Inteligencia Artificial aplicada a seguridad de maquinaria: gobernanza bajo ISO/IEC 42001 y Reglamento UE 2024/1689

La aplicación de inteligencia artificial a la seguridad de maquinaria industrial es una tendencia consolidada en 2026, con sistemas que asisten la identificación de peligros, estiman cuantitativamente el riesgo, sugieren medidas de reducción alineadas con la normativa aplicable, generan documentación de auditoría y alertan sobre vencimiento de pruebas funcionales. Esta integración no es opcional desde el punto de vista regulatorio: el Reglamento (UE) 2024/1689, conocido como AI Act, clasifica explícitamente los sistemas de IA aplicados a seguridad de maquinaria como sistemas de alto riesgo, con obligaciones vinculantes de gestión de riesgos, calidad de datos, documentación técnica, transparencia, supervisión humana significativa, precisión, robustez y ciberseguridad. La norma ISO/IEC 42001:2023, publicada como primer estándar internacional certificable para sistemas de gestión de inteligencia artificial, proporciona el marco operativo para que cualquier organización que desarrolle o utilice IA en contextos de alto impacto pueda estructurar su gobernanza con trazabilidad auditable. Aplicar IA a seguridad de maquinaria sin gobernanza explícita bajo estos dos marcos no solo es técnicamente incompleto: es jurídicamente vulnerable.

Por qué la IA entró en el dominio de la seguridad de maquinaria

La seguridad de maquinaria es una disciplina altamente normativa, densamente documentada y con alta carga repetitiva en muchas de sus tareas operativas. Un ingeniero de seguridad que ejecuta una apreciación del riesgo conforme a ISO 12100 sobre un paletizador debe identificar decenas de peligros aplicando taxonomías sistemáticas, estimar parámetros cuantitativos contra tablas de referencia, calcular el Performance Level requerido mediante el diagrama del Anexo A de ISO 13849-1:2023, asignar categorías de riesgo conforme a ANSI B11.0:2023, proponer medidas de reducción jerarquizadas y documentar cada decisión con trazabilidad suficiente para defenderla ante auditoría externa. Este trabajo es intelectualmente exigente pero también altamente estructurable — y por tanto, parcialmente automatizable con IA aplicada con criterio.

La promesa operativa es doble. Primero, reducir el tiempo necesario para producir documentación de alta calidad, liberando al experto humano para las decisiones críticas donde su juicio contextual es irremplazable. Segundo, aumentar la consistencia entre análisis: dos ingenieros distintos aplicando la misma metodología con asistencia de IA producen resultados más convergentes que dos ingenieros aplicando metodología manual, simplemente porque la IA funciona como baseline común contra la cual el experto ajusta con su criterio.

Pero esta promesa solo se cumple cuando la IA se aplica con gobernanza responsable. Un motor de IA opaco, sin supervisión humana, sin trazabilidad de decisiones y sin mecanismos de corrección ante sesgos es peor que la ausencia de IA: introduce riesgo sistémico donde pretendía reducirlo. Por esta razón existen ISO/IEC 42001 y el AI Act.

Qué exige el Reglamento UE 2024/1689 (AI Act)

El AI Act fue publicado en el Diario Oficial de la Unión Europea el 12 de julio de 2024 y entró en vigor el 1 de agosto de 2024, con aplicación escalonada de sus disposiciones entre 2025 y 2027. Clasifica los sistemas de IA en cuatro categorías por nivel de riesgo: riesgo inaceptable (prohibidos), alto riesgo (con obligaciones estrictas), riesgo limitado (con obligaciones de transparencia) y riesgo mínimo (sin obligaciones específicas). Los sistemas de IA aplicados a seguridad de componentes o productos regulados por legislación de armonización de la Unión — y la seguridad de maquinaria está regulada por directiva europea de máquinas — quedan incluidos en la categoría de alto riesgo. Esto no es interpretativo: es una clasificación legal explícita.

Para los sistemas de IA de alto riesgo, el AI Act establece obligaciones concretas que cualquier organización que use o provea estos sistemas debe cumplir. Las obligaciones principales son siete.

• Sistema de gestión de riesgos documentado que identifique y mitigue riesgos específicos del sistema de IA a lo largo de su ciclo de vida completo.
• Gobernanza de datos de entrenamiento con requisitos de calidad, representatividad y control de sesgos demostrable.
• Documentación técnica exhaustiva que permita a autoridades competentes verificar el cumplimiento y que debe actualizarse con cada modificación sustancial del sistema.
• Registro automático de operaciones con trazabilidad suficiente para investigar incidentes y verificar el funcionamiento del sistema durante su vida útil.
• Transparencia hacia los usuarios finales: instrucciones claras, características y limitaciones del sistema explicitadas, nivel de precisión esperado, capacidades y limitaciones relevantes.
• Supervisión humana significativa por diseño: el sistema debe poder ser monitoreado eficazmente por personas físicas, que deben poder intervenir, anular decisiones, interrumpir el funcionamiento y entender las salidas del sistema.
• Precisión, robustez y ciberseguridad adecuadas al propósito, con medidas de resiliencia frente a errores, fallos, inconsistencias y ataques.

Estas obligaciones aplican al proveedor del sistema (quien lo desarrolla y lo pone en el mercado) pero también al usuario profesional (quien lo integra en su operación), con responsabilidades diferenciadas pero complementarias. Un fabricante de máquinas que integra IA para detección de comportamientos inseguros tiene obligaciones como proveedor. Una planta industrial que utiliza software de IA para apreciación del riesgo tiene obligaciones como usuario profesional. Ambos deben documentar el cumplimiento.

Qué aporta ISO/IEC 42001:2023

El AI Act establece qué debe cumplirse. ISO/IEC 42001:2023 establece cómo estructurar organizativamente ese cumplimiento. La norma sigue la estructura armonizada (Harmonized Structure) común a los estándares modernos de sistemas de gestión ISO — la misma que ISO 9001, ISO 27001, ISO 45001 — con diez cláusulas principales que cualquier profesional que haya trabajado con sistemas de gestión reconocerá: contexto de la organización, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora continua.

La diferencia con otros sistemas de gestión está en el Anexo A de ISO 42001, que define 38 controles organizados en nueve áreas específicas para IA: políticas relacionadas con IA, organización interna para IA, recursos para sistemas de IA, evaluación de impactos de sistemas de IA, ciclo de vida de sistemas de IA, datos para sistemas de IA, información para partes interesadas, uso de sistemas de IA, y relaciones con terceros. Estos 38 controles proporcionan la traducción operativa de los principios del AI Act en prácticas organizativas auditables.

El principio operativo central: human-in-the-loop

De todas las obligaciones del AI Act aplicables a sistemas de IA en seguridad industrial, la que tiene implicaciones técnicas más profundas es la supervisión humana significativa. El término técnico operativo para esto es human-in-the-loop, y su aplicación concreta a seguridad de maquinaria tiene características específicas que conviene explicitar.

Human-in-the-loop no significa simplemente que una persona revise las salidas del sistema antes de aceptarlas. Significa que el sistema está diseñado desde su arquitectura para que las decisiones críticas — aquellas cuya materialización afecta la seguridad de trabajadores — requieran validación humana explícita, documentada y trazable, con el experto humano teniendo autoridad real para modificar, rechazar o sustituir la propuesta del sistema de IA. Un sistema que técnicamente permite al humano intervenir pero que está diseñado para dificultarlo, para presionar al operario hacia la aceptación automática o para opacar las razones de sus sugerencias, no cumple el principio human-in-the-loop aunque aparente hacerlo.

En seguridad de maquinaria, esto se concreta así: el sistema de IA puede identificar peligros candidatos, estimar parámetros preliminares, sugerir categorías de riesgo y proponer medidas de reducción. Pero la apreciación del riesgo final es responsabilidad del ingeniero de seguridad certificado, cuya firma aparece en el informe de auditoría, cuya cédula profesional respalda las decisiones y cuya responsabilidad jurídica es la que opera si hay incidente. La IA amplifica al experto; no lo reemplaza.

Cómo AI SAFE aplica estos principios por diseño

El motor de IA del software AI SAFE de AutoSafeGroup Corp (disponible en www.aisafegroup.com) opera bajo los principios de gobernanza de ISO/IEC 42001:2023 y cumple las obligaciones de sistema de IA de alto riesgo del Reglamento UE 2024/1689. Esto se refleja en cinco decisiones de diseño concretas y verificables.

Primero: revisión humana obligatoria antes de emisión de informes

El motor nunca emite un informe definitivo de apreciación del riesgo sin firma electrónica del ingeniero de seguridad responsable. Las sugerencias del motor se presentan como propuestas, con el experto teniendo autoridad para aceptar, modificar parcialmente o rechazar cada una. El informe final refleja las decisiones del experto, no las del motor, aunque el motor haya asistido el proceso.

Segundo: trazabilidad documental integral

Cada decisión del sistema queda registrada con timestamp, identificador del experto que intervino, versión del motor utilizada, parámetros de entrada, salida generada y acción del experto (aceptación, modificación, rechazo). Este registro es consultable, exportable y auditable. Es precisamente el tipo de registro que el AI Act exige como obligación de trazabilidad.

Tercero: transparencia sobre limitaciones del sistema

El software comunica explícitamente al usuario profesional los límites de su aplicabilidad. Si el sistema no tiene datos suficientes para una sugerencia confiable, lo declara en vez de inferir arbitrariamente. Si la decisión solicitada cae fuera del corpus normativo cubierto por el entrenamiento, el sistema lo indica y remite al experto humano sin proponer salida ambigua.

Cuarto: control humano de datos y configuración

La organización usuaria controla qué datos se cargan al motor, qué datos se retienen y qué datos se eliminan. El motor no opera como caja negra opaca: sus configuraciones son auditables por roles con permisos adecuados, y las actualizaciones del modelo subyacente se comunican explícitamente con notas técnicas que permiten evaluar su impacto antes de aceptarlas en producción.

Quinto: ciberseguridad integrada

El motor opera con controles de acceso por roles, cifrado en tránsito y en reposo, y registros de auditoría que permiten detectar intentos de manipulación. Esta ciberseguridad no es opcional: es obligación del AI Act para sistemas de alto riesgo y debe documentarse con el mismo rigor que cualquier otro control.

Obligaciones prácticas para el ingeniero usuario

El profesional que usa IA aplicada a seguridad de maquinaria tiene obligaciones concretas derivadas del AI Act que conviene conocer antes de integrar estas herramientas en la práctica cotidiana.

Formación CLAMSS en gobernanza de IA industrial

La certificación CLAMSS emitida por AI Safe Academy dedica un eje completo del temario (el 15 por ciento) a gobernanza de IA aplicada a seguridad industrial, cubriendo sistemáticamente ISO/IEC 42001:2023 y el Reglamento (UE) 2024/1689 con casos aplicados. Para profesionales que necesitan no solo saber qué exige la normativa sino cómo implementarla y auditarla en plantas reales, esta formación es hoy prácticamente única a nivel mundial. Los detalles del programa están disponibles en www.aisafeacademy.com.

Preguntas frecuentes

¿El AI Act se aplica a empresas fuera de la Unión Europea?

Sí, en varios supuestos. Aplica a proveedores cuyo sistema se introduce en el mercado europeo o se utiliza en la UE independientemente de donde esté establecido el proveedor, y aplica a usuarios profesionales situados fuera de la UE cuando las salidas del sistema se utilizan en la UE. Para una multinacional con operaciones globales, la práctica habitual es cumplir AI Act como estándar universal, por simplificación operativa y porque las jurisdicciones fuera de Europa están desarrollando regulaciones similares.

¿ISO/IEC 42001 es certificable?

Sí. ISO/IEC 42001:2023 está diseñada como estándar certificable por organismos acreditados bajo ISO/IEC 17021. Una organización que opera IA en contextos de alto impacto puede obtener certificación de tercera parte de su sistema de gestión de IA, demostrando auditorialmente su gobernanza. Esta certificación no sustituye las obligaciones legales del AI Act pero las complementa y facilita su cumplimiento.

¿Qué pasa si un sistema de IA en seguridad industrial genera una sugerencia incorrecta y el experto la acepta?

La responsabilidad principal recae sobre el experto humano, porque su firma convalidó la decisión. Esto no libera al proveedor del sistema de sus obligaciones sobre calidad, transparencia y funcionamiento del sistema, pero el principio human-in-the-loop concentra la responsabilidad operativa en el profesional certificado. Por esta razón los motores de IA en seguridad industrial deben diseñarse para facilitar la supervisión crítica, no para erosionarla.

¿Los sistemas de IA tradicionales (sin aprendizaje automático) también están regulados?

Depende. El AI Act usa una definición amplia de sistema de IA que incluye no solo modelos de aprendizaje automático sino también sistemas basados en reglas lógicas complejas cuando tienen capacidad inferencial significativa. La clasificación como alto riesgo se determina por el uso (aplicación a seguridad de maquinaria) más que por la tecnología subyacente específica.

¿Dónde queda ISO/IEC 23894:2023 en este marco?

ISO/IEC 23894:2023 (Guidance on risk management for AI) es una norma complementaria a ISO/IEC 42001 que proporciona orientación específica sobre gestión de riesgos para IA. No es certificable por sí misma, pero es una referencia técnica útil que CLAMSS incluye como material de apoyo al eje de gobernanza IA.