ISO/IEC 42001: un ponte volontario verso la conformità AI Act

Quando una PMI ci chiede «dobbiamo certificarci ISO 42001?», la domanda giusta è un'altra. Non «devo?» — perché nessuna legge lo impone — ma «mi conviene come infrastruttura di governance?». La ISO/IEC 42001:2023 è uno standard volontario: adottarla è una scelta dell'organizzazione, non un obbligo di legge. Eppure, per un'impresa che deve fare i conti con l'AI Act, può essere lo strumento più efficiente per arrivare pronta. Con una condizione, che chiariamo subito: fare 42001 non equivale a essere conformi all'AI Act. È un ponte, non una scorciatoia.

Che cosa è, davvero, la ISO 42001

La ISO/IEC 42001:2023 è il primo standard internazionale al mondo dedicato a un Sistema di gestione per l'intelligenza artificiale (AI Management System, AIMS). L'hanno pubblicata congiuntamente ISO e IEC, attraverso il comitato tecnico JTC 1/SC 42, nel corso del 2023.

La parola chiave è gestione. Lo standard non entra nel merito tecnico del singolo algoritmo: specifica i requisiti per stabilire, attuare, mantenere e migliorare con continuità la governance organizzativa dell'IA — policy, ruoli, valutazione dei rischi e degli impatti, controlli operativi, sorveglianza umana, miglioramento. Adotta la Harmonized Structure (Annex SL), la stessa ossatura di alto livello di standard come ISO/IEC 27001 (sicurezza delle informazioni) e ISO 9001 (qualità), impostata sul ciclo PDCA — Plan, Do, Check, Act.

Questo dettaglio, apparentemente tecnico, è in realtà il primo argomento pratico: chi ha già un sistema di gestione ISO riusa struttura, audit e cultura documentale, riducendo drasticamente il costo marginale di adozione dell'AIMS.

Perché è un «ponte» verso l'AI Act

L'AI Act richiede a fornitori e deployer una serie di presìdi organizzativi: gestione del rischio, documentazione, sorveglianza umana, ruoli e responsabilità chiari, un registro dei sistemi di IA. Ecco il punto: la ISO 42001 costruisce esattamente quell'ossatura. Un'organizzazione che implementa un AIMS conforme si dota della governance interna che il Regolamento europeo pretende comunque, e la struttura in modo ordinato e verificabile.

Da qui il ruolo di framework di readiness: la 42001 non conferisce di per sé conformità all'AI Act — nessuno standard tecnico può sostituire un obbligo di legge — ma agevola la dimostrazione di conformità, perché produce le evidenze (policy, valutazioni, log, audit) che un'autorità o un cliente potrebbero richiedere. È la differenza tra «sostenere di essere in regola» e «poterlo mostrare».

Certificazione: opzionale, e con un avvertimento

Qui va fatta una distinzione che protegge l'imprenditore. La ISO 42001 è certificabile da terza parte, ma la certificazione è opzionale: si può adottare lo standard come framework interno senza certificarsi. La certificazione ha valore quando serve un asset reputazionale e commerciale — segnalare a clienti e partner una governance dell'IA strutturata.

L'avvertimento riguarda chi rilascia il certificato. La certificazione ISO/IEC 42001 può essere emessa esclusivamente da un organismo di certificazione accreditato, non da un consulente. Diffidate di chi promette «la certificazione ISO 42001» come servizio di consulenza: sta confondendo — nella migliore delle ipotesi — due ruoli che devono restare separati.

Una nota di trasparenza: il testo integrale della ISO/IEC 42001 è protetto da diritto d'autore ed è disponibile solo a pagamento. Alcuni dati di dettaglio dello standard (numero di pagine, adozione nazionale UNI/CEI, schemi di accreditamento specifici) non sono verificabili gratuitamente per fonte primaria: su questi manteniamo un flag di verifica e non li riproduciamo come dato assestato. Il nucleo — edizione 2023, primo standard AIMS, struttura Annex SL, natura volontaria e certificabile — è invece confermato dal catalogo ufficiale ISO.

La lettura NomotecnIA per una PMI

Il nostro percorso operativo, per chi valuta la 42001, è graduale:

1. Definire il perimetro (scope): quali sistemi e processi di IA rientrano nell'AIMS.
2. Policy e ruoli: adottare una politica sull'IA e assegnare responsabilità chiare.
3. Valutazione del rischio e dell'impatto: mappare rischi e impatti, con misure di mitigazione documentate.
4. Controlli e sorveglianza umana: presidiare i sistemi con controlli, log e supervisione.
5. Ciclo PDCA: audit interni, riesame della direzione, miglioramento continuo documentato.
6. (Opzionale) Certificazione: se serve l'attestazione, rivolgersi a un organismo accreditato.

NomotecnIA può accompagnare la readiness verso la ISO/IEC 42001 — gap analysis, impianto documentale, preparazione all'audit. Ma non siamo un organismo di certificazione e non rilasciamo la certificazione: quella è emessa solo da un ente accreditato indipendente. Il nostro mestiere è portarvi al ponte in ordine, e attraversarlo con voi.