Equidad, derechos humanos, accesibilidad e impacto social bajo ISO/IEC 42001:2023.
Los programas de seguridad de la información han madurado durante más de dos décadas alrededor de un perímetro relativamente estable: confidencialidad, integridad y disponibilidad. La adopción acelerada de inteligencia artificial (en adelante, IA) introduce una superficie de riesgo distinta, que no se resuelve únicamente con controles técnicos. Los sistemas de IA toman o influyen decisiones sobre personas reales —selección de personal, puntuación crediticia, justicia penal, diagnóstico clínico, moderación de contenido—, lo que traslada parte del riesgo organizacional del plano técnico al plano de impacto sobre individuos, grupos y sociedades.
En diciembre de 2023, la Organización Internacional de Normalización (ISO) y la Comisión Electrotécnica Internacional (IEC) publicaron la norma ISO/IEC 42001:2023, el primer estándar internacional certificable para Sistemas de Gestión de Inteligencia Artificial (En adelante SGIA). Como la norma ISO/IEC 27001 hizo con la seguridad de la información, adopta la estructura armonizada de los sistemas de gestión, lo que facilita integrarla en programas de GRC (Gobierno, Riesgo y Cumplimiento) ya existentes.
La norma ISO/IEC 42001:2023 exige evaluar el impacto sobre personas, grupos y sociedad, con foco en tres dimensiones explícitas de la norma —equidad, derechos humanos y accesibilidad— y en los impactos sociales que también deben documentarse: empleo, procesos democráticos y medio ambiente, incluso dedica el Anexo A.5 a los controles de evaluación de impacto y el Anexo B.5 a su guía de implementación. El control A.5.2 exige un proceso para evaluar las consecuencias potenciales de los sistemas de IA a lo largo de su ciclo de vida, distinguiendo dos niveles: impacto sobre individuos o grupos de individuos (A.5.4) e impacto social (A.5.5). Funcionalmente, opera como un registro de riesgo especializado que alimenta el proceso general de gestión de riesgos (6.1.2) con un tipo de impacto que un registro de riesgo de seguridad tradicional no captura por defecto.
La norma exige (B.5.2) considerar si el sistema afecta: la posición legal u oportunidades de vida del individuo; su bienestar físico o psicológico; sus derechos humanos universales; y, como segundo nivel, a las sociedades en su conjunto.
Según la norma ISO/IEC 24001:2023, la Evaluación de Impacto de un Sistema de IA es definido en la cláusula de términos y definiciones 3.24 como un proceso formal mediante el cual se identifican, evalúan y tratan los impactos que un sistema de IA puede generar sobre individuos, grupos y sociedades. A diferencia de otros controles de gestión, su punto de partida no es el riesgo para la organización, sino la pregunta de quién puede verse afectado y de qué manera: ¿limita este sistema el acceso a oportunidades? ¿vulnera derechos? ¿excluye a ciertos grupos? Sus resultados son insumo para el análisis de riesgos posterior, pero su valor está en hacer visible el impacto humano, social y ambiental del sistema antes de que este sea desplegado.
Así, por ejemplo, vemos que, en abril de 2026, Anthropic anunció Claude Mythos Preview, su modelo más avanzado para tareas de programación y agentes, que demostró una capacidad inusual para identificar y encadenar de forma autónoma vulnerabilidades de día cero en sistemas operativos, navegadores y software crítico de código abierto, incluyendo un fallo de 27 años en OpenBSD. En lugar de liberarlo de forma general, Anthropic decidió otorgar acceso controlado, primero a alrededor de 50 organizaciones —entre ellas AWS, Apple, Google, Microsoft, Cisco, CrowdStrike, JPMorganChase, NVIDIA, Palo Alto Networks y la Linux Foundation— responsables de mantener software del que dependen miles de millones de usuarios finales. Semanas después amplió el acceso a unas 150 organizaciones adicionales en más de 15 países, incorporando sectores como energía, agua, salud y telecomunicaciones.
La decisión de Anthropic refleja, en la práctica, el tipo de análisis que una evaluación de impacto exige: antes de definir el modelo de acceso, la organización tuvo que preguntarse quién podría verse afectado y de qué manera. El primer impacto evidente era sobre los derechos y la seguridad de millones de personas: un modelo capaz de encontrar y encadenar vulnerabilidades de forma autónoma en los sistemas que todos usamos a diario podía convertirse, en manos equivocadas, en una herramienta de daño masivo e indiscriminado. Pero el impacto no era solo sobre individuos. Anthropic identificó también consecuencias de escala social: la proliferación sin control de estas capacidades podría tener efectos severos sobre las economías y sobre sectores laborales enteros que dependen de infraestructura digital segura, y representaba una amenaza directa para la estabilidad de los estados democráticos, razón por la que la organización mantuvo conversaciones activas con el gobierno de EE. UU. sobre sus implicaciones para la seguridad nacional. Había además una tensión de acceso: el mismo modelo que podía causar daño era también la herramienta más poderosa disponible para defenderse, lo que planteaba la pregunta de quién debía tener acceso primero y en qué condiciones, sabiendo que quienes quedaran fuera durante la fase inicial estarían temporalmente en desventaja. Fue la combinación de todos estos impactos —sobre personas, sobre la economía, sobre los procesos democráticos y sobre la equidad en el acceso a la protección— lo que llevó a Anthropic a optar por un despliegue gradual y controlado en lugar de una disponibilidad general inmediata. El caso anterior ilustra cómo la evaluación de impacto no es un ejercicio teórico, sino una decisión de gobernanza con consecuencias reales. Las secciones siguientes desarrollan las seis dimensiones de impacto que la norma exige analizar de forma explícita: las tres que afectan directamente a individuos y grupos —equidad, derechos humanos y accesibilidad— y las tres de carácter social —los efectos sobre el empleo, los procesos democráticos y el medio ambiente. Cada una plantea preguntas distintas, exige evidencia diferente y puede comprometer a distintas partes interesadas, pero todas comparten un denominador común: deben evaluarse antes del despliegue del sistema, documentarse y revisarse a lo largo de su ciclo de vida.
1. Equidad: del control de acceso al control del sesgo
La equidad (fairness en inglés) aparece en la norma como objetivo organizacional (C.2.5) y como dimensión central de la evaluación de impacto (B.5.4): "la aplicación inapropiada de sistemas de IA para la toma de decisiones automatizadas puede ser injusta para personas o grupos específicos". El sesgo algorítmico puede tratarse, en términos de gestión de riesgos, de forma similar a una vulnerabilidad: tiene causa raíz (datos, arquitectura o proceso de decisión), vector de explotación (decisiones automatizadas a escala) e impacto medible.No existe una única definición de equidad: paridad demográfica, igualdad de oportunidades, igualdad calibrada y equidad individual son métricas que pueden entrar en tensión entre sí, y no es matemáticamente posible satisfacerlas todas a la vez. La norma exige (B.6.1.2) integrar la equidad desde el diseño —requisitos, datos, entrenamiento, validación—, no como una verificación posterior. El control B.7.4 exige además ajustar el modelo y datos hasta que el sesgo sea aceptable para el caso de uso, y A.8.3 exige habilitar un canal para que terceros reporten falta de equidad como impacto adverso.
La Oficina del Alto Comisionado de las Naciones Unidas para los Derechos Humanos (En adelante OHCHR.) ha documentado que los conjuntos de datos sesgados pueden producir decisiones discriminatorias, con riesgo más agudo para grupos marginalizados; en 2021 la entonces Alta Comisionada Michelle Bachelet pidió prohibir las aplicaciones de IA incompatibles con el derecho internacional de derechos humanos. Casos documentados de sesgo en reconocimiento facial, contratación o evaluación de riesgo penal generan exposición legal y reputacional, y elevan la debida diligencia exigible a cualquier organización que despliegue sistemas similares.
A continuación, se presentan tres casos de sistemas con IA, en los que este análisis de equidad resulta aplicable:
▪️Un análisis sobre un sistema de selección de personal examinaría, por ejemplo, si la tasa de avance de candidatas mujeres a la siguiente fase es comparable a la de candidatos hombres con calificaciones equivalentes.
▪️Un análisis sobre un sistema de puntuación crediticia revisaría si la tasa de aprobación varía de forma injustificada entre distintos códigos postales o grupos étnicos, una forma de discriminación indirecta conocida como redlining algorítmico (discriminación algorítmica por ubicación geográfica o exclusión algorítmica basada en la ubicación).
▪️Un análisis sobre un sistema de para la clasificación de pacientes por prioridad de atención médica, evaluaría si los tiempos de espera recomendados difieren sistemáticamente según la edad o el idioma del paciente, más allá de lo clínicamente justificado.
2. Derechos humanos: un nuevo activo a proteger
La norma sitúa los derechos humanos como una de las dimensiones que toda evaluación de impacto debe analizar (B.5.2), exigiendo identificar qué derechos podrían verse afectados y adoptar medidas de mitigación. La recomendación de la Organización de las Naciones Unidas para la Educación, la Ciencia y la Cultura (UNESCO por sus siglas en inglés) sobre Ética de la IA (2021) exige que los sistemas respeten, protejan y promuevan los derechos humanos; la OHCHR ha identificado afectación significativa sobre privacidad, salud, educación, libertad de movimiento, reunión y expresión.La norma exige atención diferenciada a grupos vulnerables —menores, personas con discapacidad, personas mayores, trabajadores— (B.5.4), y señala explícitamente la justicia penal y los servicios financieros como ámbitos donde la IA puede reforzar sesgos históricos o, alternativamente, mejorar el acceso a servicios. Cuando un sistema participa en decisiones judiciales o administrativas, la norma exige documentar la supervisión humana disponible y evaluar si la decisión automatizada es apropiada (B.9.3): en esencia, una exigencia de trazabilidad de la decisión ante un regulador o un tribunal.
En este contexto, un análisis de impacto sobre derechos humanos examinaría, por ejemplo:
▪️Si un sistema de evaluación de riesgo de reincidencia utilizado en libertad condicional afecta el derecho a un trato igualitario ante la ley al asignar puntajes más altos a personas de ciertos barrios o antecedentes socioeconómicos;
▪️Si un sistema de moderación de contenido afecta el derecho a la libertad de expresión al retirar de forma desproporcionada publicaciones de ciertos grupos lingüísticos o políticos;
▪️Si un sistema de verificación de identidad biométrica afecta el derecho a la privacidad y a la no discriminación cuando su tasa de error es más alta para personas con ciertos tonos de piel, un problema de precisión diferencial documentado en estudios de reconocimiento facial.
3. Accesibilidad: un requisito de diseño, no de experiencia de usuario
La accesibilidad figura tanto entre los objetivos de uso responsable (B.9.3) como entre las dimensiones de impacto a evaluar (B.5.4), porque un sistema de IA puede ampliar o reducir brechas de acceso según cómo se diseñe. La norma exige (B.8.2) que la información para el usuario sea accesible y fácil de encontrar, y (B.6.1.3) que el diseño incluya usabilidad y controlabilidad. Un sistema inaccesible tiene un doble efecto negativo:
▪️Excluye directamente a las personas que no pueden usarlo
▪️Incrementa el riesgo operativo, porque los usuarios que no comprenden bien el
sistema tienden a operarlo de forma incorrecta, generando más incidentes de uso
indebido que en un sistema bien diseñado.
La accesibilidad combina tres dimensiones: funcional (uso por personas con discapacidad en igualdad de condiciones), cognitiva (fácil comprensión para distintos niveles educativos) y económica (que el costo de acceso no excluya a comunidades con recursos limitados). La norma vincula esto también a la diversidad del equipo que desarrolla el sistema (B.4.6).
En este sentido, se podrían presentar los siguientes casos de análisis de accesibilidad para sistemas que implementan IA:
▪️Un análisis de accesibilidad sobre un asistente virtual de atención al cliente
revisaría si el sistema es compatible con lectores de pantalla y si ofrece
alternativas para personas con discapacidad visual o motriz.
▪️Un análisis sobre un sistema de trámites gubernamentales evaluaría si la interfaz
es comprensible para personas con bajo nivel de alfabetización digital o que no
dominan el idioma predominante de la plataforma.
▪️Un análisis sobre una aplicación de salud impulsada por IA examinaría si su uso
depende de un teléfono de gama alta o de conectividad constante, lo cual excluiría
de facto a comunidades con menor acceso a tecnología o a internet de banda ancha.
4. Impactos sociales que deben quedar en el registro de riesgo
El Anexo A.5.5 (con guía en B.5.5) es el núcleo del enfoque social de la norma: reconoce que los impactos sociales de la IA pueden ser beneficiosos o perjudiciales, y exige documentarlos. Esto implica ampliar el registro de riesgo a categorías que tradicionalmente no formaban parte de un análisis de riesgo de seguridad clásico.
4.1. Empleo
La norma exige documentar efectos sobre empleo y cualificación del personal (B.5.3) como parte del impacto económico (B.5.5). La Organización para la Cooperación y el Desarrollo Económicos (OCDE por sus siglas en inglés), en su Perspectiva de Empleo en 2023, advirtió que la combinación de avances en IA y menores costos de adopción puede transformar fundamentalmente el entorno laboral; un informe posterior de la OCDE, basado en encuestas a empleadores y trabajadores en siete países, encontró percepciones generalmente positivas sobre rendimiento, pero con preocupación persistente por la pérdida de empleo y el cambio en las habilidades requeridas.
Aplicado a este ámbito, un análisis de impacto sobre el empleo examinaría, por ejemplo, cuántos puestos de atención al cliente de primer nivel podrían ser absorbidos por un asistente conversacional, y qué pasa con ese personal, ¿se reubica, se recapacita, se desvincula? Este análisis debe ser documentado y definir las estrategias que mitigan este impacto.
4.2. De igual manera, se evaluaría si la introducción de un sistema de IA por ejemplo, en un contact center cambia las competencias exigidas a quienes permanecen en el rol, por ejemplo, pasando de resolver consultas directamente a supervisar y corregir las respuestas generadas por el sistema, lo cual exige un perfil distinto y puede requerir un plan de transición documentado para el personal afectado. Procesos democráticos
La norma señala explícitamente que la IA ha sido usada para influir en elecciones y crear desinformación —deepfakes incluidos— con riesgo de malestar político y social (B.5.5), y exige analizar cómo terceros pueden hacer un uso indebido del sistema. La UNESCO advierte que los algoritmos de recomendación pueden alimentar la polarización que dificulta el debate informado. La norma exige evaluar no solo el uso previsto sino el uso indebido previsible (B.5.3), lo que implica considerar también el abuso funcional del sistema: su uso legítimo con fines maliciosos.
Así por ejemplo, un análisis de impacto sobre procesos democráticos examinaría, si un modelo de generación de imagen o voz podría usarse para crear contenido falso atribuido a un candidato político días antes de una elección, y qué controles de marcado o verificación de origen existen para mitigarlo; o si un algoritmo de recomendación de noticias termina mostrando a cada usuario una versión cada vez más homogénea de la realidad, reduciendo su exposición a perspectivas distintas y dificultando el debate público informado.
4.3. Medio ambiente
La norma ISO/IEC 42001:2023 exige (cláusula 4.1) que la organización determine si el cambio climático es un asunto relevante para su sistema de gestión, una disposición sin precedente en estándares de gestión tecnológica anteriores. La norma identifica la sostenibilidad medioambiental —recursos naturales y emisiones— como categoría de impacto social (B.5.5), reconociendo que la IA puede ser computacionalmente intensiva.
La evidencia respalda la urgencia: la Agencia Internacional de Energía (IEA por sus siglas en inglés) estimó el consumo eléctrico de centros de datos en 415 TWh en 2024 (1,5% del consumo global), con proyección a 945 TWh en 2030, impulsado en gran parte por la IA. Un estudio publicado en Patterns (Cell Press, ScienceDirect, 2025) estimó la huella de carbono de los sistemas de IA entre 32,6 y 79,7 millones de toneladas de CO2 en 2025, y su huella hídrica entre 312,5 y 764,6 miles de millones de litros. Lo cual evidencia que el impacto ambiental es cada vez mayor tanto a nivel de consumo eléctrico como el de huella de carbono.
Es por esta razón que un análisis de impacto medioambiental puede examinar, por ejemplo, cuánta energía y agua consume entrenar o ejecutar un modelo propio frente a usar uno ya entrenado por un proveedor externo, y de dónde proviene esa energía; también podría evaluar si, para una tarea determinada —como clasificar correos o resumir documentos—, un modelo más pequeño y eficiente entrega un resultado equivalente al de un modelo de gran escala con un consumo computacional significativamente menor y por tanto un impacto equivalente en el medio ambiente, una de
5. Conclusiones
La norma ISO/IEC 42001:2023 habla, en gran medida, el idioma que la función de seguridad y cumplimiento ya conoce: controles, evidencia documental, auditoría interna y revisión por la dirección. Lo que cambia es el universo de riesgo a cubrir. La equidad, los derechos humanos y la accesibilidad no son declaraciones de buena voluntad: son criterios de diseño exigibles y verificables en auditoría. La misma exigencia se extiende a empleo, procesos democráticos y medio ambiente, que deben quedar documentados y revisados periódicamente, no evaluados una sola vez antes del lanzamiento.
Para un área de seguridad, el mensaje práctico es directo: el registro de riesgo debe ampliarse para cubrir estos impactos, y la evaluación exigida por la norma ofrece la estructura para hacerlo sin construir un proceso de cumplimiento paralelo. Las organizaciones que la implementen con rigor estarán mejor posicionadas no solo para evitar sanciones, sino para sostener la confianza que sus clientes, empleados y reguladores depositan en el uso responsable de la IA.
Referencias
🔗ISO/IEC 42001:2023. Information technology — Artificial intelligence — Management system. ISO/IEC. Ginebra, diciembre 2023.
🔗ISO/IEC 23894:2023. Information technology — Artificial intelligence — Guidance on risk management. ISO/IEC. Ginebra, 2023.
🔗UNESCO. Recommendation on the Ethics of Artificial Intelligence. París, noviembre 2021.
🔗OHCHR. The right to privacy in the digital age. A/HRC/48/31. Naciones Unidas, 2021. https://www.ohchr.org
🔗UN News. Urgent action needed over artificial intelligence risks to human rights. Septiembre 2021. https://news.un.org/en/story/2021/09/1099972
🔗OECD. Principles on Artificial Intelligence. 2019 (revisados 2024). https://oecd.ai/en/ai-principles
🔗Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial / EU AI Act). 🔗Diario Oficial de la Unión Europea, 12 de julio de 2024.
OECD (2023). OECD Employment Outlook 2023: Artificial intelligence and the labour market. OECD Publishing, París. https://doi.org/10.1787/08785bba-en
🔗Lane, M., Williams, M. y Broecke, S. (2023). The impact of AI on the workplace: Main findings from the OECD AI surveys of employers and workers. OECD Working Papers No. 288.
🔗International Energy Agency (2025). Energy and AI / Global Energy Review: Data Centres and Energy. IEA. https://www.iea.org
🔗De Vries-Gao, A. (2025). The carbon and water footprints of data centers and what this could mean for artificial intelligence. Patterns, Cell Press. https://doi.org/10.1016/j.patter.2025.100278
🔗Anthropic. Expanding Project Glasswing. Mayo 2026. https://www.anthropic.com/news/expanding-project-glasswing
🔗CyberScoop. Anthropic expanding access to Project Glasswing. Junio 2026. https://cyberscoop.com/anthropic-project-glasswing-expansion-critical-infrastructure-claude-mythos/
🔗CNBC. Anthropic expands Mythos to 150 additional organizations in more than 15 countries. Junio 2026. https://www.cnbc.com/2026/06/02/anthropic-mythos-ai-project-glasswing.html
