Tres normas de gobernanza de la IA llegaron en una semana. Esto es lo que cambia cada una.

Entre el 14 y el 16 de octubre de 2026 llegaron tres normas sobre las que se preguntará a todo programa de gobernanza de la IA. Cumplen funciones distintas, y solo una de ellas tiene un papel formal en virtud de la ley.

ISO/IEC 27090:2026 es una guía sobre amenazas de seguridad y compromisos de los sistemas de IA. Abarca los ataques que los controles convencionales no detectan —envenenamiento de datos y de modelos, evasión, inferencia de pertenencia, inversión de modelos, extracción de modelos mediante consultas de apariencia normal e inyección de prompts y de salidas— y las mitigaciones: modelado de amenazas, red teaming, registro y monitorización, seguridad de la cadena de suministro y limitación del uso de los modelos. Se basa en ISO/IEC 27001 y complementa ISO/IEC 42001. No es certificable.

EN 18286:2026 es la primera norma armonizada en virtud del EU AI Act. Su referencia se publicó en el Diario Oficial el 14 de octubre de 2026, por lo que seguirla otorga presunción de conformidad con los requisitos del sistema de gestión de la calidad del artículo 17 que abarca. Esa presunción es más limitada de lo que parece: cubre los puntos enumerados en el anexo ZA de la norma, no el artículo 17, apartados 2 a 4, y no es un certificado. ISO/IEC 42001 se solapa con ella, pero ISO/IEC 42001 no es una norma armonizada.

IEEE 2863-2026 es una práctica recomendada para la gobernanza organizativa de la IA. Establece principios que el órgano de gobierno debe considerar y priorizar, procesos para llevarlos a la práctica y casos prácticos sobre cómo resolver tensiones entre principios. Es una guía, no un conjunto de requisitos, y ofrece un marco útil para un consejo que se inicia en la supervisión de la IA.

En AI Gov Map, las tres ya figuran en el catálogo y están vinculadas con los mismos veintidós controles, de modo que un control del que ya aporta evidencias para ISO/IEC 42001 o el EU AI Act muestra dónde cuenta también para las nuevas normas. Si sus obligaciones relativas a la IA de alto riesgo comienzan en diciembre de 2027, EN 18286 es la norma en torno a la cual planificar desde ahora.

Publicado por NexGuide.AI · Octubre de 2026 · No constituye asesoramiento jurídico.