BPM, ISO 9001 e ISO/IEC 42001 frente al paso de la automatización tradicional a procesos ejecutados por inteligencia artificial.
Durante décadas, gestionar un proceso significó algo relativamente reconocible: definir qué debe hacerse, establecer responsabilidades, documentar cuando sea necesario, ejecutar, medir resultados, corregir desviaciones y mejorar. La tecnología automatizó una parte creciente de ese recorrido mediante ERP, CRM, motores de workflow, BPM, RPA y otras plataformas que trasladaron reglas y actividades desde documentos y personas hacia sistemas.
La inteligencia artificial introduce una diferencia más profunda. Un sistema convencional puede programarse para que, ante A, ejecute B; un sistema basado en IA puede interpretar información, clasificar una situación, generar alternativas o predecir un resultado. Los sistemas agénticos llevan la cuestión un paso más lejos porque pueden utilizar herramientas y actuar sobre otros sistemas para perseguir un objetivo. La pregunta deja entonces de ser solamente cuánto podemos automatizar y pasa a ser otra: ¿qué significa tener un proceso bajo control cuando el sistema que participa en su ejecución puede decidir qué hacer a continuación?
La cuestión resulta especialmente importante para organizaciones que operan sistemas de gestión certificados. Incorporar IA no cancela automáticamente una certificación ISO, pero tampoco basta con instalar la tecnología y asumir que las prácticas de control existentes siguen siendo suficientes. La convergencia entre Business Process Management (BPM), inteligencia artificial y sistemas de gestión está creando un problema nuevo: cómo demostrar control, desempeño, trazabilidad y responsabilidad cuando una parte del comportamiento operacional puede ser dinámica.
De automatizar tareas a intervenir en procesos
La incorporación de IA a los procesos empresariales no ocurre de una sola vez. Puede comenzar observando datos, documentos o registros de eventos para encontrar patrones, anomalías y oportunidades de mejora; avanzar hacia recomendaciones, clasificaciones o predicciones; continuar con la ejecución de acciones sobre CRM, documentos u otros sistemas; y llegar a escenarios en los que la IA interpreta una situación, selecciona entre alternativas permitidas y actúa utilizando herramientas. En el extremo, el comportamiento del proceso puede variar de acuerdo con contexto, información disponible, objetivos y restricciones sin que cada recorrido haya sido definido previamente como una secuencia rígida.
Esta progresión es una clasificación analítica, no una escala establecida por ISO, pero ayuda a visualizar dónde aparece el cambio. En los primeros niveles, la IA se parece a otra herramienta de apoyo al proceso. En los últimos, comienza a participar en la determinación de cómo se ejecuta.
La investigación académica en BPM anticipó esta evolución antes de la explosión actual de agentes. En AI-Augmented Business Process Management Systems: A Research Manifesto, investigadores plantearon sistemas conscientes de procesos capaces de utilizar IA para hacer su ejecución más adaptable, proactiva, explicable y sensible al contexto. La idea relevante no es simplemente automatizar más, sino permitir que los sistemas perciban lo que ocurre, razonen sobre ello y se adapten dentro de restricciones.
La profesión de procesos también está reaccionando
No es únicamente una conversación entre fabricantes de IA. La Association of Business Process Management Professionals International (ABPMP International) mantiene el BPM CBOK® como una referencia profesional para Business Process Management y desarrolla programas de certificación alrededor de la disciplina. Al mismo tiempo, BPMInstitute.org ya incorpora una línea explícita de Artificial Intelligence for Process que incluye descubrimiento y análisis aumentado, mejora mediante IA y formación sobre Agentic AI in Process. También existe el Process Management Institute, dedicado a certificaciones y práctica profesional alrededor de procesos.
Más allá de una institución concreta, el movimiento resulta consistente: la disciplina de procesos está comenzando a incorporar IA no sólo como automatización de tareas, sino como participante de la ejecución. Y eso conduce inevitablemente a ISO.
¿Una empresa puede perder su certificación ISO por introducir IA?
No por el simple hecho de utilizar inteligencia artificial. Aquí conviene separar tres cosas que suelen confundirse: una norma ISO, el sistema de gestión implementado por una organización y la certificación realizada por un tercero. ISO desarrolla normas; no certifica empresas. En el caso de los sistemas de gestión, una organización puede optar por someter su sistema a evaluación de un organismo certificador independiente.
Por tanto, instalar un sistema de IA no provoca por sí mismo la pérdida automática de una certificación. La cuestión relevante es si el sistema de gestión continúa satisfaciendo los requisitos aplicables después del cambio. Esto convierte la incorporación de IA en un asunto de gestión del cambio, procesos, riesgos, responsabilidades, competencias, evaluación y evidencia, no simplemente en una decisión de tecnología.
ISO 9001 está cambiando precisamente ahora
El momento de esta discusión resulta especialmente interesante. Al 31 de agosto de 2026, ISO presenta la siguiente edición de ISO 9001 en proceso de publicación, con publicación prevista para septiembre de 2026 y un periodo de transición posterior para las organizaciones certificadas. Mientras la nueva edición no esté formalmente publicada, no conviene presentar su contenido final como requisito vigente.
Sin embargo, el principio que interesa para esta investigación trasciende una edición concreta. Un sistema de gestión de calidad no existe únicamente para producir procedimientos; proporciona una forma sistemática de dirigir procesos, responsabilidades, desempeño, cambios y mejora. Por eso la llegada de IA no elimina la lógica de un sistema de gestión y, de hecho, puede hacerla más importante.
ISO/IEC 42001 cambia el panorama
Desde diciembre de 2023 existe una norma diseñada específicamente alrededor de sistemas de gestión de inteligencia artificial: ISO/IEC 42001:2023. La norma establece requisitos para crear, implementar, mantener y mejorar continuamente un sistema de gestión de IA y está dirigida a organizaciones que desarrollan, proporcionan o utilizan sistemas de inteligencia artificial.
Esto importa porque traslada la discusión desde “¿qué modelo utilizamos?” hacia una pregunta organizacional: ¿cómo gestionamos la IA durante su ciclo de vida? ISO/IEC 42001 puede además ser objeto de certificación voluntaria por un organismo certificador independiente. Una empresa podría, por tanto, encontrarse gestionando simultáneamente diferentes dimensiones: ISO 9001 alrededor del sistema de gestión de calidad y sus procesos, e ISO/IEC 42001 alrededor del sistema mediante el cual gobierna el desarrollo, suministro o utilización de IA. No son sustitutos; pueden cruzarse en el mismo proceso.
El ecosistema ISO alrededor de IA está creciendo
ISO/IEC 42001 no está aislada. En 2025 se publicó ISO/IEC 42005:2025, dedicada a evaluaciones de impacto de sistemas de IA durante su ciclo de vida. También se publicó ISO/IEC 42006:2025, que establece requisitos para los organismos que realizan auditoría y certificación de sistemas de gestión de IA. La dirección general es significativa: la respuesta institucional a la IA no consiste en abandonar los sistemas de gestión porque la tecnología incorpore incertidumbre, sino en desarrollar mecanismos adicionales para gestionar, evaluar, auditar y documentar esa incertidumbre.
El problema no es simplemente que la IA sea probabilística
Decir que “la IA es probabilística y por eso no puede formar parte de un proceso certificado” sería una conclusión demasiado simple. Las organizaciones ya administran procesos donde existe incertidumbre: crédito, selección, inspección, diagnóstico, atención de incidentes, logística, ventas, compras o servicio al cliente dependen de información incompleta y decisiones humanas que tampoco son perfectamente deterministas.
Un sistema de gestión no necesita necesariamente garantizar que cada caso produzca exactamente la misma decisión; necesita establecer cómo se gobierna el proceso y cómo se demuestra que funciona dentro de condiciones aceptables. Por eso la pregunta correcta probablemente no sea si podemos predecir exactamente qué hará la IA, sino si podemos demostrar que opera dentro de un ámbito definido, que su desempeño puede evaluarse y que existe una respuesta cuando se sale de él.
De controlar instrucciones a controlar un espacio de actuación
En automatización tradicional, el control suele estar incorporado directamente en reglas: si ocurre A, ejecutar B. Un agente introduce otra posibilidad: ante un objetivo, determinada información, herramientas disponibles y restricciones definidas, seleccionar qué acción permitida conviene ejecutar. El control ya no reside exclusivamente en especificar anticipadamente cada acción, sino que puede desplazarse hacia la definición y verificación de objetivos, alcance, permisos, datos disponibles, acciones autorizadas y prohibidas, criterios de desempeño, condiciones de escalamiento, excepciones, registros de ejecución, supervisión y mecanismos de detención.
Esta enumeración es una síntesis analítica de los problemas que aparecen al introducir autonomía, no un conjunto de requisitos textuales atribuidos a ISO. La distinción importa porque una investigación rigurosa debe separar lo que una norma exige de lo que razonablemente inferimos para diseñar y gobernar estos sistemas.
Identidad y permisos se convierten en parte de la gestión del proceso
NIST está estudiando precisamente qué ocurre cuando agentes de IA reciben acceso a datos, herramientas y aplicaciones empresariales. Su trabajo reciente sobre identidad y autorización de agentes parte de que otorgarles acceso a recursos empresariales exige controles apropiados de identificación, autorización y auditoría. Esto añade una dimensión que BPM tradicional podía tratar como infraestructura tecnológica: quién —o qué— está autorizado para ejecutar cada actividad del proceso.
Cuando el actor es un agente, identidad, permisos y trazabilidad dejan de ser solamente problemas de TI y pasan a formar parte del diseño operacional. Sin embargo, introducir una aprobación humana antes de cada acción tampoco constituye una solución universal, porque una supervisión mal diseñada puede convertirse en una formalidad que no mejora realmente el control.
Entonces, ¿qué debería poder demostrar una organización?
Las normas y organismos revisados respaldan la necesidad de gestión sistemática, responsabilidades, evaluación, documentación, riesgos, impacto y auditoría. A partir de esa evidencia, nuestra interpretación es que una organización que introduce IA con capacidad de actuar dentro de un proceso debería poder explicar con claridad qué función cumple la IA, qué autoridad tiene, cómo se evalúa su desempeño, qué evidencia deja, qué ocurre cuando falla y quién conserva la responsabilidad sobre el proceso y sus consecuencias.
La diferencia es importante. “Utilizamos IA” no describe adecuadamente un control. Resumir documentos, recomendar una decisión y tener autorización para modificar datos o desencadenar transacciones son intervenciones materialmente distintas. De la misma manera, decir que un agente “funciona” porque completó una acción tampoco demuestra que haya mejorado el desempeño del proceso ni que sus decisiones permanezcan dentro del ámbito aceptado.
La certificación no desaparece: cambia lo que tendremos que auditar
Esta es probablemente la conclusión más importante de la investigación. No encontramos fundamento para sostener que la aparición de procesos asistidos o ejecutados parcialmente por IA haga incompatible, por principio, una certificación de sistemas de gestión. Encontramos señales en sentido contrario: ISO está ampliando su ecosistema de normas para gestionar IA, la investigación académica en BPM estudia sistemas de procesos aumentados y agénticos, las organizaciones profesionales están incorporando IA y agentes a sus programas y organismos técnicos estudian identidad, autorización, auditoría y seguridad de agentes.
El punto de tensión no parece ser IA versus procesos, sino autonomía versus control demostrable. En un proceso tradicional preguntamos si se siguió el procedimiento; en uno automatizado, si las reglas se ejecutaron correctamente. En un proceso donde participa IA podríamos tener que preguntar además si la decisión estuvo dentro del espacio de actuación permitido, produjo un resultado aceptable y dejó evidencia suficiente para demostrarlo. Esta última formulación es una conclusión analítica de esta investigación, no lenguaje normativo de ISO.
Un proceso controlado no tiene que ser un proceso rígido
Aquí aparece la aparente paradoja. La inteligencia artificial promete precisamente mayor adaptación: utilizar contexto, responder a excepciones y escoger entre alternativas sin programar cada recorrido posible. Eliminar esa flexibilidad mediante reglas exhaustivas podría destruir parte de su valor, pero ausencia de rigidez no tiene por qué significar ausencia de control.
El desafío de los próximos sistemas de gestión podría consistir en controlar límites y resultados además de instrucciones. Eso requerirá combinar disciplinas que hasta ahora muchas empresas administraban por separado: BPM para comprender y mejorar procesos; sistemas de gestión para establecer responsabilidades, evidencia y mejora continua; gobernanza de IA para gestionar riesgos, impacto y ciclo de vida; ciberseguridad e identidad para controlar qué puede hacer cada actor digital; y medición para determinar si la autonomía realmente mejora el desempeño.
ISO frente a procesos que empiezan a decidir
Volvamos a la pregunta del título. ¿Qué ocurre con ISO cuando los procesos empiezan a decidir? No desaparece, y tampoco encontramos fundamento para afirmar que una certificación existente se pierda automáticamente por introducir IA. Lo que cambia es el objeto que debemos gobernar. Mientras la IA sólo genera información puede tratarse principalmente como herramienta de apoyo; cuando recomienda decisiones, su desempeño y utilización adquieren mayor relevancia; cuando ejecuta acciones aparecen permisos, trazabilidad y recuperación; y cuando puede escoger cómo alcanzar un objetivo necesitamos gobernar también su espacio de autonomía.
ISO/IEC 42001, ISO/IEC 42005, el desarrollo de normas complementarias y la investigación contemporánea sobre BPM sugieren que estamos entrando precisamente en esa transición. La gran pregunta para una empresa certificada quizá ya no sea únicamente “¿tenemos documentado el proceso?”, sino una más exigente: ¿podemos demostrar que el proceso sigue bajo control incluso cuando no todas sus decisiones fueron escritas de antemano?
Esa pregunta probablemente marcará una parte importante de la próxima etapa de la gestión de procesos.
