In molte organizzazioni, l'adozione dell'IA è andata più veloce delle regole per usarla. La ISO/IEC 42001 offre un quadro internazionale per queste regole, e il nuovo Blueprint lo trasforma in registri, valutazioni e attività su cui puoi lavorare in Formalize.

Perché le organizzazioni hanno bisogno ora di un sistema di gestione dell'IA?

L'IA è ormai parte della quotidianità aziendale. Secondo Eurostat, nel 2025 il 20% delle imprese dell'UE con almeno dieci dipendenti utilizzava tecnologie di IA, rispetto al 13,5% dell'anno precedente. A ogni nuovo caso d'uso le domande si moltiplicano: quali sistemi di IA sono in uso, chi ne è responsabile e quali conseguenze potrebbero avere per l'organizzazione, per le persone coinvolte e per la società?

Allo stesso tempo, i requisiti di legge diventano concreti. L'AI Act dell'UE si applica per fasi: i divieti relativi a determinate pratiche di IA si applicano da febbraio 2025, gli obblighi per i modelli di IA per finalità generali da agosto 2025. Il Digital Omnibus ha rinviato le scadenze per i sistemi di IA ad alto rischio al 2 dicembre 2027 per i sistemi autonomi di cui all'Allegato III e al 2 agosto 2028 per l'IA integrata nei prodotti regolamentati di cui all'Allegato I. Trovi i dettagli nel nostro articolo sul Digital Omnibus.

Il tempo in più non è un motivo per aspettare. Responsabilità, un inventario dei sistemi di IA, valutazioni ed evidenze non si costruiscono in poche settimane. Un sistema di gestione dell'IA dà a questo lavoro una struttura stabile, e la ISO/IEC 42001 descrive come deve essere questa struttura.

Che cos'è la ISO 42001?

La ISO/IEC 42001, o semplicemente ISO 42001, è la norma internazionale per i sistemi di gestione dell'intelligenza artificiale. Pubblicata a dicembre 2023, stabilisce come un'organizzazione governa l'uso responsabile dell'IA, sia che sviluppi, fornisca o utilizzi sistemi di IA. Come la ISO 27001, segue la struttura armonizzata delle norme ISO sui sistemi di gestione: contesto, leadership, pianificazione, supporto, attività operative, valutazione delle prestazioni e miglioramento.

Tre elementi spiccano:

• Valutazione e trattamento del rischio dell'IA: i rischi vengono valutati secondo criteri definiti e trattati con controlli. La Dichiarazione di applicabilità (Statement of Applicability, SoA) motiva quali controlli si applicano e perché.

• Valutazione d'impatto del sistema di IA: la norma richiede di valutare le potenziali conseguenze di un sistema di IA per le persone, i gruppi di persone e la società. È una prospettiva che va oltre la sicurezza delle informazioni tradizionale.

• Allegato A: 38 controlli di riferimento in nove aree, dalle politiche per l'IA e dall'organizzazione interna, passando per il ciclo di vita del sistema di IA e i dati, fino ai rapporti con terze parti e clienti.

La ISO 42001 è certificabile, e i certificati sono rilasciati da un organismo di certificazione indipendente. Una distinzione è importante: la norma non è un'attuazione dell'AI Act, e un certificato non sostituisce la verifica dei tuoi obblighi di legge. Fornisce però la struttura su cui questa verifica può basarsi: ruoli chiari, valutazioni documentate, controlli efficaci ed evidenze affidabili.

Cosa include il Blueprint ISO 42001?

Il Blueprint fornisce i componenti di un sistema di gestione dell'IA in Formalize. Lo adatti alla tua organizzazione, invece di progettare da zero ogni singolo elemento.

• Norma e controlli: i requisiti delle clausole da 4 a 10 e i controlli dell'Allegato A, con campi della Dichiarazione di applicabilità per ogni controllo: motivazione, attuazione ed efficacia.

• Politiche e modelli: il set documentale di Rexilience, che adatti, rivedi e approvi.

• Registro dei sistemi di IA: ogni sistema di IA viene registrato con i responsabili, lo scopo previsto e la fase del ciclo di vita secondo la ISO/IEC 22989, dall'ideazione alla dismissione.

• Valutazioni sotto forma di questionari: contesto e campo di applicazione, valutazione d'impatto del sistema di IA, valutazione del rischio dell'IA, obiettivi per l'IA, due diligence dei fornitori, gate di rilascio e di modifica, audit interno. Per le organizzazioni senza una metodologia propria, il Blueprint include un metodo predefinito di valutazione del rischio dell'IA.

• Libreria dei rischi: scenari di rischio dell'IA esemplificativi, con fonti di rischio e controlli candidati dell'Allegato A, come punto di partenza per la tua valutazione.

• Attività e workflow: riesami periodici per il sistema di gestione e per ogni sistema di IA, oltre a workflow che trasformano nuovi sistemi di IA, cambi di fase del ciclo di vita, incidenti legati all'IA, fornitori di IA ad alta criticità e controlli con lacune di efficacia in attività per i rispettivi responsabili.

• Evidenze: i modelli di evidenza definiscono quali informazioni documentate conservare, ad esempio i risultati delle valutazioni d'impatto e del rischio o la Dichiarazione di applicabilità.

• Dashboard e guida: una dashboard per la valutazione delle prestazioni e il riesame della direzione, e una guida all'implementazione passo per passo con verifiche di completamento e milestone, dalla configurazione all'operatività quotidiana.

Come si integra il Blueprint in Formalize?

Il Blueprint non crea un sistema parallelo. Estende i registri che già gestisci in Formalize: sistemi, fornitori, rischi, controlli, incidenti ed evidenze ottengono campi specifici per l'IA. Un fornitore di IA resta lo stesso fornitore della tua gestione del rischio fornitori, e un incidente legato all'IA lo stesso incidente della tua gestione degli incidenti.

Se gestisci già un ISMS ISO 27001 in Formalize, estendi il tuo sistema di gestione all'IA invece di costruirne un secondo. Controllo documentale, audit interni e riesami della direzione possono essere organizzati insieme, perché entrambe le norme seguono la stessa struttura.

Il modo migliore per iniziare è un progetto pilota con un solo sistema di IA. Lo registri, esegui la valutazione d'impatto e quella del rischio, decidi il trattamento e lo porti attraverso il gate di rilascio. Così impari il metodo su un caso reale e poi estendi il campo di applicazione passo dopo passo.

Cosa il Blueprint non sostituisce

Un Blueprint fornisce la struttura, ma non prende le decisioni al posto tuo. Sei tu a decidere quali sistemi di IA rientrano nel campo di applicazione, quali rischi accetti e quali controlli applichi. Nessun controllo risulta attuato solo perché è stato importato, e i modelli di Rexilience diventano documenti validi solo dopo che li hai adattati e approvati.

Valgono altri due limiti. I certificati sono rilasciati esclusivamente da un organismo di certificazione indipendente: né Formalize né Rexilience hanno alcuna influenza su questa decisione. Inoltre, quali obblighi ti si applicano ai sensi dell'AI Act dipende dal tuo ruolo e dalla classe di rischio dei tuoi sistemi, e va valutato separatamente.

Come iniziare

Vuoi usare il Blueprint ISO 42001 o prima conoscerlo meglio?

• Prenota una presentazione guidata e guarda il Blueprint su un sistema di IA di esempio, dalla registrazione alla decisione di rilascio.

• Scopri come Formalize ti aiuta a governare i sistemi di IA in uso ai sensi dell'AI Act.

• Leggi come funzionano i Blueprint nel Marketplace Formalize.

• Conosci Rexilience e i suoi servizi di consulenza.