--- title: "La clausola 7 di ISO/IEC 42001 spiegata senza gergo: competenze e consapevolezza" url: https://zerofive.ai/blog/compliance/clausola-7-iso-42001-competenze canonical: https://zerofive.ai/blog/compliance/clausola-7-iso-42001-competenze language: it published: 2026-09-15 updated: 2026-09-18 author: "ZeroFive.AI" tags: ISO IEC 42001, clausola 7, competenze AI, formazione AI, AIMS abstract: "Clausola 7 ISO/IEC 42001 per intero: 7.1 risorse, 7.2 competenza, 7.3 consapevolezza, 7.4 comunicazione, 7.5 informazioni documentate. Evidenze e campionamento in audit." --- # La clausola 7 di ISO/IEC 42001 spiegata senza gergo: competenze e consapevolezza "La formazione AI l'abbiamo già fatta" è una frase che nella maggior parte dei casi significa un corso online di due ore, identico per tutti dal magazzino al risk management, senza traccia verificabile di chi lo abbia completato e senza alcun controllo su cosa sia rimasto utile al singolo ruolo. In sede di audit quella frase non regge, e il motivo non è la durata del corso. ## La clausola 7 ha cinque parti, non due Quasi tutti la conoscono come "la clausola della formazione". Nella struttura armonizzata che ISO/IEC 42001 condivide con ISO 27001 e ISO 9001, la clausola 7 si chiama Supporto e contiene cinque sotto-clausole: risorse (7.1), competenza (7.2), consapevolezza (7.3), comunicazione (7.4) e informazioni documentate (7.5). Chi prepara la certificazione lavorando solo su 7.2 e 7.3 copre due quinti del requisito e scopre le altre tre durante l'audit, quando non c'è più tempo per costruirle. Le tre ignorate sono anche quelle su cui è più facile produrre evidenza, perché in buona parte esistono già in altri sistemi di gestione dell'organizzazione. ## Le risorse prima delle persone La 7.1 chiede di determinare e fornire le risorse necessarie a stabilire, attuare, mantenere e migliorare il sistema di gestione. Il verbo che conta è determinare: l'organizzazione deve poter mostrare come è arrivata a stabilire che quelle risorse fossero quelle giuste, non solo che qualcosa è stato allocato. Nel contesto AI le risorse non sono soltanto persone. L'area A.4 dell'Annex A tratta specificamente le risorse per i sistemi AI e distingue dati, strumenti, risorse computazionali e risorse umane, chiedendo che siano identificate e documentate. Un sistema di gestione dichiarato senza che nessuno abbia tempo allocato per mantenerlo, o senza accesso ai dati necessari a valutare quello che si vuole valutare, è una dichiarazione di intenti. La domanda che un auditor pone qui è diretta: quante ore a settimana sono assegnate a chi tiene aggiornato il registro dei sistemi e conduce le valutazioni, e da quale decisione risultano. ## Cosa significa determinare una competenza La 7.2 si articola in quattro passaggi, e il terzo è quello che smonta l'equivalenza tra corso e competenza. L'organizzazione deve determinare la competenza necessaria per le persone il cui lavoro incide sulle prestazioni del sistema, assicurare che siano competenti, dove applicabile intraprendere azioni per acquisire la competenza mancante e valutare l'efficacia di quelle azioni, e conservare evidenza documentata. Valutare l'efficacia è un obbligo distinto dall'erogazione. Un registro di partecipazione dimostra che una persona era collegata, non che l'azione formativa ha prodotto l'effetto voluto. Serve qualcosa che misuri l'esito: un caso pratico svolto, un lavoro reale rivisto da qualcuno più esperto, una verifica sul campo a distanza di settimane. C'è un secondo elemento che quasi tutti trascurano. La norma riconosce la competenza acquisita tramite istruzione, formazione o esperienza. La congiunzione è alternativa, il che significa che l'esperienza pregressa vale come evidenza, purché sia documentata invece che presunta. ## Dimostrare competenza senza passare da un corso Per diversi ruoli la formazione formale è il percorso meno efficiente, e la norma non la impone. Le forme di evidenza che reggono in audit sono altre. L'esperienza documentata, quando alla persona è associata una descrizione di cosa ha effettivamente fatto e non solo un profilo professionale. Il campione di lavoro, cioè una valutazione del rischio o un impact assessment realmente condotti da quella persona, datati e firmati, che valgono più di qualsiasi attestato. La revisione tra pari, con un esito registrato. L'affiancamento strutturato, con una data di inizio, una di fine e una valutazione finale di chi affiancava. Le certificazioni esterne rientrano tra le opzioni, non le esauriscono, e da sole non dimostrano che la persona sappia applicare quelle nozioni ai sistemi specifici dell'organizzazione. ## Il perimetro della consapevolezza Secondo la 7.3, le persone che lavorano sotto il controllo dell'organizzazione devono conoscere la politica AI, capire in che modo contribuiscono all'efficacia del sistema di gestione e sapere cosa comporta non rispettarne i requisiti. L'espressione "sotto il controllo dell'organizzazione" è più larga di "dipendenti". Comprende somministrati, consulenti che operano dentro i vostri processi, contractor, e in molti casi il personale di fornitori che eseguono attività per vostro conto. L'agenzia esterna che gestisce il vostro servizio clienti usando uno strumento assistito rientra nel perimetro, e l'unico modo per governarla è il contratto, perché sulle persone di quell'agenzia non avete un piano formativo. Il contenuto della consapevolezza, per la maggior parte dei ruoli, si riduce a tre cose: cosa fa il sistema che usano, dove finisce la responsabilità del sistema e comincia la loro, e a chi segnalare un comportamento anomalo. Nessuno di loro deve saper costruire un modello. ## La comunicazione che quasi nessuno pianifica Determinare cosa comunicare a proposito del sistema di gestione, quando, a chi, come e chi se ne occupa: questo prevede la 7.4. È una sotto-clausola breve, ignorata quasi sempre, e con conseguenze concrete quando serve. Le domande a cui risponde sono operative. Chi risponde a un cliente che chiede se la decisione che lo riguarda è stata presa o suggerita da un sistema automatico, e con quale formulazione. Chi comunica all'interno che un sistema è stato sospeso, e in quanto tempo. Chi parla con un'autorità se arriva una richiesta. Questo si incrocia direttamente con gli obblighi di trasparenza dell'articolo 50 dell'AI Act, in vigore da agosto, che in diversi casi impongono di informare le persone che stanno interagendo con un sistema AI. Senza un piano, la risposta la improvvisa chi riceve la domanda per primo, che di solito è la persona meno attrezzata per darla. ## Mantenere e conservare sono verbi diversi La 7.5 distingue due obblighi che vengono regolarmente confusi. Alcune informazioni documentate vanno mantenute, cioè tenute aggiornate perché descrivono uno stato corrente: il campo di applicazione del sistema di gestione, la politica AI, le procedure. Altre vanno conservate, cioè trattenute come prova che qualcosa è accaduto: valutazioni del rischio completate, impact assessment, registri di formazione, esiti delle verifiche di efficacia. La 7.5.2 aggiunge come si creano e si aggiornano: identificazione, formato adeguato, riesame e approvazione prima dell'uso. La 7.5.3 aggiunge il controllo: disponibilità dove e quando serve, protezione da perdita o uso improprio, gestione delle versioni e degli accessi. La conseguenza pratica è netta. Un documento senza versione, senza data e senza evidenza di approvazione non è informazione documentata ai fini della norma, è un file. La distinzione si vede al primo campionamento, quando l'auditor chiede quale sia la versione in vigore di una procedura e ne circolano due leggermente diverse in due cartelle. ## Cosa succede davvero durante l'audit L'auditor non verifica tutte le persone. Ne campiona tre o cinque su ruoli diversi e fa domande semplici, di solito le stesse: qual è la politica AI dell'azienda e dove si trova, cosa fa il sistema che usi ogni giorno, cosa faresti se ti accorgessi che sta sbagliando, chi è il responsabile a cui lo segnaleresti. Quando la persona campionata non sa rispondere, la non conformità non riguarda quella persona. Riguarda il sistema di gestione, che ha previsto un'azione formativa senza verificarne l'efficacia. Per questo la verifica dell'efficacia conviene farla prima, e su un campione analogo a quello che userà l'auditor. Un secondo controllo ricorrente riguarda chi è entrato di recente. Se qualcuno lavora in azienda da tre mesi su un processo toccato da un sistema AI e non ha ricevuto nulla, il meccanismo di aggiornamento previsto dalla 7.2 non funziona, indipendentemente da quanto sia completo il piano per chi c'era prima. ## Gli errori più frequenti Il corso unico per tutti è il più visibile, ma non il più costoso. Il più costoso è trattare il registro delle presenze come evidenza di competenza, perché produce la sensazione di essere a posto fino al momento in cui l'auditor chiede la valutazione di efficacia e non esiste. Segue la consapevolezza limitata a chi scrive codice, che lascia scoperti proprio i ruoli dove le decisioni assistite da un sistema toccano persone reali. Poi il perimetro dei contractor, dimenticato perché non compare nei sistemi di gestione del personale. Poi le sotto-clausole 7.4 e 7.5, mai affrontate perché nessuno le associa alla parola formazione. L'ultimo è l'assenza di un innesco: nessun meccanismo che faccia scattare un aggiornamento quando una persona cambia ruolo o quando cambia il sistema che utilizza. Un piano costruito una volta e mai più toccato smette di essere valido nel momento in cui l'organizzazione si muove, e le organizzazioni si muovono. ## Il passo successivo Separare competenza e consapevolezza, assegnarle ai ruoli giusti e prevedere come si verificano è il lavoro che manca nella maggior parte delle aziende che dicono di aver già fatto la formazione. Il pezzo successivo entra nel dettaglio operativo con la matrice che collega ogni ruolo a quello che deve saper fare, e con il modo di tenerla allineata quando l'organizzazione cambia.