La vostra PMI ha bisogno della ISO/IEC 42001?
- La norma è stata pubblicata nel dicembre 2023. È volontaria e certificabile.
- Ha la stessa struttura delle norme ISO 9001 o ISO/IEC 27001. Chi ne possiede già una può partire da quanto già esistente.
- La maggior parte delle PMI non ne ha bisogno, almeno per ora. Diverso è il caso per i fornitori di soluzioni IA, i settori regolamentati e i subfornitori di grandi clienti.
Cosa disciplina la norma?
La ISO/IEC 42001 stabilisce i requisiti per un sistema di gestione dell’intelligenza artificiale (in inglese AIMS). Non impone quale tecnologia utilizzare, ma definisce come un’azienda deve essere organizzata per impiegare l’IA in modo controllato: chi è responsabile? Come vengono valutati i rischi e gli impatti sulle persone? Come si verifica che un sistema funzioni ancora come previsto?
La norma si applica a chiunque sviluppi, offra o utilizzi l’IA, indipendentemente dalle dimensioni o dal settore.
Come è strutturata?
La norma segue la struttura unificata di tutte le norme ISO sui sistemi di gestione (capitoli da 4 a 10):
| Capitolo | Contenuto | In pratica significa |
|---|---|---|
| 4 Contesto | Ambiente, parti interessate, campo di applicazione | Quali sistemi IA sono inclusi e qual è il nostro ruolo (fornitore, utente)? |
| 5 Leadership | Responsabilità della direzione, politica IA | La direzione definisce i principi e nomina i responsabili. |
| 6 Pianificazione | Valutazione dei rischi, valutazione d’impatto, obiettivi | Valutare e gestire i rischi e gli impatti su persone e società. |
| 7 Supporto | Risorse, competenze, comunicazione, documentazione | Formazione, documenti chiari, conoscenza dei dati e dei modelli. |
| 8 Operatività | Attuazione delle misure | Gestire il ciclo di vita dei sistemi IA: sviluppo, approvvigionamento, esercizio, dismissione. |
| 9 Valutazione | Monitoraggio, audit interni, riesame della direzione | Verificare se i sistemi e il sistema di gestione funzionano. |
| 10 Miglioramento | Azioni correttive, miglioramento continuo | Imparare dagli incidenti e dagli audit. |
In aggiunta, l’allegato A contiene 38 misure (controlli) suddivise in nove aree tematiche, mentre l’allegato B fornisce indicazioni per l’attuazione. Le misure riguardano, ad esempio, le politiche IA, i ruoli, i dati per i sistemi IA, l’informazione degli interessati, l’utilizzo dei sistemi e i fornitori. Quali misure siano applicabili deve essere motivato in una dichiarazione di applicabilità.
Norme correlate
- ISO/IEC 23894: Guida per la gestione dei rischi nell’IA.
- ISO/IEC 42005:2025: Valutazione d’impatto dei sistemi IA.
- ISO/IEC 42006:2025: Requisiti per gli organismi che certificano secondo la ISO/IEC 42001.
- ISO/IEC 27001: Sicurezza delle informazioni. Può essere integrata con la 42001 in un unico sistema di gestione.
Rapporto con l’AI Act dell’UE
Una certificazione secondo la ISO/IEC 42001 non dimostra la conformità all’AI Act dell’UE. Tuttavia, la norma copre molte esigenze organizzative (gestione dei rischi, documentazione, supervisione umana, gestione della qualità) ed è quindi una buona base. Per la presunzione di conformità all’AI Act, le organizzazioni europee di normazione CEN e CENELEC stanno elaborando norme armonizzate specifiche.
A ottobre 2026, nessuna norma armonizzata relativa all’AI Act è ancora stata pubblicata nella Gazzetta ufficiale dell’UE. La norma più avanzata è quella sulla gestione della qualità (EN 18286). Sono in corso lavori su norme relative alla gestione dei rischi, alla cybersicurezza e ai set di dati. Chi oggi implementa la ISO/IEC 42001 crea le strutture a cui queste norme potranno successivamente collegarsi.
Quando conviene una certificazione?
| Situazione | Raccomandazione |
|---|---|
| Utilizzate strumenti IA per compiti interni, ad esempio come fiduciaria per riassunti e bozze | Non è necessaria una certificazione. Basta un piano d’azione IA con una politica e un elenco degli strumenti. |
| Integrare l’IA in prodotti o servizi per i clienti | Utilizzare la norma come linea guida. Valutare una certificazione se i clienti richiedono prove. |
| Sviluppate soluzioni IA per terzi (software house, agenzia) | Un certificato aiuta nelle vendite, soprattutto verso banche, assicurazioni e autorità pubbliche. |
| Settore regolamentato (finanza, sanità) o applicazioni ad alto rischio | Un sistema di gestione è fortemente raccomandato. Facilita la dimostrazione della conformità verso autorità e clienti. |
Il percorso verso la certificazione
- Definire il campo di applicazione: quali sistemi IA, sedi e processi?
- Analisi delle lacune rispetto alla norma, spesso con supporto esterno per 2-5 giorni.
- Implementazione: politica IA, ruoli, valutazione dei rischi e d’impatto, dichiarazione di applicabilità, formazione, documentazione. Una PMI impiega in genere 3-9 mesi.
- Audit interno e riesame della direzione.
- Audit di certificazione in due fasi da parte di un organismo accreditato. Seguono audit di sorveglianza annuali e una ricertificazione dopo tre anni.
Consiglio: Chi è già certificato secondo la ISO/IEC 27001 può riutilizzare molti processi (gestione dei documenti, audit, riesame della direzione) e far verificare entrambe le norme nello stesso audit.
Chi certifica in Svizzera?
In Svizzera offrono certificazioni secondo la ISO/IEC 42001, tra gli altri, la SQS e l’organismo di certificazione di KPMG Svizzera. Verificate che l’accreditamento sia rilasciato dall’Ufficio svizzero di accreditamento (SAS) o da un organismo equivalente. Potete controllarlo nel registro della SAS. Evitate che lo stesso organismo vi fornisca consulenza e certificazione, per garantire l’indipendenza.
Domande frequenti
La ISO/IEC 42001 è obbligatoria?
No, la norma è volontaria. Conviene soprattutto ai fornitori di soluzioni IA, ai settori regolamentati e ai subfornitori i cui clienti richiedono una prova.
La ISO/IEC 42001 sostituisce la conformità all’AI Act dell’UE?
No. La norma copre molte esigenze organizzative, ma non è una norma armonizzata per l’AI Act. A ottobre 2026, nessuna norma di questo tipo è ancora stata pubblicata nella Gazzetta ufficiale dell’UE.
Fonti
Questa pagina offre una panoramica e non sostituisce una consulenza personalizzata. Leggi e scadenze cambiano; fanno fede i testi ufficiali collegati.