Equidad, derechos humanos, accesibilidad e impacto social bajo ISO/IEC 42001:2023.
Los programas de seguridad de la información han madurado durante más de dos décadas alrededor de un perímetro relativamente estable: confidencialidad, integridad y disponibilidad. La adopción acelerada de inteligencia artificial (en adelante, IA) introduce una superficie de riesgo distinta, que no se resuelve únicamente con controles técnicos. Los sistemas de IA toman o influyen decisiones sobre personas reales —selección de personal, puntuación crediticia, justicia penal, diagnóstico clínico, moderación de contenido—, lo que traslada parte del riesgo organizacional del plano técnico al plano de impacto sobre individuos, grupos y sociedades.
En diciembre de 2023, la Organización Internacional de Normalización (ISO) y la Comisión Electrotécnica Internacional (IEC) publicaron la norma ISO/IEC 42001:2023, el primer estándar internacional certificable para Sistemas de Gestión de Inteligencia Artificial (En adelante SGIA). Como la norma ISO/IEC 27001 hizo con la seguridad de la información, adopta la estructura armonizada de los sistemas de gestión, lo que facilita integrarla en programas de GRC (Gobierno, Riesgo y Cumplimiento) ya existentes.
La norma ISO/IEC 42001:2023 exige evaluar el impacto sobre personas, grupos y sociedad, con foco en tres dimensiones explícitas de la norma —equidad, derechos humanos y accesibilidad— y en los impactos sociales que también deben documentarse: empleo, procesos democráticos y medio ambiente, incluso dedica el Anexo A.5 a los controles de evaluación de impacto y el Anexo B.5 a su guía de implementación. El control A.5.2 exige un proceso para evaluar las consecuencias potenciales de los sistemas de IA a lo largo de su ciclo de vida, distinguiendo dos niveles: impacto sobre individuos o grupos de individuos (A.5.4) e impacto social (A.5.5). Funcionalmente, opera como un registro de riesgo especializado que alimenta el proceso general de gestión de riesgos (6.1.2) con un tipo de impacto que un registro de riesgo de seguridad tradicional no captura por defecto.
La norma exige (B.5.2) considerar si el sistema afecta: la posición legal u oportunidades de vida del individuo; su bienestar físico o psicológico; sus derechos humanos universales; y, como segundo nivel, a las sociedades en su conjunto.
Según la norma ISO/IEC 24001:2023, la Evaluación de Impacto de un Sistema de IA es definido en la cláusula de términos y definiciones 3.24 como un proceso formal mediante el cual se identifican, evalúan y tratan los impactos que un sistema de IA puede generar sobre individuos, grupos y sociedades. A diferencia de otros controles de gestión, su punto de partida no es el riesgo para la organización, sino la pregunta de quién puede verse afectado y de qué manera: ¿limita este sistema el acceso a oportunidades? ¿vulnera derechos? ¿excluye a ciertos grupos? Sus resultados son insumo para el análisis de riesgos posterior, pero su valor está en hacer visible el impacto humano, social y ambiental del sistema antes de que este sea desplegado.
Así, por ejemplo, vemos que, en abril de 2026, Anthropic anunció Claude Mythos Preview, su modelo más avanzado para tareas de programación y agentes, que demostró una capacidad inusual para identificar y encadenar de forma autónoma vulnerabilidades de día cero en sistemas operativos, navegadores y software crítico de código abierto, incluyendo un fallo de 27 años en OpenBSD. En lugar de liberarlo de forma general, Anthropic decidió otorgar acceso controlado, primero a alrededor de 50 organizaciones —entre ellas AWS, Apple, Google, Microsoft, Cisco, CrowdStrike, JPMorganChase, NVIDIA, Palo Alto Networks y la Linux Foundation— responsables de mantener software del que dependen miles de millones de usuarios finales. Semanas después amplió el acceso a unas 150 organizaciones adicionales en más de 15 países, incorporando sectores como energía, agua, salud y telecomunicaciones.
La decisión de Anthropic refleja, en la práctica, el tipo de análisis que una evaluación de impacto exige: antes de definir el modelo de acceso, la organización tuvo que preguntarse quién podría verse afectado y de qué manera. El primer impacto evidente era sobre los derechos y la seguridad de millones de personas: un modelo capaz de encontrar y encadenar vulnerabilidades de forma autónoma en los sistemas que todos usamos a diario podía convertirse, en manos equivocadas, en una herramienta de daño masivo e indiscriminado. Pero el impacto no era solo sobre individuos. Anthropic identificó también consecuencias de escala social: la proliferación sin control de estas capacidades podría tener efectos severos sobre las economías y sobre sectores laborales enteros que dependen de infraestructura digital segura, y representaba una amenaza directa para la estabilidad de los estados democráticos, razón por la que la organización mantuvo conversaciones activas con el gobierno de EE. UU. sobre sus implicaciones para la seguridad nacional. Había además una tensión de acceso: el mismo modelo que podía causar daño era también la herramienta más poderosa disponible para defenderse, lo que planteaba la pregunta de quién debía tener acceso primero y en qué condiciones, sabiendo que quienes quedaran fuera durante la fase inicial estarían temporalmente en desventaja. Fue la combinación de todos estos impactos —sobre personas, sobre la economía, sobre los procesos democráticos y sobre la equidad en el acceso a la protección— lo que llevó a Anthropic a optar por un despliegue gradual y controlado en lugar de una disponibilidad general inmediata. El caso anterior ilustra cómo la evaluación de impacto no es un ejercicio teórico, sino una decisión de gobernanza con consecuencias reales. Las secciones siguientes desarrollan las seis dimensiones de impacto que la norma exige analizar de forma explícita: las tres que afectan directamente a individuos y grupos —equidad, derechos humanos y accesibilidad— y las tres de carácter social —los efectos sobre el empleo, los procesos democráticos y el medio ambiente. Cada una plantea preguntas distintas, exige evidencia diferente y puede comprometer a distintas partes interesadas, pero todas comparten un denominador común: deben evaluarse antes del despliegue del sistema, documentarse y revisarse a lo largo de su ciclo de vida.
La accesibilidad figura tanto entre los objetivos de uso responsable (B.9.3) como entre las dimensiones de impacto a evaluar (B.5.4), porque un sistema de IA puede ampliar o reducir brechas de acceso según cómo se diseñe. La norma exige (B.8.2) que la información para el usuario sea accesible y fácil de encontrar, y (B.6.1.3) que el diseño incluya usabilidad y controlabilidad. Un sistema inaccesible tiene un doble efecto negativo:
▪️Excluye directamente a las personas que no pueden usarlo
▪️Incrementa el riesgo operativo, porque los usuarios que no comprenden bien el
sistema tienden a operarlo de forma incorrecta, generando más incidentes de uso
indebido que en un sistema bien diseñado.
La accesibilidad combina tres dimensiones: funcional (uso por personas con discapacidad en igualdad de condiciones), cognitiva (fácil comprensión para distintos niveles educativos) y económica (que el costo de acceso no excluya a comunidades con recursos limitados). La norma vincula esto también a la diversidad del equipo que desarrolla el sistema (B.4.6).
En este sentido, se podrían presentar los siguientes casos de análisis de accesibilidad para sistemas que implementan IA:
▪️Un análisis de accesibilidad sobre un asistente virtual de atención al cliente
revisaría si el sistema es compatible con lectores de pantalla y si ofrece
alternativas para personas con discapacidad visual o motriz.
▪️Un análisis sobre un sistema de trámites gubernamentales evaluaría si la interfaz
es comprensible para personas con bajo nivel de alfabetización digital o que no
dominan el idioma predominante de la plataforma.
▪️Un análisis sobre una aplicación de salud impulsada por IA examinaría si su uso
depende de un teléfono de gama alta o de conectividad constante, lo cual excluiría
de facto a comunidades con menor acceso a tecnología o a internet de banda ancha.
El Anexo A.5.5 (con guía en B.5.5) es el núcleo del enfoque social de la norma: reconoce que los impactos sociales de la IA pueden ser beneficiosos o perjudiciales, y exige documentarlos. Esto implica ampliar el registro de riesgo a categorías que tradicionalmente no formaban parte de un análisis de riesgo de seguridad clásico.
4.1. Empleo
La norma exige documentar efectos sobre empleo y cualificación del personal (B.5.3) como parte del impacto económico (B.5.5). La Organización para la Cooperación y el Desarrollo Económicos (OCDE por sus siglas en inglés), en su Perspectiva de Empleo en 2023, advirtió que la combinación de avances en IA y menores costos de adopción puede transformar fundamentalmente el entorno laboral; un informe posterior de la OCDE, basado en encuestas a empleadores y trabajadores en siete países, encontró percepciones generalmente positivas sobre rendimiento, pero con preocupación persistente por la pérdida de empleo y el cambio en las habilidades requeridas.
Aplicado a este ámbito, un análisis de impacto sobre el empleo examinaría, por ejemplo, cuántos puestos de atención al cliente de primer nivel podrían ser absorbidos por un asistente conversacional, y qué pasa con ese personal, ¿se reubica, se recapacita, se desvincula? Este análisis debe ser documentado y definir las estrategias que mitigan este impacto.
4.2. De igual manera, se evaluaría si la introducción de un sistema de IA por ejemplo, en un contact center cambia las competencias exigidas a quienes permanecen en el rol, por ejemplo, pasando de resolver consultas directamente a supervisar y corregir las respuestas generadas por el sistema, lo cual exige un perfil distinto y puede requerir un plan de transición documentado para el personal afectado. Procesos democráticos
La norma señala explícitamente que la IA ha sido usada para influir en elecciones y crear desinformación —deepfakes incluidos— con riesgo de malestar político y social (B.5.5), y exige analizar cómo terceros pueden hacer un uso indebido del sistema. La UNESCO advierte que los algoritmos de recomendación pueden alimentar la polarización que dificulta el debate informado. La norma exige evaluar no solo el uso previsto sino el uso indebido previsible (B.5.3), lo que implica considerar también el abuso funcional del sistema: su uso legítimo con fines maliciosos.
Así por ejemplo, un análisis de impacto sobre procesos democráticos examinaría, si un modelo de generación de imagen o voz podría usarse para crear contenido falso atribuido a un candidato político días antes de una elección, y qué controles de marcado o verificación de origen existen para mitigarlo; o si un algoritmo de recomendación de noticias termina mostrando a cada usuario una versión cada vez más homogénea de la realidad, reduciendo su exposición a perspectivas distintas y dificultando el debate público informado.
4.3. Medio ambiente
La norma ISO/IEC 42001:2023 exige (cláusula 4.1) que la organización determine si el cambio climático es un asunto relevante para su sistema de gestión, una disposición sin precedente en estándares de gestión tecnológica anteriores. La norma identifica la sostenibilidad medioambiental —recursos naturales y emisiones— como categoría de impacto social (B.5.5), reconociendo que la IA puede ser computacionalmente intensiva.
La evidencia respalda la urgencia: la Agencia Internacional de Energía (IEA por sus siglas en inglés) estimó el consumo eléctrico de centros de datos en 415 TWh en 2024 (1,5% del consumo global), con proyección a 945 TWh en 2030, impulsado en gran parte por la IA. Un estudio publicado en Patterns (Cell Press, ScienceDirect, 2025) estimó la huella de carbono de los sistemas de IA entre 32,6 y 79,7 millones de toneladas de CO2 en 2025, y su huella hídrica entre 312,5 y 764,6 miles de millones de litros. Lo cual evidencia que el impacto ambiental es cada vez mayor tanto a nivel de consumo eléctrico como el de huella de carbono.
Es por esta razón que un análisis de impacto medioambiental puede examinar, por ejemplo, cuánta energía y agua consume entrenar o ejecutar un modelo propio frente a usar uno ya entrenado por un proveedor externo, y de dónde proviene esa energía; también podría evaluar si, para una tarea determinada —como clasificar correos o resumir documentos—, un modelo más pequeño y eficiente entrega un resultado equivalente al de un modelo de gran escala con un consumo computacional significativamente menor y por tanto un impacto equivalente en el medio ambiente, una de
La norma ISO/IEC 42001:2023 habla, en gran medida, el idioma que la función de seguridad y cumplimiento ya conoce: controles, evidencia documental, auditoría interna y revisión por la dirección. Lo que cambia es el universo de riesgo a cubrir. La equidad, los derechos humanos y la accesibilidad no son declaraciones de buena voluntad: son criterios de diseño exigibles y verificables en auditoría. La misma exigencia se extiende a empleo, procesos democráticos y medio ambiente, que deben quedar documentados y revisados periódicamente, no evaluados una sola vez antes del lanzamiento.
Para un área de seguridad, el mensaje práctico es directo: el registro de riesgo debe ampliarse para cubrir estos impactos, y la evaluación exigida por la norma ofrece la estructura para hacerlo sin construir un proceso de cumplimiento paralelo. Las organizaciones que la implementen con rigor estarán mejor posicionadas no solo para evitar sanciones, sino para sostener la confianza que sus clientes, empleados y reguladores depositan en el uso responsable de la IA.
Referencias
🔗ISO/IEC 42001:2023. Information technology — Artificial intelligence — Management system. ISO/IEC. Ginebra, diciembre 2023.
🔗ISO/IEC 23894:2023. Information technology — Artificial intelligence — Guidance on risk management. ISO/IEC. Ginebra, 2023.
🔗UNESCO. Recommendation on the Ethics of Artificial Intelligence. París, noviembre 2021.
🔗OHCHR. The right to privacy in the digital age. A/HRC/48/31. Naciones Unidas, 2021. https://www.ohchr.org
🔗UN News. Urgent action needed over artificial intelligence risks to human rights. Septiembre 2021. https://news.un.org/en/story/2021/09/1099972
🔗OECD. Principles on Artificial Intelligence. 2019 (revisados 2024). https://oecd.ai/en/ai-principles
🔗Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial / EU AI Act). 🔗Diario Oficial de la Unión Europea, 12 de julio de 2024.
OECD (2023). OECD Employment Outlook 2023: Artificial intelligence and the labour market. OECD Publishing, París. https://doi.org/10.1787/08785bba-en
🔗Lane, M., Williams, M. y Broecke, S. (2023). The impact of AI on the workplace: Main findings from the OECD AI surveys of employers and workers. OECD Working Papers No. 288.
🔗International Energy Agency (2025). Energy and AI / Global Energy Review: Data Centres and Energy. IEA. https://www.iea.org
🔗De Vries-Gao, A. (2025). The carbon and water footprints of data centers and what this could mean for artificial intelligence. Patterns, Cell Press. https://doi.org/10.1016/j.patter.2025.100278
🔗Anthropic. Expanding Project Glasswing. Mayo 2026. https://www.anthropic.com/news/expanding-project-glasswing
🔗CyberScoop. Anthropic expanding access to Project Glasswing. Junio 2026. https://cyberscoop.com/anthropic-project-glasswing-expansion-critical-infrastructure-claude-mythos/
🔗CNBC. Anthropic expands Mythos to 150 additional organizations in more than 15 countries. Junio 2026. https://www.cnbc.com/2026/06/02/anthropic-mythos-ai-project-glasswing.html