ISO 42001: i 5 malintesi più comuni sull’AI management system

Da quando la ISO 42001 è arrivata sul tavolo, mi ritrovo a smontare gli stessi malintesi in quasi ogni primo incontro. È la norma sull’AI management system, cioè sul sistema di gestione dell’intelligenza artificiale, e proprio perché è recente genera aspettative distorte in entrambe le direzioni: chi la teme troppo e chi la sottovaluta. Lavorando sui sistemi di gestione ho imparato che i fraintendimenti costano più della norma stessa. Ecco i cinque più comuni sulla ISO 42001, e come rimetterli a fuoco.

1. “È una norma solo per chi sviluppa AI”

Falso, ed è il malinteso numero uno. La ISO 42001 riguarda chi progetta, ma anche chi semplicemente usa e integra sistemi di intelligenza artificiale nei propri processi. Ho parlato con aziende convinte di essere fuori perimetro solo perché non scrivono modelli, salvo poi scoprire di aver adottato tre strumenti di AI tra marketing e HR senza alcun governo.

Se l’AI entra nei tuoi processi decisionali, la norma ti riguarda, che tu il modello lo abbia costruito o solo comprato. Il primo esercizio utile è banale: fai l’inventario degli strumenti di intelligenza artificiale già in uso in azienda. Quasi sempre sono più di quanti la direzione immagini.

2. Confonderla con la conformità all’AI Act

Sono due cose diverse che si parlano, ma non si sovrappongono. La ISO 42001 è uno standard di gestione volontario e certificabile; l’AI Act è un regolamento europeo con obblighi cogenti. Sono piani distinti che conviene tenere separati nella testa prima ancora che nei documenti.

Avere la ISO 42001 aiuta a costruire l’ossatura organizzativa utile anche per gli adempimenti dell’AI Act, ma non ti mette automaticamente in regola con la legge. Lo dico chiaro perché l’equivoco genera false sicurezze: certificarsi è un ottimo passo, ma non è un lasciapassare normativo.

3. Pensare che sia solo un problema tecnico

Molti scaricano tutto sull’IT, e lì il progetto muore. La ISO 42001 chiede governance, valutazione degli impatti, ruoli, competenze e gestione del rischio: è un tema di direzione, non di reparto tecnico.

L’ho visto succedere con un’azienda che aveva delegato tutto a un data scientist bravissimo ma senza mandato organizzativo: ogni volta che serviva una decisione trasversale, il progetto si fermava. Senza commitment del vertice, il sistema resta una cartella di documenti che nessuno usa. La tecnologia è l’ultimo pezzo, non il primo.

4. Sottovalutare la gestione del rischio e degli impatti

Qui casca chi tratta l’AI come un software qualsiasi. Un sistema di intelligenza artificiale può produrre effetti su persone, diritti e decisioni, e la norma chiede di valutarli seriamente, non di dichiararli generici.

Ho visto sottovalutare bias, spiegabilità e qualità dei dati, salvo accorgersene quando un output sbagliato arrivava a un cliente e diventava un problema di reputazione. La valutazione degli impatti non è un capitolo formale da chiudere in fretta, è il cuore del sistema: se la fai bene, tutto il resto si costruisce di conseguenza.

5. Credere che basti un documento e via

Il malinteso finale è il più classico dei sistemi di gestione: scrivere la policy sull’AI e sentirsi a posto. Un AI management system vive di monitoraggio, riesame e miglioramento continuo, perché i modelli e i loro usi cambiano in fretta.

Una politica ferma al giorno della firma invecchia in settimane, soprattutto in un campo che si muove così velocemente. La ISO 42001 non premia chi documenta di più, premia chi governa davvero: conta il ciclo di controllo che resta acceso, non lo spessore del manuale che finisce in archivio.

Il filo che lega questi cinque malintesi è uno solo: si tende a leggere la ISO 42001 con le lenti di ciò che già si conosce, che sia il software, la privacy o un altro standard di gestione. L’intelligenza artificiale, però, porta rischi e responsabilità che meritano uno sguardo nuovo, e chi lo accetta parte con il piede giusto. La norma non è complicata in sé, è scomoda perché obbliga a guardare in faccia decisioni che prima si delegavano a un algoritmo senza pensarci.

Se stai valutando la ISO 42001 e vuoi separare i fatti dai malintesi, trovi il nostro approccio alla pagina servizi ISO 42001. Il punto di partenza sensato resta una gap analysis: capiamo insieme quali sistemi di AI usi e quanto sei distante dalla norma. Scrivici per fare il punto.

Nota: il contenuto ha finalità informative e non sostituisce una valutazione sul singolo caso. Articolo aggiornato a luglio 2026.