NIST AI RMF, ISO/IEC 42001 e EU AI Act: guida al confronto dei framework di AI Governance

In breve. Se vendi o usi AI nella UE, l'EU AI Act non è opzionale e viene per primo: è legge. NIST AI RMF è il metodo più rapido per organizzare il rischio senza certificazione, utile nei primi mesi. ISO/IEC 42001 serve quando ti chiedono una prova esterna (gare, clienti enterprise, audit) e richiede più tempo e budget. I tre si sovrappongono su inventario dei sistemi, valutazione del rischio, controlli e documentazione: costruisci quegli artefatti una volta sola e riusali. Sotto trovi il confronto per natura, ambito, effort e certificabilità, la matrice di scelta e i 7 artefatti comuni.

Adottare l'AI in azienda senza un framework di governance è come lanciare un prodotto senza QA: prima o poi paghi il conto in incidenti, sanzioni o perdita di fiducia. Nel 2025 tre riferimenti globali dominano il tema: NIST AI RMF (USA, volontario), ISO/IEC 42001 (internazionale, certificabile) ed EU AI Act (Europa, vincolante). Non sono alternative, sono livelli complementari. Questa guida spiega cosa fa ciascuno, dove si sovrappongono e come combinarli senza duplicare lavoro.

Le differenze in 3 righe

• EU AI Act: legge vincolante nella UE. Se vendi o usi AI in Europa, parte da qui.
• NIST AI RMF: metodo volontario, il più rapido da adottare. Nessuna certificazione.
• ISO/IEC 42001: unico dei tre certificabile. Serve quando ti chiedono una prova esterna.

I tre framework in una riga

Framework	Obbligatorio?	Natura	Effort tipico	Certificabile	Chi lo usa
NIST AI RMF 1.0	No	Linee guida volontarie	Basso (settimane)	No	Aziende che vogliono un metodo, non un certificato
ISO/IEC 42001:2023	No	Standard certificabile (AIMS)	Alto (6-12 mesi)	Sì, audit di terza parte	Aziende che devono dimostrare la governance a clienti e gare
EU AI Act (Reg. UE 2024/1689)	Sì, se operi in UE	Regolamento vincolante	Variabile per classe di rischio	No, ma con obblighi di conformità	Chiunque venda o usi AI in UE, a qualsiasi titolo

NIST AI Risk Management Framework

Pubblicato dal National Institute of Standards and Technology a gennaio 2023, il NIST AI RMF è un framework volontario costruito attorno a quattro funzioni: Govern, Map, Measure, Manage. È il più agile dei tre: nessuna certificazione, nessun obbligo, ma un vocabolario condiviso per parlare di rischio AI in modo strutturato.

• Govern: definire ruoli, policy, accountability sull'AI.
• Map: identificare contesto, stakeholder e rischi potenziali di ciascun sistema.
• Measure: misurare performance, bias, robustezza, spiegabilità.
• Manage: prioritizzare, mitigare, monitorare i rischi nel tempo.

È la scelta naturale come punto di partenza: nessuna barriera d'ingresso, si integra con qualsiasi metodologia interna, e crea la base concettuale su cui poi costruire ISO 42001 o la compliance all'AI Act.

ISO/IEC 42001

ISO/IEC 42001:2023 è il primo standard internazionale per un Artificial Intelligence Management System (AIMS). Segue la stessa logica di ISO 27001 (sicurezza delle informazioni) o ISO 9001 (qualità): definisce requisiti verificabili per un sistema di gestione, ed è certificabile da enti terzi accreditati.

Cosa richiede in pratica:

• Policy AI approvata dal top management.
• Analisi del contesto e degli stakeholder.
• Valutazione d'impatto dei sistemi AI (AIIA).
• Gestione del ciclo di vita: dati, sviluppo, deployment, monitoraggio, dismissione.
• Audit interni e riesame della direzione (ciclo PDCA).

È la scelta giusta quando serve dimostrare la governance a clienti, board o autorità, un certificato ISO 42001 è un asset commerciale, non solo di conformità.

EU AI Act

Il Regolamento UE 2024/1689 è la prima legge orizzontale al mondo sull'AI. È entrato in vigore il 1° agosto 2024 con applicazione graduale: divieti dal 2 febbraio 2025, obblighi sui modelli GPAI dal 2 agosto 2025, obblighi sui sistemi ad alto rischio dal 2 agosto 2026.

L'AI Act classifica i sistemi in quattro categorie di rischio:

1. Rischio inaccettabile, vietati (social scoring, manipolazione cognitiva, riconoscimento emotivo sul posto di lavoro, ecc.).
2. Alto rischio, soggetti a requisiti stringenti (risk management, data governance, documentazione tecnica, trasparenza, human oversight, accuratezza e cybersecurity). Include HR, credito, istruzione, giustizia, dispositivi medici, infrastrutture critiche.
3. Rischio limitato, obblighi di trasparenza (es. chatbot, deepfake).
4. Rischio minimo, nessun obbligo specifico.

Separati, i modelli GPAI (General-Purpose AI) hanno un regime dedicato, con obblighi rafforzati per quelli a "rischio sistemico".

Le sanzioni arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale annuo, il tetto più alto di qualsiasi regolamento digitale europeo, GDPR incluso.

Confronto side-by-side

Dimensione	NIST AI RMF	ISO/IEC 42001	EU AI Act
Obbligatorio?	No	No (ma certificabile)	Sì, se operi in UE
Certificabile?	No	Sì, da enti accreditati	Marcatura CE per alto rischio
Focus	Gestione del rischio	Sistema di gestione	Immissione sul mercato
Sanzioni	Nessuna	Nessuna (perdita del certificato)	Fino a 35M€ o 7% fatturato
Costo di adozione	Basso	Medio-alto	Variabile per categoria di rischio
Riconoscimento	USA e globale	Internazionale	UE (extraterritoriale)
Aggiornamenti	Rilasci NIST	Revisione ISO ~5 anni	Atti delegati Commissione

Obblighi dell'EU AI Act: cosa coprono davvero NIST e ISO

L'EU AI Act è l'unico livello obbligatorio, quindi la domanda pratica è quanta parte di quegli obblighi si soddisfa già adottando NIST AI RMF o ISO/IEC 42001.

Obbligo EU AI Act (alto rischio)	NIST AI RMF	ISO/IEC 42001	Cosa manca comunque
Sistema di gestione del rischio (art. 9)	Coperto (Map, Measure, Manage)	Coperto (clausola 6, valutazione del rischio AI)	Aggancio formale alle classi di rischio previste dalla legge
Dati e governance dei dati (art. 10)	Parzialmente coperto (Map)	Coperto (controlli Annex A sui dati)	Evidenze dei test sui bias e tracciabilità della provenienza dei dataset
Documentazione tecnica (art. 11, Allegato IV)	Non prescrittivo	Parzialmente coperto (informazioni documentate)	La struttura dell'Allegato IV, da produrre esplicitamente
Registrazione e log (art. 12)	Parzialmente coperto (Measure)	Coperto (controllo operativo)	Periodo di conservazione e tracciabilità dei log automatici
Trasparenza verso i deployer (art. 13)	Parzialmente coperto	Parzialmente coperto	Istruzioni per l'uso con i contenuti richiesti dalla norma
Sorveglianza umana (art. 14)	Coperto (Govern)	Coperto (ruoli e competenze)	Ruoli di sorveglianza nominati per sistema, con potere di fermarlo
Accuratezza, robustezza, cybersecurity (art. 15)	Coperto (Measure)	Parzialmente coperto	Metriche e soglie dichiarate per finalità d'uso
Sistema di gestione della qualità (art. 17)	Non coperto	Coperto (è il cuore dello standard)	Nulla, se l'AIMS è in piedi
Valutazione di conformità e marcatura CE (art. 43)	Non coperto	Non coperto	Procedura legale specifica, non sostituibile da alcun framework
Monitoraggio post-mercato (art. 72)	Parzialmente coperto (Manage)	Coperto (monitoraggio e miglioramento)	Segnalazione degli incidenti gravi alle autorità

La lettura è questa: NIST porta il metodo, ISO porta il sistema di gestione e la prova esterna, ma nessuno dei due produce valutazione di conformità, documentazione Allegato IV e segnalazione degli incidenti. Restano lavoro legale da fare a parte.

Dove si sovrappongono (e come sfruttarlo)

I tre framework non sono in competizione: condividono il 60-70% dei controlli. Chi implementa uno solido ha già fatto metà del lavoro sugli altri due.

Sovrapposizioni chiave:

• Risk assessment: NIST "Map/Measure", ISO clausola 6, AI Act art. 9.
• Data governance: NIST "Measure", ISO Allegato B, AI Act art. 10.
• Documentazione tecnica: ISO clausola 7, AI Act art. 11 e Allegato IV.
• Human oversight: NIST "Govern/Manage", ISO Allegato B, AI Act art. 14.
• Monitoraggio post-deployment: NIST "Manage", ISO clausola 9, AI Act art. 72.

Quale scegliere? Uno scenario per profilo

Startup o scale-up, prodotto AI B2B in UE. Parti da NIST per costruire il metodo, valuta ISO 42001 quando i clienti enterprise inizieranno a chiederlo, verifica l'esposizione all'AI Act (specie se HR, healthtech, fintech, edtech).

Grande azienda regolata (banca, assicurazione, sanità, PA). L'AI Act è il vincolo. ISO 42001 dà struttura auditabile e integra bene con ISO 27001 già in casa. NIST come vocabolario interno per il risk team.

Vendor di modelli o piattaforme AI. L'AI Act (regime GPAI) è obbligatorio. ISO 42001 è la leva commerciale verso i clienti enterprise. NIST come baseline per il red-teaming.

PMI che integra AI di terzi. Il rischio principale è la scelta dei fornitori. NIST come checklist di due diligence, contratti allineati agli obblighi dell'AI Act, ISO 42001 solo se e quando serve.

Come partire senza sprecare risorse

1. Inventario dei sistemi AI: cosa avete, chi lo usa, che dati elabora, che decisioni prende.
2. Classificazione rischio AI Act: quali sistemi sono vietati, ad alto rischio, a rischio limitato.
3. Gap analysis su NIST AI RMF: dove siete oggi rispetto a Govern/Map/Measure/Manage.
4. Roadmap ISO 42001 se la certificazione ha valore commerciale.
5. Governance operativa: policy, ruoli, comitato AI, KPI di monitoraggio.

È esattamente il percorso che seguiamo in ZeroFive con l'AI Rating e i servizi di AI Governance: partiamo dalla misurazione (dove siete oggi), definiamo priorità basate sul rischio reale, e costruiamo la governance su misura, non un copia-incolla di uno standard.

Matrice di decisione: da dove partire, per profilo aziendale

Profilo	Si parte da	Da aggiungere entro 12 mesi	Evento scatenante	Effort primi 90 giorni
Startup o scale-up con prodotto AI venduto nella UE	NIST AI RMF	Classificazione EU AI Act	Primo questionario di sicurezza enterprise	10-15 giorni persona
Banca, assicurazione, sanità, PA	Classificazione EU AI Act	ISO/IEC 42001 sopra ISO 27001	Sistema ad alto rischio identificato a inventario	30-45 giorni persona
Vendor di modelli o piattaforme (GPAI)	Obblighi GPAI dell'AI Act	ISO/IEC 42001	Modello immesso sul mercato UE	25-40 giorni persona
PMI che integra AI di terzi	NIST AI RMF come due diligence fornitori	Clausole contrattuali allineate all'art. 25 AI Act	Rinnovo fornitore o nuovo tool AI	5-8 giorni persona

L'errore più frequente è partire dalla certificazione. La certificazione è un output, non una strategia: senza inventario e classificazione del rischio, un progetto ISO 42001 viene quotato due o tre volte tanto, perché il perimetro non è definito.

Quanto costa davvero ciascun framework

Voce	NIST AI RMF	ISO/IEC 42001	EU AI Act (alto rischio)
Effort interno, primo ciclo	15-30 giorni persona	60-120 giorni persona	80-200 giorni persona per sistema
Costo esterno	Advisory opzionale	Audit e certificazione, più advisory	Conformity assessment, organismo notificato dove richiesto
Tempo alla prima evidenza utilizzabile	4-6 settimane	6-9 mesi	Legato alla scadenza del 2 agosto 2026
Costo ricorrente	Revisione interna	Audit di sorveglianza, ciclo triennale	Monitoraggio post-market, segnalazione incidenti

Gli intervalli valgono per un'organizzazione media con 5-15 sistemi AI in perimetro. La variabile che sposta di più il numero non è il framework: è quanti sistemi avete e quanto sono già documentati.

Fai una volta, usa tre volte: la mappa di riuso

Artefatto prodotto	NIST AI RMF	ISO/IEC 42001	EU AI Act	Riuso
Inventario dei sistemi AI	Map	Clausola 4, contesto	Art. 9, art. 11	Alto
Risk assessment per sistema	Map, Measure	Clausola 6	Art. 9	Alto
Documento di data governance	Measure	Annex B	Art. 10	Alto
Documentazione tecnica	Manage	Clausola 7	Art. 11, Allegato IV	Medio, l'AI Act è più stringente
Disegno della supervisione umana	Govern, Manage	Annex B	Art. 14	Alto
Logging e monitoraggio	Manage	Clausola 9	Art. 12, art. 72	Medio, cambiano le regole di conservazione
Procedura incidenti	Manage	Clausola 10	Art. 73	Medio, i 15 giorni di notifica sono specifici AI Act

Trattate questi sette artefatti come un unico corpo documentale con tre destinatari. Chi mantiene tre raccoglitori paralleli spende circa il doppio e non supera comunque gli audit, perché le versioni divergono.

Tre domande che un board dovrebbe fare prima di approvare il budget

1. Quanti sistemi AI usiamo davvero, compresi quelli dentro i SaaS acquistati? Se nessuno risponde in una settimana, il progetto è l'inventario, non il framework.
2. Quali di questi prendono o influenzano in modo rilevante decisioni sulle persone? Sono quelli che vi portano nell'area alto rischio dell'AI Act e nell'esposizione reputazionale.
3. Quali evidenze potremmo produrre domani se ce le chiedesse un cliente o un'autorità? La distanza tra quello che credete e quello che potete mostrare è il vero indice di maturità.

In sintesi

• NIST AI RMF è il vocabolario e il metodo.
• ISO/IEC 42001 è il sistema di gestione certificabile.
• EU AI Act è la legge che devi rispettare se operi in UE.

Non sono alternative: sono livelli. Chi li tratta come opzioni mutualmente esclusive rifà tre volte lo stesso lavoro. Chi li integra costruisce una governance AI difendibile davanti a board, clienti e autorità, e ci arriva in mesi, non anni.

Come lo affrontiamo con le aziende

Tradurre questi tre livelli in un sistema che regge davanti a board, clienti e autorità è esattamente il lavoro della nostra consulenza di AI Governance. Se il tema urgente è la scadenza normativa, il percorso specifico è la consulenza AI Act e conformità. Per capire da dove partire in concreto, l'AI Rating misura la maturità attuale e restituisce le priorità dei primi mesi. Il quadro completo dei servizi è su consulenza AI per aziende.

Per discutere il vostro caso: prima call di 30 minuti.