ISO 27001 vs 27701 vs 42001: seguridad, privacidad y gobierno de IA

En una empresa de tecnología argentina, las tres preguntas llegan casi siempre en el mismo orden y de la misma boca: el área de compliance de un cliente. Primero: «¿cómo protegés la información que te confiamos?». Después, cuando el negocio escala y hay datos personales de por medio: «¿qué hacés con esos datos, con qué base y cómo probás que los borrás?». Y desde hace poco, cuando el producto incorpora modelos: «¿cómo gobernás la inteligencia artificial que tenés en producción?».

Cada una de esas preguntas tiene una norma internacional que la responde de forma auditada. ISO/IEC 27001 responde por la seguridad de la información. ISO/IEC 27701 responde por la privacidad de los datos personales. ISO/IEC 42001 responde por el gobierno de los sistemas de inteligencia artificial. Son tres capas distintas del mismo problema —demostrar que una empresa gobierna aquello que le confían— y en el cluster tecnológico se solapan tanto que conviene no confundirlas ni certificarlas a ciegas. Esta guía las compara con criterio: qué cubre cada una, en qué se diferencian, cómo se integran cuando conviene tener más de una, y por dónde empieza una empresa argentina según lo que hoy le exigen sus clientes y sus licitaciones. G-CERTI Argentina certifica sistemas de gestión bajo ISO/IEC 17021-1 —encuadra alcance, audita y decide—; no diseña el sistema ni asesora cómo construirlo.

Antes del detalle, la distinción de fondo. Las tres comparten la misma estructura armonizada de las normas ISO de sistemas de gestión (las cláusulas 4 a 10: contexto, liderazgo, planificación, soporte, operación, evaluación y mejora), lo que las hace integrables entre sí y con normas que la empresa quizá ya tenga, como ISO 9001. Lo que cambia es qué gobiernan.

27001 protege la información; 27701 responde una pregunta distinta y más específica: qué se puede hacer legítimamente con los datos personales, y cómo se respetan los derechos de su titular. Certifica un Sistema de Gestión de la Privacidad de la Información (PIMS).

La norma distingue dos roles que el derecho de datos también reconoce, y que en Argentina se leen bajo la Ley 25.326:

En Argentina, 27701 se lee bajo la Ley 25.326 de Protección de los Datos Personales, cuya autoridad de aplicación es la Agencia de Acceso a la Información Pública (AAIP). La norma no certifica el cumplimiento de esa ley —ningún organismo de certificación podría hacerlo—, pero el sistema de gestión que exige (identificar qué datos se tratan, con qué finalidad y base, cómo se atienden los derechos del titular, cómo se maneja el consentimiento y la retención) se superpone fuertemente con lo que el régimen local espera de un responsable serio. Hay más de un proyecto de reforma de la Ley 25.326 en trámite parlamentario —inspirados en el anteproyecto que trabajó la propia AAIP y orientados a acercar el régimen argentino a estándares como el RGPD europeo—, sin que a la fecha se haya convertido ninguno en ley; conviene seguir su curso antes de asumir cambios en las obligaciones vigentes. Su otro gran uso local es la exportación de servicios: un certificado 27701 vigente y verificable internacionalmente responde a las cláusulas de privacidad que llegan de clientes en la Unión Europea, el Reino Unido u otras jurisdicciones exigentes.

La diferencia de fondo es el objeto que gobierna cada una, y por ahí conviene entenderlas:

• 27001 gobierna el dato como activo: que no se pierda, no se altere, no se filtre. Es agnóstica respecto de si el dato es personal o no.
• 27701 gobierna el dato personal como derecho: qué se puede hacer con él legítimamente, y cómo se respeta a su titular. Presupone que la seguridad ya está resuelta (por eso convive tan naturalmente con 27001).
• 42001 gobierna el sistema que procesa el dato y decide: cómo se construye, se evalúa y se supervisa una IA. Puede tratar datos personales (y ahí toca a 27701) sobre una infraestructura que hay que asegurar (y ahí toca a 27001).

El solapamiento es real y buscado: las tres comparten cláusulas 4 a 10 idénticas en estructura, de modo que la evaluación de riesgos, la gestión documental, la revisión por la dirección y el tratamiento de no conformidades se montan una sola vez y se especializan por norma. Una empresa que ya tiene un SGSI 27001 maduro no rehace el andamiaje cuando suma privacidad o gobierno de IA: lo extiende. Esa es la ventaja de tratarlas como un sistema integrado y no como tres certificaciones sueltas.