La ISO 42001 è la prima norma internazionale certificabile per la gestione dell’intelligenza artificiale. Pubblicata come ISO/IEC 42001:2023, definisce i requisiti di un AI Management System (AIMS): un sistema di gestione che permette alle organizzazioni di sviluppare e usare l’AI in modo responsabile, documentato e verificabile. Se conoscete la logica della ISO 27001 vi sentirete a casa; se non la conoscete, questo articolo la spiega senza gergo.
Cos’è un AIMS, in parole semplici
Un AI Management System è l’insieme di regole, ruoli, processi e controlli con cui un’organizzazione governa l’intelligenza artificiale che sviluppa o utilizza. Come ogni sistema di gestione ISO, segue la struttura armonizzata: contesto e parti interessate, leadership e politica, valutazione dei rischi, obiettivi, controlli operativi, monitoraggio, audit interni e miglioramento continuo.
Tradotto in pratica: sapere quali sistemi di AI avete e a cosa servono, chi ne risponde, quali rischi comportano e per chi, quali controlli li presidiano e come verificate nel tempo che tutto funzioni. Niente di esoterico: è governo aziendale applicato a una tecnologia che, a differenza di un gestionale, può sbagliare in modi nuovi e poco prevedibili.
Il risk assessment AI: cosa cambia rispetto alla sicurezza classica
Il cuore della norma è la valutazione dei rischi, ma con un perimetro più ampio della sicurezza delle informazioni. Un sistema di AI può essere perfettamente sicuro dal punto di vista informatico e comunque dannoso. La ISO/IEC 42001:2023 chiede di considerare, tra gli altri:
- bias e discriminazione: modelli addestrati su dati distorti che producono decisioni inique verso persone o gruppi;
- opacità: sistemi di cui non si sa spiegare l’output, con impatti su contestabilità e fiducia;
- degrado delle prestazioni: modelli che peggiorano nel tempo perché il contesto cambia rispetto ai dati di addestramento;
- impatti su persone e società: la norma richiede una valutazione d’impatto dei sistemi di AI su individui e gruppi, non solo sull’organizzazione;
- rischi lungo la filiera: modelli e componenti di terze parti, dati di addestramento di provenienza incerta, dipendenza dai fornitori.
Questo è il salto culturale: il rischio non è solo per l’azienda, è anche il rischio che l’azienda genera verso gli altri usando l’AI.
Il ciclo di vita dei sistemi di AI
La norma richiede di governare i sistemi di AI lungo tutto il loro ciclo di vita: dalla definizione dei requisiti e delle finalità, alla gestione dei dati, allo sviluppo o all’acquisto, ai test, al rilascio, al monitoraggio in esercizio fino alla dismissione. Per ogni fase servono responsabilità chiare e documentazione proporzionata: chi approva la messa in produzione di un modello, con quali criteri, come si monitora il comportamento reale, quando un sistema va fermato o riaddestrato.
Vale sia per chi sviluppa AI sia per chi la usa soltanto: anche l’adozione di un servizio AI di terze parti va valutata, approvata e monitorata come qualunque altro processo critico.
Chi dovrebbe considerarla
La ISO 42001 interessa tre profili. Le aziende che sviluppano prodotti o funzionalità basate su AI, per cui la certificazione diventa un elemento distintivo nei confronti di clienti e investitori. Le aziende che integrano AI di terzi nei propri servizi, che devono dimostrare di averne il controllo. E le organizzazioni in settori regolati o esposti a NIS2, GDPR e AI Act, per cui un AIMS diventa il contenitore naturale degli adempimenti in arrivo.
Come per la 27001, il valore non è il certificato appeso al muro: è avere risposte pronte quando un cliente, un auditor o un’autorità chiede come governate l’AI.
Da dove partire
Il primo passo è un inventario onesto dei sistemi di AI in uso o in sviluppo e una gap analysis rispetto ai requisiti della norma. PL Consulting accompagna le aziende nella costruzione dell’AIMS, dall’analisi iniziale alla certificazione: scoprite il servizio ISO 42001 e richiedete una gap analysis per capire da dove cominciare.
Nota: contenuto informativo basato sulla ISO/IEC 42001:2023; per i requisiti puntuali fa fede il testo ufficiale della norma. Articolo aggiornato a luglio 2026.
