Che cosa riguarda
ISO/IEC 42001 definisce requisiti per un sistema di gestione dell’intelligenza artificiale. Affronta rischi e opportunità legati all’AI e aiuta a organizzare il suo utilizzo responsabile.
Un riferimento per governare sviluppo, fornitura o utilizzo dell’intelligenza artificiale, rendendo chiare responsabilità e scelte organizzative.
A chi si rivolge
Organizzazioni che sviluppano, forniscono o utilizzano prodotti e servizi basati su AI, anche integrando soluzioni di terzi.
Perché intraprendere questo percorso
Possibili benefici di una gestione efficace: non risultati garantiti dal solo rilascio di un certificato o di una dichiarazione.
01
Governance
Chiarire ruoli e criteri decisionali.
02
Rischi e impatti
Rendere strutturata la valutazione.
03
Tracciabilità
Collegare decisioni, controlli e riesame.
I temi da presidiare
Una lettura orientativa degli ambiti da considerare. I requisiti applicabili e il campionamento sono definiti sulla norma e sullo schema pertinenti.
Ruolo dell’organizzazione
Sviluppatore, fornitore o utilizzatore nel perimetro.
Rischi e impatti
Valutazioni pertinenti al contesto.
Ciclo di vita
Responsabilità e controlli sulle attività.
Miglioramento
Monitoraggio, cambiamenti e apprendimento.
Dalla gestione alle evidenze
Campioni documentali e informazioni da esaminare, da selezionare in funzione del perimetro e dei rischi dell’incarico.
01. Un caso d’uso AI esaminato per finalità, responsabili, dati e soggetti interessati.
02. Un modello o servizio di terzi valutato rispetto al ruolo effettivo dell’organizzazione.
03. Un cambiamento dell’applicazione seguito attraverso le decisioni e le verifiche previste.
04. Un limite di utilizzo o un controllo umano confrontato con il funzionamento del processo.
Come si svolge il percorso
01
Definire il perimetro
La domanda identifica attività, sedi, addetti e norma richiesta. Il riesame verifica la possibilità di assumere l’incarico, il campo applicabile e le competenze necessarie.
02
Pianificare la valutazione
Si definiscono programma, durata, gruppo di audit e modalità, secondo le regole dello schema. Il piano chiarisce quali processi e siti saranno campionati.
03
Raccogliere evidenze
Documenti, interviste e osservazioni delle attività sono messi in relazione. Eventuali rilievi devono essere affrontati secondo le modalità e i tempi applicabili.
04
Decidere e mantenere
La decisione è distinta dall’esecuzione dell’audit. Sorveglianze, rinnovo e comunicazione dei cambiamenti seguono il programma di certificazione pertinente.
Durata e modalità non sono fisse: dipendono dal perimetro, dalla complessità e dalle regole applicabili. Il rilascio è subordinato a un esito favorevole della valutazione e della decisione.
Da sapere prima di iniziare
Integrare un modello di terzi non significa automaticamente esserne lo sviluppatore. Il campo deve descrivere il ruolo reale, senza promettere una conformità legale generalizzata.
Domande frequenti
Riguarda soltanto chi sviluppa modelli?
No. È pertinente anche a chi fornisce o utilizza prodotti e servizi basati su AI.
Certifica il singolo algoritmo?
No. La certificazione riguarda il sistema di gestione nel suo perimetro.
Dimostra automaticamente conformità all’AI Act?
No. Sistema di gestione, ruolo normativo e requisiti applicabili al singolo sistema devono essere valutati distintamente.
L’organismo può progettare il nostro sistema?
La valutazione indipendente non va confusa con la consulenza. L’organizzazione resta responsabile del proprio sistema e delle proprie informazioni; le eventuali attività formative devono rispettare le condizioni di imparzialità applicabili.
Edizione e riferimenti
ISO/IEC 42001:2023
Riferimento editoriale: ISO/IEC 42001:2023. L’edizione applicabile all’incarico viene confermata in fase di riesame.
Riferimenti consultati il 9 ottobre 2026. Prima dell’incarico sono da confermare edizione applicabile, disposizioni di transizione e condizioni dello schema. Le sintesi non sostituiscono il testo ufficiale della norma.
Questa scheda è informativa e non attribuisce automaticamente un accreditamento ad ACM CERT per il servizio descritto. L’organismo competente, lo schema, il campo di accreditamento pertinente e le condizioni del servizio sono identificati nell’offerta.
