ISO/IEC 42001: cos'è un AI Management System e a chi serve davvero
ISO/IEC 42001 è il primo standard certificabile per la gestione dell'AI: come è fatto, cosa dimostra, il rapporto con l'AI Act e per chi la certificazione ha senso adesso.
Nelle conversazioni sulla governance AI degli ultimi mesi una sigla ha iniziato a circolare con insistenza crescente, spinta dai consulenti che la vendono e dai clienti enterprise che cominciano a chiederla ai fornitori: ISO/IEC 42001. Come accade a ogni standard giovane, intorno le si sono formate aspettative sproporzionate in entrambe le direzioni, chi la tratta come il lasciapassare che risolve l'AI Act e chi la liquida come l'ennesimo bollino. Vale la pena guardarla per quello che è, perché a certe organizzazioni serve davvero, ad altre non ancora, e la differenza si può dire con precisione.
Un sistema di gestione, non un esame sui modelli
ISO/IEC 42001:2023, pubblicata a fine 2023, è il primo standard internazionale certificabile per un sistema di gestione dell'intelligenza artificiale, un AI Management System. La parola che pesa è "gestione": lo standard non valuta i vostri modelli, non misura l'accuratezza degli output, non promuove o boccia algoritmi. Certifica che l'organizzazione ha costruito la macchina per governarli: politiche e obiettivi, ruoli e responsabilità, valutazione dei rischi e degli impatti dei sistemi AI lungo il ciclo di vita, controlli operativi, monitoraggio, miglioramento continuo, il tutto nella struttura armonizzata che chi conosce ISO 9001 o ISO/IEC 27001 riconoscerà al primo sguardo, con un annesso di controlli specifici per l'AI che copre dal ciclo di vita dei sistemi ai dati, dalla trasparenza verso gli stakeholder all'uso responsabile.
La parentela con la 27001 non è un dettaglio tecnico, è la notizia buona per molte aziende: chi ha già un sistema di gestione della sicurezza delle informazioni possiede l'impalcatura, i processi di audit interno, la cultura documentale, e l'estensione all'AI è un cantiere incrementale invece che una fondazione da zero. Nei percorsi che osserviamo, questa è la variabile che più di ogni altra separa i progetti da sei mesi da quelli da diciotto.
Il rapporto onesto con l'AI Act
La domanda che tutti fanno è se la certificazione metta al riparo dal regolamento europeo, e la risposta onesta ha due metà. La prima: no, ISO 42001 non equivale alla conformità all'AI Act, perché lo standard è volontario e organizzativo mentre il regolamento impone obblighi puntuali per sistema e per categoria di rischio, e nessun certificato sostituisce la classificazione dei vostri use case, la documentazione tecnica dove richiesta, gli obblighi di trasparenza. Chi vi vende la certificazione come "conformità AI Act garantita" sta vendendo una parola che noi, per policy, non usiamo mai.
La seconda metà, però, pesa nella direzione opposta: il regolamento chiede alle organizzazioni esattamente il tipo di evidenze che un AIMS produce per costruzione, ruoli assegnati, rischi valutati e registrati, processi documentati, riesami periodici. Lo standard è la macchina organizzativa che genera il materiale probatorio, e arrivare alle scadenze del regolamento con quella macchina in funzione cambia la natura del lavoro: si compila ciò che esiste invece di ricostruire ciò che manca. È lo stesso principio che vale per la 27001 rispetto al GDPR, mai equivalenza, sempre attrezzatura.
A chi serve adesso, a chi non ancora
Il profilo a cui la certificazione serve oggi è riconoscibile. Fornitori di soluzioni e servizi AI a clienti enterprise, per i quali il certificato sta diventando una richiesta nei procurement, come accadde alla 27001 dieci anni fa. Organizzazioni in settori regolati o esposti, dove board, audit e vigilanza chiedono garanzie dimostrabili e un certificato accreditato parla la loro lingua. Gruppi internazionali che vogliono un impianto unico spendibile su più giurisdizioni, dato che lo standard viaggia dove i regolamenti nazionali divergono.
Il profilo opposto è altrettanto riconoscibile: l'organizzazione con pochi strumenti in uso e una governance ancora da fondare, per la quale partire dalla certificazione significa comprare l'impalcatura prima della casa. Il dato dell'Osservatorio del Politecnico di Milano presentato a febbraio, il 9% di grandi imprese con governance AI strutturata, dice che la maggioranza sta in questo secondo profilo, e per la maggioranza la sequenza sensata resta quella di cui scriviamo da settimane: prima l'inventario e la classificazione, poi le responsabilità e infine, quando la governance esiste e va dimostrata, lo standard che la certifica. La certificazione è la fotografia di una maturità, e fotografare una stanza vuota produce solo un certificato vuoto.
Per chi è nel primo profilo, il percorso realistico va messo in agenda con i suoi tempi: gap analysis rispetto allo standard, implementazione dei controlli mancanti, audit di certificazione in due stadi, sorveglianze annuali, con orizzonti che nella pratica si misurano in due o tre semestri più che in mesi.
Il nostro mestiere sta nel gradino prima: l'AI Rating misura dove siete rispetto a ciò che lo standard chiederebbe, la dimensione Risk produce la gap analysis, e la roadmap dice se e quando la certificazione entra sensatamente nel piano, perché anche questa, come tutto in questa serie, è una decisione da prendere con evidenze: calendly.com/fabiolalli/zerofive, oppure hello@zerofive.ai. Il test preliminare costa intanto una domanda in comitato: se l'audit di certificazione fosse fra sei mesi, quale capitolo del vostro sistema di gestione oggi non esiste nemmeno come bozza?