---
title: "NIST AI RMF, ISO/IEC 42001 e EU AI Act: guida al confronto dei framework di AI Governance"
url: https://zerofive.ai/blog/ai-governance/confronto-framework-ai-governance
canonical: https://zerofive.ai/blog/ai-governance/confronto-framework-ai-governance
language: it
published: 2026-07-15
updated: 2026-09-18
author: "ZeroFive.AI"
tags: AI Governance, EU AI Act, ISO 42001, NIST, Compliance AI
abstract: "Confronta NIST AI RMF, ISO 42001 e EU AI Act: obblighi, certificazione e priorità. Tabella, matrice decisionale e 7 artefatti comuni per la governance AI."
---

# NIST AI RMF, ISO/IEC 42001 e EU AI Act: guida al confronto dei framework di AI Governance

**In breve.** Se vendi o usi AI nella UE, l'EU AI Act non è opzionale e viene per primo: è legge. NIST AI RMF è il metodo più rapido per organizzare il rischio senza certificazione, utile nei primi mesi. ISO/IEC 42001 serve quando ti chiedono una prova esterna (gare, clienti enterprise, audit) e richiede più tempo e budget. I tre si sovrappongono su inventario dei sistemi, valutazione del rischio, controlli e documentazione: costruisci quegli artefatti una volta sola e riusali. Sotto trovi il confronto per natura, ambito, effort e certificabilità, la matrice di scelta e i 7 artefatti comuni.

Adottare l'AI in azienda senza un framework di governance è come lanciare un prodotto senza QA: prima o poi paghi il conto in incidenti, sanzioni o perdita di fiducia. Nel 2025 tre riferimenti globali dominano il tema: **NIST AI RMF** (USA, volontario), **ISO/IEC 42001** (internazionale, certificabile) ed **EU AI Act** (Europa, vincolante). Non sono alternative, sono livelli complementari. Questa guida spiega cosa fa ciascuno, dove si sovrappongono e come combinarli senza duplicare lavoro.

## Le differenze in 3 righe

- **EU AI Act**: legge vincolante nella UE. Se vendi o usi AI in Europa, parte da qui.
- **NIST AI RMF**: metodo volontario, il più rapido da adottare. Nessuna certificazione.
- **ISO/IEC 42001**: unico dei tre certificabile. Serve quando ti chiedono una prova esterna.

## I tre framework in una riga

| Framework | Obbligatorio? | Natura | Effort tipico | Certificabile | Chi lo usa |
|---|---|---|---|---|---|
| **NIST AI RMF 1.0** | No | Linee guida volontarie | Basso (settimane) | No | Aziende che vogliono un metodo, non un certificato |
| **ISO/IEC 42001:2023** | No | Standard certificabile (AIMS) | Alto (6-12 mesi) | Sì, audit di terza parte | Aziende che devono dimostrare la governance a clienti e gare |
| **EU AI Act (Reg. UE 2024/1689)** | Sì, se operi in UE | Regolamento vincolante | Variabile per classe di rischio | No, ma con obblighi di conformità | Chiunque venda o usi AI in UE, a qualsiasi titolo |

## NIST AI Risk Management Framework

Pubblicato dal National Institute of Standards and Technology a gennaio 2023, il **NIST AI RMF** è un framework volontario costruito attorno a quattro funzioni: **Govern, Map, Measure, Manage**. È il più agile dei tre: nessuna certificazione, nessun obbligo, ma un vocabolario condiviso per parlare di rischio AI in modo strutturato.

- **Govern**: definire ruoli, policy, accountability sull'AI.
- **Map**: identificare contesto, stakeholder e rischi potenziali di ciascun sistema.
- **Measure**: misurare performance, bias, robustezza, spiegabilità.
- **Manage**: prioritizzare, mitigare, monitorare i rischi nel tempo.

È la scelta naturale come **punto di partenza**: nessuna barriera d'ingresso, si integra con qualsiasi metodologia interna, e crea la base concettuale su cui poi costruire ISO 42001 o la compliance all'AI Act.

## ISO/IEC 42001

**ISO/IEC 42001:2023** è il primo standard internazionale per un **Artificial Intelligence Management System (AIMS)**. Segue la stessa logica di ISO 27001 (sicurezza delle informazioni) o ISO 9001 (qualità): definisce requisiti verificabili per un sistema di gestione, ed è **certificabile** da enti terzi accreditati.

Cosa richiede in pratica:

- Policy AI approvata dal top management.
- Analisi del contesto e degli stakeholder.
- Valutazione d'impatto dei sistemi AI (AIIA).
- Gestione del ciclo di vita: dati, sviluppo, deployment, monitoraggio, dismissione.
- Audit interni e riesame della direzione (ciclo PDCA).

È la scelta giusta quando serve **dimostrare** la governance a clienti, board o autorità, un certificato ISO 42001 è un asset commerciale, non solo di conformità.

## EU AI Act

Il **Regolamento UE 2024/1689** è la prima legge orizzontale al mondo sull'AI. È entrato in vigore il 1° agosto 2024 con applicazione graduale: divieti dal 2 febbraio 2025, obblighi sui modelli GPAI dal 2 agosto 2025, obblighi sui sistemi ad alto rischio dal 2 agosto 2026.

L'AI Act classifica i sistemi in quattro categorie di rischio:

1. **Rischio inaccettabile**, vietati (social scoring, manipolazione cognitiva, riconoscimento emotivo sul posto di lavoro, ecc.).
2. **Alto rischio**, soggetti a requisiti stringenti (risk management, data governance, documentazione tecnica, trasparenza, human oversight, accuratezza e cybersecurity). Include HR, credito, istruzione, giustizia, dispositivi medici, infrastrutture critiche.
3. **Rischio limitato**, obblighi di trasparenza (es. chatbot, deepfake).
4. **Rischio minimo**, nessun obbligo specifico.

Separati, i **modelli GPAI** (General-Purpose AI) hanno un regime dedicato, con obblighi rafforzati per quelli a "rischio sistemico".

Le sanzioni arrivano fino a **35 milioni di euro o al 7% del fatturato mondiale annuo**, il tetto più alto di qualsiasi regolamento digitale europeo, GDPR incluso.

## Confronto side-by-side

| Dimensione | NIST AI RMF | ISO/IEC 42001 | EU AI Act |
|---|---|---|---|
| **Obbligatorio?** | No | No (ma certificabile) | Sì, se operi in UE |
| **Certificabile?** | No | Sì, da enti accreditati | Marcatura CE per alto rischio |
| **Focus** | Gestione del rischio | Sistema di gestione | Immissione sul mercato |
| **Sanzioni** | Nessuna | Nessuna (perdita del certificato) | Fino a 35M€ o 7% fatturato |
| **Costo di adozione** | Basso | Medio-alto | Variabile per categoria di rischio |
| **Riconoscimento** | USA e globale | Internazionale | UE (extraterritoriale) |
| **Aggiornamenti** | Rilasci NIST | Revisione ISO ~5 anni | Atti delegati Commissione |

## Obblighi dell'EU AI Act: cosa coprono davvero NIST e ISO

L'EU AI Act è l'unico livello obbligatorio, quindi la domanda pratica è quanta parte di quegli obblighi si soddisfa già adottando NIST AI RMF o ISO/IEC 42001.

| Obbligo EU AI Act (alto rischio) | NIST AI RMF | ISO/IEC 42001 | Cosa manca comunque |
|---|---|---|---|
| Sistema di gestione del rischio (art. 9) | Coperto (Map, Measure, Manage) | Coperto (clausola 6, valutazione del rischio AI) | Aggancio formale alle classi di rischio previste dalla legge |
| Dati e governance dei dati (art. 10) | Parzialmente coperto (Map) | Coperto (controlli Annex A sui dati) | Evidenze dei test sui bias e tracciabilità della provenienza dei dataset |
| Documentazione tecnica (art. 11, Allegato IV) | Non prescrittivo | Parzialmente coperto (informazioni documentate) | La struttura dell'Allegato IV, da produrre esplicitamente |
| Registrazione e log (art. 12) | Parzialmente coperto (Measure) | Coperto (controllo operativo) | Periodo di conservazione e tracciabilità dei log automatici |
| Trasparenza verso i deployer (art. 13) | Parzialmente coperto | Parzialmente coperto | Istruzioni per l'uso con i contenuti richiesti dalla norma |
| Sorveglianza umana (art. 14) | Coperto (Govern) | Coperto (ruoli e competenze) | Ruoli di sorveglianza nominati per sistema, con potere di fermarlo |
| Accuratezza, robustezza, cybersecurity (art. 15) | Coperto (Measure) | Parzialmente coperto | Metriche e soglie dichiarate per finalità d'uso |
| Sistema di gestione della qualità (art. 17) | Non coperto | Coperto (è il cuore dello standard) | Nulla, se l'AIMS è in piedi |
| Valutazione di conformità e marcatura CE (art. 43) | Non coperto | Non coperto | Procedura legale specifica, non sostituibile da alcun framework |
| Monitoraggio post-mercato (art. 72) | Parzialmente coperto (Manage) | Coperto (monitoraggio e miglioramento) | Segnalazione degli incidenti gravi alle autorità |

La lettura è questa: NIST porta il metodo, ISO porta il sistema di gestione e la prova esterna, ma nessuno dei due produce valutazione di conformità, documentazione Allegato IV e segnalazione degli incidenti. Restano lavoro legale da fare a parte.

## Dove si sovrappongono (e come sfruttarlo)

I tre framework non sono in competizione: **condividono il 60-70% dei controlli**. Chi implementa uno solido ha già fatto metà del lavoro sugli altri due.

Sovrapposizioni chiave:

- **Risk assessment**: NIST "Map/Measure", ISO clausola 6, AI Act art. 9.
- **Data governance**: NIST "Measure", ISO Allegato B, AI Act art. 10.
- **Documentazione tecnica**: ISO clausola 7, AI Act art. 11 e Allegato IV.
- **Human oversight**: NIST "Govern/Manage", ISO Allegato B, AI Act art. 14.
- **Monitoraggio post-deployment**: NIST "Manage", ISO clausola 9, AI Act art. 72.

## Quale scegliere? Uno scenario per profilo

**Startup o scale-up, prodotto AI B2B in UE.** Parti da NIST per costruire il metodo, valuta ISO 42001 quando i clienti enterprise inizieranno a chiederlo, verifica l'esposizione all'AI Act (specie se HR, healthtech, fintech, edtech).

**Grande azienda regolata (banca, assicurazione, sanità, PA).** L'AI Act è il vincolo. ISO 42001 dà struttura auditabile e integra bene con ISO 27001 già in casa. NIST come vocabolario interno per il risk team.

**Vendor di modelli o piattaforme AI.** L'AI Act (regime GPAI) è obbligatorio. ISO 42001 è la leva commerciale verso i clienti enterprise. NIST come baseline per il red-teaming.

**PMI che integra AI di terzi.** Il rischio principale è la scelta dei fornitori. NIST come checklist di due diligence, contratti allineati agli obblighi dell'AI Act, ISO 42001 solo se e quando serve.

## Come partire senza sprecare risorse

1. **Inventario dei sistemi AI**: cosa avete, chi lo usa, che dati elabora, che decisioni prende.
2. **Classificazione rischio AI Act**: quali sistemi sono vietati, ad alto rischio, a rischio limitato.
3. **Gap analysis su NIST AI RMF**: dove siete oggi rispetto a Govern/Map/Measure/Manage.
4. **Roadmap ISO 42001** se la certificazione ha valore commerciale.
5. **Governance operativa**: policy, ruoli, comitato AI, KPI di monitoraggio.

È esattamente il percorso che seguiamo in ZeroFive con l'**AI Rating** e i servizi di **AI Governance**: partiamo dalla misurazione (dove siete oggi), definiamo priorità basate sul rischio reale, e costruiamo la governance su misura, non un copia-incolla di uno standard.

## Matrice di decisione: da dove partire, per profilo aziendale

| Profilo | Si parte da | Da aggiungere entro 12 mesi | Evento scatenante | Effort primi 90 giorni |
|---|---|---|---|---|
| Startup o scale-up con prodotto AI venduto nella UE | NIST AI RMF | Classificazione EU AI Act | Primo questionario di sicurezza enterprise | 10-15 giorni persona |
| Banca, assicurazione, sanità, PA | Classificazione EU AI Act | ISO/IEC 42001 sopra ISO 27001 | Sistema ad alto rischio identificato a inventario | 30-45 giorni persona |
| Vendor di modelli o piattaforme (GPAI) | Obblighi GPAI dell'AI Act | ISO/IEC 42001 | Modello immesso sul mercato UE | 25-40 giorni persona |
| PMI che integra AI di terzi | NIST AI RMF come due diligence fornitori | Clausole contrattuali allineate all'art. 25 AI Act | Rinnovo fornitore o nuovo tool AI | 5-8 giorni persona |

L'errore più frequente è partire dalla certificazione. La certificazione è un output, non una strategia: senza inventario e classificazione del rischio, un progetto ISO 42001 viene quotato due o tre volte tanto, perché il perimetro non è definito.

## Quanto costa davvero ciascun framework

| Voce | NIST AI RMF | ISO/IEC 42001 | EU AI Act (alto rischio) |
|---|---|---|---|
| Effort interno, primo ciclo | 15-30 giorni persona | 60-120 giorni persona | 80-200 giorni persona per sistema |
| Costo esterno | Advisory opzionale | Audit e certificazione, più advisory | Conformity assessment, organismo notificato dove richiesto |
| Tempo alla prima evidenza utilizzabile | 4-6 settimane | 6-9 mesi | Legato alla scadenza del 2 agosto 2026 |
| Costo ricorrente | Revisione interna | Audit di sorveglianza, ciclo triennale | Monitoraggio post-market, segnalazione incidenti |

Gli intervalli valgono per un'organizzazione media con 5-15 sistemi AI in perimetro. La variabile che sposta di più il numero non è il framework: è quanti sistemi avete e quanto sono già documentati.

## Fai una volta, usa tre volte: la mappa di riuso

| Artefatto prodotto | NIST AI RMF | ISO/IEC 42001 | EU AI Act | Riuso |
|---|---|---|---|---|
| Inventario dei sistemi AI | Map | Clausola 4, contesto | Art. 9, art. 11 | Alto |
| Risk assessment per sistema | Map, Measure | Clausola 6 | Art. 9 | Alto |
| Documento di data governance | Measure | Annex B | Art. 10 | Alto |
| Documentazione tecnica | Manage | Clausola 7 | Art. 11, Allegato IV | Medio, l'AI Act è più stringente |
| Disegno della supervisione umana | Govern, Manage | Annex B | Art. 14 | Alto |
| Logging e monitoraggio | Manage | Clausola 9 | Art. 12, art. 72 | Medio, cambiano le regole di conservazione |
| Procedura incidenti | Manage | Clausola 10 | Art. 73 | Medio, i 15 giorni di notifica sono specifici AI Act |

Trattate questi sette artefatti come un unico corpo documentale con tre destinatari. Chi mantiene tre raccoglitori paralleli spende circa il doppio e non supera comunque gli audit, perché le versioni divergono.

## Tre domande che un board dovrebbe fare prima di approvare il budget

1. **Quanti sistemi AI usiamo davvero, compresi quelli dentro i SaaS acquistati?** Se nessuno risponde in una settimana, il progetto è l'inventario, non il framework.
2. **Quali di questi prendono o influenzano in modo rilevante decisioni sulle persone?** Sono quelli che vi portano nell'area alto rischio dell'AI Act e nell'esposizione reputazionale.
3. **Quali evidenze potremmo produrre domani se ce le chiedesse un cliente o un'autorità?** La distanza tra quello che credete e quello che potete mostrare è il vero indice di maturità.

## In sintesi

- **NIST AI RMF** è il vocabolario e il metodo.
- **ISO/IEC 42001** è il sistema di gestione certificabile.
- **EU AI Act** è la legge che devi rispettare se operi in UE.

Non sono alternative: sono livelli. Chi li tratta come opzioni mutualmente esclusive rifà tre volte lo stesso lavoro. Chi li integra costruisce una governance AI difendibile davanti a board, clienti e autorità, e ci arriva in mesi, non anni.

## Come lo affrontiamo con le aziende

Tradurre questi tre livelli in un sistema che regge davanti a board, clienti e autorità è esattamente il lavoro della nostra [consulenza di AI Governance](/ai-governance). Se il tema urgente è la scadenza normativa, il percorso specifico è la [consulenza AI Act e conformità](/compliance-ai). Per capire da dove partire in concreto, l'[AI Rating](/servizi/ai-rating) misura la maturità attuale e restituisce le priorità dei primi mesi. Il quadro completo dei servizi è su [consulenza AI per aziende](/servizi).

Per discutere il vostro caso: [prima call di 30 minuti](https://calendly.com/fabiolalli/zerofive).