- 800 629661
- info@dimitto.com
La ISO/IEC 42001:2023, recepita in Italia come UNI CEI ISO/IEC 42001:2024, è il primo standard internazionale che definisce i requisiti per un sistema di gestione dell’intelligenza artificiale (AIMS, Artificial Intelligence Management System). Si applica a chi sviluppa, fornisce o utilizza sistemi di IA.
Dimitto è un organismo di certificazione accreditato Accredia per l’Italia e SAS per la Svizzera. La certificazione verifica il sistema con cui la tua organizzazione governa lo sviluppo, la fornitura o l’utilizzo dell’intelligenza artificiale, dalle responsabilità agli impatti prodotti nei processi.
Un’organizzazione può sviluppare internamente alcuni sistemi di intelligenza artificiale, acquistarne altri da fornitori e utilizzare strumenti introdotti autonomamente dalle singole funzioni.
Quando questi utilizzi crescono senza una visione unitaria, diventa difficile sapere quali sistemi sono attivi, per quali scopi vengono impiegati, quali dati elaborano e chi è responsabile delle decisioni e degli effetti prodotti.
La governance serve a rendere leggibili questi elementi e a mantenerli sotto controllo mentre tecnologie, applicazioni e rischi continuano a cambiare.
La ISO/IEC 42001 offre una struttura per farlo. La certificazione verifica il sistema con cui l’organizzazione attribuisce responsabilità, valuta rischi e impatti e monitora l’utilizzo dell’intelligenza artificiale nel tempo.
La certificazione riguarda il sistema con cui l’organizzazione definisce politiche, responsabilità e processi per governare l’IA in coerenza con il proprio contesto e i propri utilizzi.
Dimitto interviene quando questo sistema è già stato costruito e ne verifica la conformità attraverso evidenze, interviste e osservazione diretta dei processi. Durante l’audit osserviamo:
La verifica non si esaurisce nella presenza di politiche e procedure. Ricostruisce il legame tra ciò che il sistema prevede e le decisioni assunte nei processi: chi autorizza un utilizzo, quali valutazioni vengono svolte, cosa accade quando un sistema produce un effetto inatteso.
Il certificato non attesta la perfezione di ogni algoritmo, né l’assenza di errori o bias. Attesta che il sistema con cui l’organizzazione li governa è stato verificato da un organismo indipendente.
La ISO/IEC 42001 non riguarda soltanto le aziende che progettano tecnologie di intelligenza artificiale. Può essere applicata da organizzazioni che sviluppano sistemi di IA, forniscono prodotti o servizi basati sull’IA, utilizzano sistemi di IA nei propri processi o integrano soluzioni sviluppate da soggetti esterni, anche assumendo più ruoli contemporaneamente.
Un’organizzazione può, per esempio, utilizzare un sistema acquistato per selezionare candidature, sviluppare internamente un’applicazione destinata ai clienti e integrare strumenti di IA generativa nei processi amministrativi.
Ogni ruolo porta con sé responsabilità, interlocutori e impatti differenti. Per questo il campo di applicazione non è un confine soltanto formale: stabilisce quali attività, sistemi, funzioni e relazioni saranno comprese nella certificazione. Definirlo correttamente è il primo passo per costruire un audit coerente con la realtà dell’organizzazione.
L’AI Act e la ISO/IEC 42001 intervengono sul governo dell’intelligenza artificiale, ma hanno natura e funzioni differenti.
L’AI Act è un Regolamento europeo. Introduce obblighi giuridici che dipendono dal ruolo assunto dall’organizzazione, dalle caratteristiche del sistema e dal livello di rischio previsto.
La ISO/IEC 42001 è uno standard volontario e certificabile. Fornisce una struttura organizzativa per definire politiche, responsabilità, valutazioni, controlli e processi di miglioramento legati all’IA, elementi che possono supportare l’organizzazione nell’affrontare diversi obblighi applicabili: gestione dei rischi, qualità dei dati, trasparenza, documentazione, supervisione umana e monitoraggio.
La ISO/IEC 42001, tuttavia, non è attualmente uno standard armonizzato rispetto all’AI Act. La certificazione non conferisce presunzione di conformità e non sostituisce la valutazione degli obblighi giuridici applicabili all’organizzazione e ai singoli sistemi.
Permette di dimostrare qualcosa di diverso e concreto: l’esistenza di un sistema verificato per governare l’intelligenza artificiale con continuità.
Politiche isolate, valutazioni non collegate tra loro o strumenti di IA introdotti senza un disegno complessivo indicano che l’organizzazione ha iniziato ad affrontare il tema, ma un sistema di gestione richiede qualcosa in più: una struttura applicata e monitorata nel tempo.
Per arrivare alla certificazione, devono essere già in atto:
La certificazione può iniziare quando queste scelte hanno già prodotto responsabilità, controlli ed evidenze osservabili.
Il percorso segue fasi definite, ma la loro durata e complessità dipendono dal campo di applicazione, dai ruoli assunti e dalla maturità del sistema.
Dimitto è un organismo di certificazione attivo da oltre vent’anni, con sedi in Italia, Svizzera e Serbia: oltre 2.000 organizzazioni clienti e oltre 3.000 certificati emessi su standard di sistemi di gestione, prodotto e processo.
Definiamo il gruppo di audit in funzione del campo di applicazione, dei ruoli assunti dall’organizzazione e della complessità degli utilizzi compresi: sviluppare un sistema di IA, integrarlo in un servizio o utilizzarlo nei processi interni richiede competenze e punti di osservazione differenti.
Nell’AIMS, questa esperienza multi-standard serve a ricostruire la coerenza tra decisioni, responsabilità ed evidenze attraverso le funzioni coinvolte, anche quando il sistema si integra con altri standard già applicati dall’organizzazione, come ISO 9001 o ISO/IEC 27001.
Dimitto è un organismo di certificazione accreditato Accredia per l’Italia e SAS per la Svizzera su diversi standard di sistemi di gestione. Per la ISO/IEC 42001, l’estensione dell’accreditamento è in corso di rilascio, in linea con il percorso aperto da Accredia per questo standard.
La norma è applicabile a organizzazioni pubbliche e private di qualsiasi dimensione che sviluppano, forniscono o utilizzano prodotti e servizi basati su sistemi di intelligenza artificiale, anche quando i sistemi sono stati sviluppati o forniti da soggetti esterni. In quel caso, l’organizzazione deve comunque governare responsabilità e processi collegati al proprio utilizzo: scelta dei fornitori, valutazione degli impatti, monitoraggio e supervisione.
No, è volontaria. Può però diventare un requisito richiesto da clienti, partner, gare o sistemi di qualifica, oltre a offrire una struttura utile per affrontare responsabilità e obblighi collegati all’utilizzo dell’IA.
Non automaticamente. La ISO/IEC 42001 non è attualmente uno standard armonizzato rispetto all’AI Act: può supportare la gestione di diversi presìdi organizzativi, ma non sostituisce la verifica degli obblighi giuridici applicabili.
La ISO/IEC 27001 riguarda il sistema di gestione della sicurezza delle informazioni. La ISO/IEC 42001 riguarda il sistema con cui l’organizzazione governa lo sviluppo, la fornitura o l’utilizzo dell’IA, con responsabilità, rischi e impatti specifici. Le due norme possono essere certificate separatamente e, se già presenti, integrate. Non è necessario avere prima la ISO/IEC 27001.
Dipende dalla maturità del sistema, dal campo di applicazione e dalla complessità degli utilizzi. Dopo la raccolta delle informazioni, Dimitto definisce la durata delle attività e il programma di audit.
Il costo dipende dalle dimensioni e dalla struttura dell’organizzazione, dalle sedi coinvolte, dal campo di applicazione e dalla complessità delle attività legate all’IA: cresce con il numero di sedi, di sistemi in ambito e di ruoli assunti contemporaneamente (sviluppo, fornitura, utilizzo). La raccolta iniziale delle informazioni permette di formulare un’offerta proporzionata.
Il certificato segue un ciclo triennale, con audit periodici di sorveglianza e successivo audit di rinnovo.
L’edizione internazionale è la ISO/IEC 42001:2023. In Italia è stata recepita come UNI CEI ISO/IEC 42001:2024.