección: para qué se hace y hasta dónde llega | Acta con el objetivo, el alcance escrito y quién lleva el sistema, con qué dedicación |
| Inventario y clasificación | El alcance cerrado: sin frontera no hay criterio para decidir qué entra | Ficha por sistema con uso previsto, versión y responsable, más la lista de lo excluido |
| Riesgos y evaluación de impacto | El inventario cerrado: se evalúa lo que está en la lista; si cambia, se reevalúa | Informe de riesgos con plan de tratamiento e informes de impacto por sistema |
| Declaración de aplicabilidad | La evaluación: cada control aplicable sale de un riesgo o del alcance | Los 38 controles del anexo A decididos uno a uno, con cada exclusión justificada |
| Diseño documental e implantación de controles | La declaración aprobada y un responsable asignado a cada control | Política, procedimientos y plantillas aprobadas, y los controles funcionando, cada uno con su registro ya identificado |
| Operación del sistema | Tiempo. La única fila que no desbloquea un documento: un control recién puesto no tiene registros | Registros con fecha y nombre: autorizaciones, supervisión, cambios de versión, incidencias |
| Auditoría interna | Que el sistema haya operado: no se muestrea lo que no ha ocurrido | Informe con hallazgos y no conformidades, con acciones, responsable y plazo |
| Revisión por la dirección | Las entradas reales: auditoría, desempeño de los sistemas, riesgos, incidencias | Acta con decisiones y recursos, firmada por quien puede comprometerlos |
| Auditoría de certificación | Auditoría interna cerrada, revisión hecha y la agenda de la entidad, que no fijas tú | Informe de la entidad, no conformidades que cerrar y, al cerrarlas, el certificado |
Dos filas concentran el tiempo que luego se echa de menos. La del inventario, que casi nadie dimensiona bien: no se resuelve preguntando al departamento de sistemas qué modelos hay instalados, sino recorriendo áreas y preguntando qué decisiones se toman ya con ayuda de una herramienta. Y la de la operación, la única cuyo desbloqueo es tiempo transcurrido. En medio queda la evaluación, con dos ejercicios que se alimentan: el análisis de riesgos mira a la organización y a sus objetivos, y la evaluación de impacto a las personas afectadas. Esta última, con ISO/IEC 42005:2025 como guía, está en la evaluación de impacto de sistemas de IA paso a paso.
Los tres atajos que obligan a volver atrás
El orden se rompe casi siempre en los mismos tres sitios, y se paga con retrabajo, no con retraso.
Inventariar con el alcance abierto. Si nadie ha escrito hasta dónde llega el sistema, el inventario se hace por acumulación: entra todo lo que suene a IA y se queda fuera algo que sí importaba. Después hay que rehacerlo, y con él la evaluación de impacto de lo que no debía estar dentro. Un alcance amplio que no se sostiene se descubre en la auditoría, sistema por sistema.
Escribir la documentación antes de evaluar. Es el más tentador, porque redactar se puede empezar cualquier lunes sin depender de nadie. El resultado típico es una declaración de aplicabilidad con los 38 controles marcados como aplicables «por prudencia», la manera más rápida de comprometerse a mantener evidencia de controles que no hacían falta. Cómo se sostiene una exclusión está en el anexo A y la declaración de aplicabilidad.
Convocar la auditoría interna antes de que el sistema haya operado. Un auditor interno no puede muestrear lo que no ha ocurrido: el informe sale con pocos hallazgos, y esa escasez es en sí misma el hallazgo. Igual con la revisión por la dirección, que necesita entradas reales para producir decisiones. Las dos situaciones aparecen entre las no conformidades típicas de ISO 42001.
El tramo que no se comprime: operación y registros
Aquí está el cuello de botella que casi ningún plan dibuja. Los documentos se escriben: política, procedimientos, criterios, plantillas. Con un buen modelo de partida, un documento sale en poco tiempo. Los registros no se escriben, se acumulan: llevan fecha, nombre y consecuencia, y un control recién implantado todavía no ha generado ninguno.
La consecuencia práctica es que el reloj de esta fase arranca cuando el primer control queda puesto, no cuando está toda la documentación aprobada. Si un control se puede implantar antes porque no depende de nada, se implanta antes y empieza a dejar rastro. Esa es la única palanca real sobre este tramo: no acortarlo, sino arrancarlo pronto y por partes.
Y hay una pregunta para la entidad de certificación, por escrito y en cuanto se elige: cuánta operación necesita ver antes de la auditoría inicial y en qué registros lo va a comprobar. No lo deduzcas. La respuesta condiciona la fecha en la que puedes pedir la auditoría. Qué formato tiene cada registro y qué se pide en la sala está en las evidencias que pide el auditor de ISO 42001.
Lo que alarga y lo que acorta el calendario
Estos son los factores que mueven las fechas. No los ponderamos con números porque no podríamos respaldarlos; lo que sí se puede es explicar por qué pesa cada uno.
| Factor | Por qué mueve el calendario | Qué se hace con él |
|---|---|---|
| Cuántos sistemas de IA entran en el alcance | Cada sistema añade su evaluación de impacto, sus controles y su tramo de registros | Alcance estrecho y defendible, y crecer en el ciclo siguiente |
| En qué punto del ciclo de vida está cada sistema | El que ya está en producción se documenta hacia atrás, y falta lo que nadie registró | Separar en el plan los que ya operan de los que van a entrar |
| Modelos propios o de terceros | Con un modelo de tercero, el ritmo lo marca quien contesta el cuestionario del proveedor | Lanzar los cuestionarios el primer día, con fecha de respuesta pedida por escrito |
| Si ya hay un sistema de gestión certificado | Contexto, competencia, auditoría interna, revisión y no conformidades se amplían en vez de crearse | Encajar el SGIA en el ciclo de auditoría y certificación que ya corre |
| IA concentrada en un área o repartida por muchas | Cada área añade interlocutores, criterios propios y una ronda de validación | Un responsable por área, con nombre y dedicación en el acta |
| Disponibilidad de quien conoce los sistemas | Suele ser la agenda más ocupada de la empresa, y es el techo real del proyecto | Reservar sus horas antes de fijar una fecha objetivo |
| El período de operación | Es tiempo de calendario: más personas no generan registros más antiguos | Registrar en cuanto un control está puesto, sin esperar al resto |
El cuarto factor sorprende a quien ya tiene ISO 9001 o ISO/IEC 27001: lo que se acorta no es la parte de IA, que es nueva, sino la maquinaria del sistema de gestión. El sexto es el que más planes ha hundido, y se resuelve en la primera reunión o no se resuelve.
El propio Reglamento reconoce la proporcionalidad al tamaño de la organización, aunque hablando de otra cosa: del sistema de gestión de la calidad que exige a los proveedores de alto riesgo. Su artículo 17, apartado 2, dice que «la aplicación de los aspectos mencionados en el apartado 1 será proporcional al tamaño de la organización del proveedor, en particular si el proveedor es una pyme». No es una exención: el mismo apartado obliga a respetar «en todo caso, el grado de rigor y el nivel de protección requerido». Qué se simplifica y qué no, en el Ómnibus de IA y el sistema de gestión.
Planificar hacia atrás desde el calendario del AI Act
Hasta aquí, orden sin fechas. Fechas hay, pero son de otra cosa: las de aplicación del AI Act, el Reglamento (UE) 2024/1689, que entró en vigor el 1 de agosto de 2024 y se aplica de forma escalonada. Ese calendario se acaba de mover: el Reglamento (UE) 2026/1744, el Ómnibus digital sobre IA, publicado en el Diario Oficial el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026, modificó el artículo 113. Si tu plan lleva una fecha de 2027 para el anexo I, sale de la versión anterior.
La fecha general del AI Act es el 2 de agosto de 2026, dentro de tres días. Los proveedores de sistemas que generan contenido sintético y ya estaban en el mercado antes de esa fecha tienen hasta el 2 de diciembre de 2026 para cumplir el artículo 50, apartado 2. Y los requisitos de alto riesgo del capítulo III se aplican desde el 2 de diciembre de 2027 para los sistemas clasificados en virtud del artículo 6, apartado 2, y del anexo III, y desde el 2 de agosto de 2028 para los del artículo 6, apartado 1, y del anexo I.
Cuál de esas fechas cae sobre ti depende de tu papel y de la clasificación de tus sistemas, y esa lectura es jurídica: la lleva Summum Consultoría en su servicio de cumplimiento del AI Act. Lo que aporta el sistema de gestión es la evidencia, y el cronograma se cuenta al revés desde la fecha que te aplique.
La cuenta atrás es esta, y es la única aritmética honesta que se puede hacer sin inventar duraciones. La auditoría de certificación necesita auditoría interna cerrada y revisión por la dirección hecha. Esas dos necesitan que el sistema haya operado. La operación necesita controles puestos. Los controles salen de la evaluación de riesgos e impactos. La evaluación necesita el inventario cerrado. Y el inventario necesita el alcance escrito. Seis eslabones que no dan meses, pero que dicen qué tiene que estar empezado hoy si la fecha es firme, y cuál es el eslabón que al retrasarse mueve todos los demás.
Un matiz, porque se vende mal a menudo: tener el sistema de gestión certificado no acredita por sí solo la conformidad de un sistema de IA con el Reglamento. Da gobierno, trazabilidad y evidencia reutilizable. Qué cubre cada cosa está en el mapeo entre los controles de ISO 42001 y el AI Act.
Cuando ya tienes 9001 o 27001: un solo calendario
Quien ya tiene un sistema certificado parte con una ventaja que no está en los documentos, sino en el calendario: hay un ciclo en marcha, con su programa de auditoría interna, su revisión por la dirección y sus fechas con la entidad de certificación. Meter el SGIA en ese ciclo, en vez de montarle uno propio, es la decisión que más tiempo ahorra de las que aparecen aquí. Llevar dos calendarios cuesta más que llevar dos sistemas.
Qué conviene hacer coincidir:
- El programa de auditoría interna. El SGIA entra como un alcance más del programa anual, con el mismo procedimiento y el mismo formato de informe. Lo único que se resuelve aparte es la competencia del auditor en IA, que no se hereda de haber auditado calidad durante años.
- La revisión por la dirección. Una reunión y un acta, con un punto del orden del día para la IA y sus entradas propias: desempeño de los sistemas, incidencias, cambios en los riesgos y resultados de la auditoría.
- El ciclo con la entidad de certificación. Pregunta si la auditoría inicial del SGIA puede coincidir con un seguimiento o con la renovación del sistema que ya tienes, y si su alcance lo cubre. Cuando no encaja, mejor saberlo antes de comprometer nada.
- Lo transversal. Control de documentos, matriz de requisitos legales, no conformidades y plan de formación: se amplían, no se duplican.
El mapa de qué documento absorbe qué está en integrar ISO 42001 con ISO 9001 y 27001. Si hay que rehacer el programa, lo tratamos en auditoría interna de sistemas de gestión.
La agenda de la certificadora entra en el plan el primer día
La conversación con la entidad de certificación se abre antes de lo que la gente cree: en cuanto el alcance está escrito, mucho antes de tener la documentación terminada. Por dos razones: su calendario es una dependencia externa, igual que el de un proveedor, y lo que te contesten cambia tu plan.
Cuatro cosas por escrito antes de firmar:
- Contra qué referencia audita. Si responde UNE-ISO/IEC 42001:2025, está citando una norma anulada desde el 8 de abril de 2026; la vigente es UNE-EN ISO/IEC 42001:2026, con el mismo contenido técnico: no hay migración que negociar, solo una referencia que corregir.
- Qué alcance figura en su acreditación y para qué actividades, comprobado en el buscador y no en su folleto.
- Cómo organiza la auditoría inicial y cuánta operación necesita ver antes de ella.
- Qué fechas tiene disponibles y con cuánta antelación hay que reservarlas.
Sobre lo segundo hay que ser exacto, porque hay ruido comercial. ISO/IEC 42006:2025, publicada el 7 de julio de 2025, fija los requisitos que debe cumplir un organismo para auditar y certificar un sistema de gestión de IA, adicionales a los de ISO/IEC 17021-1: es la referencia contra la que se acredita un certificador. A 30 de julio de 2026 no nos consta públicamente qué entidades españolas operan con acreditación en ese alcance, así que la recomendación se resuelve en unos minutos: comprobar el alcance concreto de la entidad en el Buscador de acreditados de ENAC antes de firmar. Una certificación sin acreditación en el alcance no vale lo mismo ante un cliente grande ni en una licitación.
Cómo se presenta este plan a dirección
Un cronograma de SGIA que sobrevive a la primera revisión por la dirección tiene cuatro cosas, y le falta una a propósito. Tiene hitos con criterio de salida en vez de duraciones: «inventario cerrado y validado por las áreas» es un hito; un número de semanas es una promesa. Tiene un dueño por hito, con nombre. Tiene señaladas las dos dependencias externas, los cuestionarios a proveedores y la agenda de la entidad de certificación, con la fecha en que se lanzaron. Y marca el tramo de operación como tiempo de calendario, para que nadie proponga resolverlo con más recursos.
Lo que le falta es una fecha de certificación puesta antes de conocer esas cuatro cosas. Se añade cuando el inventario está cerrado y la entidad ha contestado, y entonces sí se puede comprometer ante un cliente o en un pliego. Lo que se le pide a dirección en la primera reunión es corto: el alcance por escrito, las horas de quien conoce los sistemas, y si hay una fecha externa que manda. Si la hay, el orden no cambia. Cambia el margen, y con él lo que se deja para el ciclo siguiente.
El recorrido completo de la norma está en la guía completa de ISO 42001. Si prefieres el plan aplicado a tus sistemas y a tus fechas, lo montamos contigo en la implantación de ISO 42001.
Preguntas frecuentes
¿Cuánto tarda implantar ISO 42001?
No hay una duración que se pueda dar de forma responsable sin conocer el caso, y por eso no publicamos una media. Lo que fija el calendario es la cadena de dependencias: el alcance desbloquea el inventario, el inventario la evaluación de riesgos e impactos, y esa evaluación decide los controles. A eso se suma un tramo de operación real que es tiempo de calendario y no se acorta con más personas. Los factores que más lo mueven son cuántos sistemas de IA entran en el alcance, si los modelos son de terceros y si ya existe un sistema de gestión certificado.
¿Se puede certificar ISO 42001 recién terminada la documentación?
La auditoría de certificación comprueba que el sistema se usa, no solo que existe: pide registros con fecha, una auditoría interna con hallazgos y una revisión por la dirección con decisiones. Un control implantado la semana anterior todavía no ha generado ninguna evidencia de uso. Cuánta operación necesita ver la entidad antes de la auditoría inicial es una pregunta que conviene hacerle por escrito en cuanto se elige.
¿Puedo usar la auditoría interna de ISO 9001 para el sistema de gestión de IA?
Sí. ISO/IEC 42001 comparte con ISO 9001 y con ISO/IEC 27001 la estructura de cláusulas 4 a 10, así que el sistema de gestión de IA entra como un alcance más del programa de auditoría interna que ya tienes, con el mismo procedimiento y el mismo formato de informe. Lo que no se hereda es la competencia del auditor en inteligencia artificial, que hay que acreditar aparte. La revisión por la dirección también se unifica: una reunión y un acta, con un punto propio para la IA.
¿Cuándo hay que hablar con la entidad de certificación?
En cuanto el alcance está escrito, mucho antes de terminar la documentación. Su agenda es una dependencia externa que no controlas, y lo que conteste cambia tu plan: contra qué referencia audita, qué alcance figura en su acreditación, cómo organiza la auditoría inicial y cuánta operación necesita ver. Antes de firmar conviene comprobar el alcance concreto de la entidad en el Buscador de acreditados de ENAC.
¿Qué fechas del AI Act hay que meter en el cronograma?
La fecha general de aplicación es el 2 de agosto de 2026. Los proveedores de sistemas que generan contenido sintético y ya estaban en el mercado antes de esa fecha tienen hasta el 2 de diciembre de 2026 para cumplir el artículo 50, apartado 2. Los requisitos de alto riesgo del capítulo III se aplican desde el 2 de diciembre de 2027 para los sistemas del artículo 6, apartado 2, y del anexo III, y desde el 2 de agosto de 2028 para los del artículo 6, apartado 1, y del anexo I, según el calendario que fijó el Reglamento (UE) 2026/1744.