ISO/IEC 27090 soll KI-Systeme sicher machen
2026-10-19
Las organizaciones de normalización ISO e IEC han publicado la norma ISO/IEC 27090, titulada 'Ciberseguridad — Inteligencia artificial (IA) — Abordaje de amenazas de seguridad y compromisos en sistemas de IA'. Esta primera edición de 56 páginas proviene del subcomité JTC 1/SC 27, el mismo responsable de la serie ISO/IEC 27000. El documento describe amenazas de seguridad que solo ocurren en sistemas de IA, explica sus consecuencias y propone medidas para su detección y defensa. Es importante aclarar que no es un certificado, sino una guía sin carácter de requisito obligatorio.
Entre las clases de ataques tratadas se encuentran el envenenamiento de datos (Data Poisoning), la manipulación de los pesos del modelo, ataques de evasión mediante entradas preparadas, la extracción de modelos a través de interfaces, la inferencia de membresía (Membership Inference), la inversión de modelos (Model Inversion), la inyección de instrucciones (Prompt Injection) y ataques a través de las salidas del modelo. La norma incluye un anexo que clasifica estos ataques según las fases del ciclo de vida de la IA y los activos afectados.
Este estándar funciona como un complemento de las normas ISO/IEC 27001 y 27002, señalando dónde las medidas clásicas siguen siendo útiles y dónde los modelos, los datos de entrenamiento y las tuberías de aprendizaje automático (ML-Pipelines) requieren protección adicional. La norma está disponible únicamente en inglés y tiene un costo de 204 francos suizos en formato PDF o impreso.
Qué significa para una pyme colombiana y cucuteña: Si su empresa está empezando a implementar herramientas de inteligencia artificial para automatizar procesos, tome esto como una referencia técnica. Aunque la norma no es obligatoria ni otorga un certificado, le sirve para entender que la IA tiene riesgos distintos a un software normal, como el 'envenenamiento de datos' (cuando alguien altera la información con la que la IA aprende). No necesita comprarla de inmediato, pero si contrata servicios de IA, pregunte a su proveedor qué medidas de seguridad siguen estos estándares internacionales para asegurar que su información no sea manipulada.