Chiedere ai team di usare l'AI con giudizio non è una strategia: è un auspicio. Il giudizio cambia da persona a persona, non lascia tracce e non resiste a una verifica indipendente. Quando l'intelligenza artificiale tocca dati dei clienti, decisioni commerciali e reputazione, serve un sistema: regole scritte, responsabilità chiare, prove raccolte. La ISO/IEC 42001 è la norma che spiega come costruirlo e come farlo certificare.

Cos'è un sistema di gestione dell'AI

Un AI management system (sistema di gestione dell'AI), in sigla AIMS, è l'insieme di politiche, ruoli, processi e controlli con cui un'organizzazione governa l'AI che usa o che vende. Non è un software, non è un modello: è il metodo con cui decidi quali strumenti adottare, per quali scopi, con quali rischi accettabili e chi risponde di cosa.

La ISO/IEC 42001, pubblicata a dicembre 2023, è il primo standard internazionale dedicato alla gestione dell'AI: è stata sviluppata dal comitato ISO/IEC JTC 1/SC 42, quello dedicato all'intelligenza artificiale. Funziona come la ISO 27001 per la sicurezza delle informazioni: definisci il perimetro, misuri i rischi, applichi i controlli, verifichi i risultati, migliori. La differenza rispetto alle buone intenzioni sta nella verificabilità: usare l'AI con attenzione non si dimostra a un cliente o a un revisore; una politica con registri, test e responsabilità assegnate sì.

Cosa chiede la norma, in concreto

La ISO 42001 chiede di trattare l'AI per quello che è: un rischio da gestire e un processo da governare, non uno strumento da provare. In pratica:

  • Rischi e impatti: valutare i rischi dei sistemi di AI per l'azienda e per le persone coinvolte, con una valutazione d'impatto dedicata prima di adottare o modificare un sistema.
  • Dati: qualità, provenienza e governo dei dataset (insiemi di dati) usati per addestrare e alimentare i modelli.
  • Ruoli e competenze: chi decide, chi controlla, chi risponde; chi supervisiona l'AI va formato, come spieghiamo in supervisione umana dell'AI.
  • Monitoraggio e incidenti: sorveglianza nel tempo, registri delle attività, gestione degli eventi e delle correzioni.
  • Trasparenza: documentazione dei sistemi, informazione alle parti interessate, istruzioni per un uso corretto.
  • Ciclo di vita: dalla progettazione alla dismissione, compresi i rapporti con fornitori e terze parti.

La cassetta degli attrezzi è l'Annex A: secondo Vanta, 38 controlli raccolti in nove aree, dalle politiche AI ai dati, dalla valutazione d'impatto all'uso dei sistemi.

ISO 42001 e AI Act: volontaria per scelta, utile per necessità

Qui serve chiarezza, perché la confusione è tanta: l'AI Act è una legge, la ISO 42001 è una scelta volontaria. Certificarsi non significa essere a norma: secondo ISMS.online, la 42001 non è (ancora) uno standard armonizzato ai sensi dell'AI Act, quindi non porta con sé la presunzione di conformità. Quella arriverà dagli standard europei in preparazione in seno a CEN-CENELEC.

Detto questo, l'aiuto è concreto, perché molti obblighi dell'AI Act (gestione dei rischi, supervisione umana, documentazione, registri, formazione) vivono già dentro un sistema di gestione ISO 42001. E i tempi premiano chi si organizza adesso: secondo la Commissione europea, l'AI Act è in vigore dal 1 agosto 2024 e, con il rinvio noto come Digital Omnibus, gli obblighi per i sistemi ad alto rischio si applicheranno dal 2 dicembre 2027, come riporta DLA Piper. Un rinvio non cancella il tema: lo trasforma in un'occasione per arrivare preparati, senza rincorrere le scadenze.

Per quali PMI ha senso

Non serve essere un colosso tecnologico per avere un problema di governance dell'AI. In una PMI la ISO 42001 ha senso soprattutto in tre situazioni:

  • Vendi soluzioni AI: software house, consulenti e fornitori che vogliono un argomento solido nei questionari di valutazione dei fornitori (vendor assessment) dei clienti.
  • Usi l'AI su dati di altri: chi gestisce contabilità, risorse umane o assistenza clienti con strumenti di AI tratta dati di clienti e dipendenti; un sistema certificato dimostra controlli reali e aiuta anche sul fronte GDPR.
  • Partecipi a gare e bandi: la governance dell'AI entra nei requisiti di fornitura, e un sistema già pronto può decidere se qualificarsi o restare fuori.

Se invece l'AI in azienda è ancora un esperimento confinato, conviene prima consolidare i casi d'uso e poi certificare il sistema.

Come funziona la certificazione, a tappe

Il percorso ricalca quello dei sistemi di gestione collaudati:

  1. Gap analysis (analisi degli scostamenti): la fotografia di ciò che hai e di ciò che manca rispetto alla norma.
  2. Costruzione del sistema: analisi dei rischi, politiche, ruoli, controlli su dati e ciclo di vita.
  3. Audit interno e riesame della direzione: il sistema si testa prima che lo faccia l'organismo di certificazione.
  4. Audit di certificazione in due fasi: secondo la Cloud Security Alliance, la prima fase (Stage 1) verifica documentazione e progettazione del sistema, la seconda (Stage 2) la sua efficacia operativa.
  5. Mantenimento: il certificato dura tre anni e si mantiene con verifiche di sorveglianza annuali, come per la ISO 27001.

Se punti alle certificazioni ISO per la prima volta, il consiglio è partire da una gap analysis: costa poco e chiarisce subito se e quando ha senso certificarsi.

ISO 42001 e ISO 27001: due sistemi, una casa sola

La ISO 42001 adotta la struttura armonizzata delle norme di gestione, la stessa della ISO 27001: clausole dalla 4 alla 10, dal contesto al miglioramento continuo. L'integrazione, quindi, è naturale: se hai già un sistema di gestione della sicurezza, non costruisci un doppione, ma estendi il perimetro all'AI con gli elementi specifici (impatto, dati, ciclo di vita) e verifichi tutto con un solo programma di audit. È la stessa logica di ISO 27001 e NIS2 insieme: un sistema, più obiettivi.

E c'è un effetto collaterale positivo: un sistema di gestione dell'AI maturo diventa la base per usare l'intelligenza artificiale nei processi decisionali con regole chiare, invece che per tentativi. Un sistema di gestione non rende l'AI infallibile: rende l'azienda capace di dimostrare come la controlla e di correggere prima che un errore diventi un danno. Per una PMI significa guidare l'AI invece di subirla.