Aikido Security ha conseguido la certificación ISO 42001:2023, el estándar internacional para sistemas de gestión de inteligencia artificial, un paso que muy pocos proveedores de seguridad han dado hasta ahora. La certificación confirma que Aikido cuenta con un sistema de gobernanza estructurado y de mejora continua para gestionar los riesgos que introducen sus funciones basadas en IA en toda nuestra plataforma.
¿Qué es la norma ISO 42001?
La norma ISO 42001:2023 es el primer marco de gobernanza de la IA creado específicamente para la certificación independiente por parte de terceros. Mientras que la norma ISO 27001 abarca la seguridad de la información en un sentido amplio, la ISO 42001 establece los requisitos sobre cómo una organización diseña, implementa y supervisa los sistemas de IA de forma responsable, además de mantener dicha gobernanza actualizada a medida que la propia IA evoluciona.
Estos requisitos incluyen la definición de los límites del sistema, el establecimiento de una política de IA con funciones de gobernanza claras, la realización de evaluaciones formales de riesgos e impacto, el seguimiento de métricas sobre el comportamiento de la IA y la corrección de no conformidades para impulsar actualizaciones continuas a medida que los modelos y entornos evolucionan.
La certificación ISO 42001 acredita que Aikido dispone de un sistema de gestión operativo y auditado para regir los riesgos que introducen las funciones de IA, abarcando la forma en que dichos riesgos se documentan y supervisan en el día a día. Está diseñada para ser aplicable a todos los sistemas y contextos de IA.
Por qué hemos obtenido la certificación ISO 42001
A medida que aumenta el uso de productos basados en agentes, la responsabilidad se desplaza hacia los desarrolladores de los sistemas, en lugar de recaer en los usuarios de las herramientas. Por tanto, es importante demostrar la fiabilidad de un sistema no determinista garantizando de forma independiente el ciclo de vida de desarrollo de software (SDLC) que hay detrás. Al conseguir la certificación ISO 42001, Aikido demuestra que estamos creando sistemas de IA fiables y seguros.
Por ejemplo, el pentesting de IA de Aikido analiza las aplicaciones de la forma en que lo haría un atacante, mientras que la auditoría de seguridad de código analiza el código fuente para detectar lo que las herramientas basadas en patrones no ven. Tenemos varias otras herramientas de IA descritas a continuación.
Aikido pide a sus clientes que confíen en las pruebas de IA autónomas para sus aplicaciones, así como en la IA utilizada para identificar, clasificar y solucionar vulnerabilidades. Obtener la certificación independiente de nuestra propia gobernanza de la IA demuestra que nuestros clientes pueden confiar en que gestionamos la IA de forma sólida. Nos tomamos muy en serio la seguridad de nuestros clientes y queremos garantizar un uso ético y responsable de la IA.
Los equipos de seguridad y cumplimiento normativo que evalúan a cualquier proveedor con funciones de IA preguntan ahora de forma sistemática sobre la gobernanza y el tratamiento de datos. La regulación sigue el mismo camino, con marcos como la Ley de IA de la UE que impulsan a los equipos de compras a exigir pruebas de gobernanza de la IA antes de incorporar una nueva herramienta de IA a nivel interno, incluso en el caso de proveedores a los que el marco no regula directamente. Para los compradores empresariales europeos en particular, el cumplimiento de la Ley de IA de la UE se ha convertido en un requisito habitual en las revisiones de riesgos de proveedores.
Qué incluye el ámbito de aplicación
La norma ISO 42001 en Aikido abarca el conjunto completo de funciones con IA en toda la plataforma, tanto en software como en hardware: pentesting de IA (Aikido Attack, Aikido Infinite), pentesting de IA local (Aikido Machine), auditoría de seguridad del código, revisión profunda de PR (Deep PR Review), escaneo de API, Aikido Libraries, Aikido Images, AutoFix, AutoTriage, Aikido Intel, búsqueda en la nube mediante IA (AI Cloud Search) y calidad del código. Cualquier nueva función de IA que se introduzca en el futuro en Aikido seguirá los mismos procesos auditados y de gobernanza.
Cómo lo hemos conseguido
La certificación siguió el mismo proceso general que cualquier auditoría de sistemas de gestión ISO: una revisión interna de preparación, una fase 1 de auditoría centrada en la documentación para comprobar que las políticas y los procedimientos cumplen realmente con la norma, y una fase 2 de auditoría que evalúa si el sistema de gestión resiste las pruebas de control reales. Cualquier no conformidad detectada durante el proceso debe corregirse, o contar con un plan de corrección documentado, antes de que se conceda la certificación.
Dado que ya contaba con las certificaciones SOC 2 e ISO 27001, Aikido ya disponía de gran parte de los procesos y la documentación subyacentes. La novedad en el caso de la ISO 42001 fue mapear específicamente la capa de IA, trazando cómo cada función de IA toma una decisión y qué datos la alimentan, para después implementar mecanismos de supervisión que permitan vigilar esto de forma continuada.
Llegar hasta aquí ha exigido una auténtica colaboración entre los equipos de cumplimiento normativo, desarrollo y comercialización (GTM), y ha reforzado nuestro trabajo con nuestros socios en la nube y de IA.
Qué significa esto si estás evaluando a un proveedor de seguridad de IA
Si vas a integrar una herramienta de seguridad basada en IA en un entorno regulado, la norma ISO 42001 te ofrece una respuesta auditada de forma independiente sobre si los riesgos de su IA están realmente controlados, en lugar de depender únicamente de la garantía del propio proveedor.
Una gobernanza de la IA evaluada de forma independiente sigue siendo poco frecuente en el mercado de las herramientas de seguridad. La mayoría de los proveedores que venden productos con IA siguen señalando la norma SOC 2 a nivel de toda la compañía como su única señal de cumplimiento, pero SOC 2 cubre los controles generales de seguridad. Una certificación específica de gobernanza de la IA, que aborde cómo se gestiona concretamente la IA de un proveedor, es mucho menos común.
Esto suele ser el resultado de la burocracia y la lentitud características de la cultura de una empresa. Está en el ADN de Aikido lanzar soluciones rápidamente y ofrecer a los clientes un alto nivel de fiabilidad. Es por esto que hemos obtenido esta certificación.
Preguntas frecuentes
¿Significa la certificación ISO 42001 que la IA de Aikido es segura? La norma ISO 42001 certifica que Aikido cuenta con un sistema de gestión operativo y auditado para gobernar los riesgos que introducen sus funciones de IA. Es una certificación del sistema de gobernanza. No certifica que un modelo de IA o resultado individual sea seguro.
¿En qué se diferencia la norma ISO 42001 de la SOC 2? La certificación SOC 2 evalúa los controles generales de seguridad en una empresa. La norma ISO 42001 es específica para la IA: cómo una organización documenta y supervisa los riesgos que introducen sus sistemas de IA, y cómo dicha gobernanza se adapta a medida que la IA evoluciona.
¿Es la norma ISO 42001 lo mismo que el software de gobernanza de la IA? El software de gobernanza de la IA es una categoría de herramientas que las empresas utilizan para rastrear y gestionar el riesgo de la IA a nivel interno. La norma ISO 42001 es una certificación independiente de terceros que audita si dicha gobernanza funciona realmente, con independencia de las herramientas que una empresa utilice para aplicarla.
Solicita nuestro certificado
Aikido cumple con las normas ISO 27001:2022, ISO 42001 y SOC 2 Tipo II del AICPA, y está implementando activamente FedRAMP. Cumplimos plenamente con el RGPD.
Si estás evaluando Aikido como parte de una revisión de cumplimiento, puedes solicitar nuestra certificación ISO 42001 a través de nuestro centro de confianza.
