ISO 42001 : definizione
La ISO/IEC 42001:2023 è la prima norma internazionale per un sistema di gestione dell'intelligenza artificiale. È pubblicata dall'ISO e dalla IEC, come illustrato nella pagina ufficiale dell'ISO. Specifica i requisiti per stabilire, attuare, mantenere e migliorare continuamente un sistema di gestione dell'IA, spesso abbreviato in SMIA o AIMS in inglese.
Si rivolge alle organizzazioni che sviluppano, forniscono o utilizzano sistemi di IA, indipendentemente dalle loro dimensioni e dal settore di appartenenza. Una PMI industriale che utilizza uno strumento di IA di terze parti è quindi coinvolta tanto quanto una software house.
A cosa serve la norma ?
L'obiettivo è rendere l'uso dell'IA controllato, tracciabile e responsabile. In concreto, il sistema di gestione aiuta a :
- definire una politica sull'IA e ruoli chiari
- identificare i rischi e gli impatti di un sistema di IA sulle persone e sull'organizzazione
- regolamentare i dati, i fornitori e il ciclo di vita dei sistemi
- monitorare le prestazioni e gestire le non conformità
- migliorare il sistema in modo continuo
Struttura della norma
La ISO 42001 segue la struttura comune delle norme per i sistemi di gestione (clausole da 4 a 10), la stessa delle ISO 9001, 14001 o 45001 :
- contesto dell'organizzazione
- leadership
- pianificazione (rischi, obiettivi, valutazione d'impatto)
- supporto (risorse, competenze, documentazione)
- realizzazione delle attività operative
- valutazione delle prestazioni (audit interno, riesame della direzione)
- miglioramento
Questa affinità facilita l'integrazione in un sistema di gestione esistente, punto approfondito nel nostro articolo su l'integrazione della ISO 42001 nel sistema di gestione QHSE.
L'appendice A: le misure di controllo
La norma include un'appendice A che elenca le misure di controllo suddivise in grandi aree: politiche legate all'IA, organizzazione interna, risorse, valutazione d'impatto, ciclo di vita del sistema, dati, informazione delle parti interessate, utilizzo e relazioni con terze parti. L'organizzazione sceglie quelle che rispondono ai propri rischi e giustifica le proprie scelte. Il testo dettagliato di queste misure è contenuto nella norma, disponibile presso l'ISO o l'AFNOR.
Certificazione: cosa aspettarsi ?
La certificazione è volontaria. Viene rilasciata da un organismo accreditato dopo un audit in più fasi, seguito poi da audit di sorveglianza. AFNOR Certification presenta la sua offerta di certificazione ISO 42001 e il relativo iter. Le organizzazioni che non necessitano di un certificato possono comunque utilizzare la norma come riferimento interno.
ISO 42001 e AI Act : un punto di attenzione
Il regolamento europeo sull'IA (AI Act) impone obblighi legali in base al livello di rischio dei sistemi. La ISO 42001 è una norma volontaria. Ad oggi, non è una norma armonizzata ai sensi dell'AI Act : seguirla non equivale quindi a una presunzione di conformità. Fornisce tuttavia una base di governance utile per prepararsi. I dettagli sono disponibili nel nostro articolo ISO 42001 e AI Act. Per gli obblighi previsti dal regolamento stesso, consultate la nostra guida sugli obblighi dell'AI Act per le aziende utilizzatrici.
Da dove iniziare ?
Tre prime azioni concrete, attuabili anche senza un progetto di certificazione :
- Inventariare gli strumenti di IA utilizzati in azienda, inclusi quelli adottati dai team senza una convalida formale.
- Classificare ogni utilizzo in base al suo impatto (dati personali, decisioni riguardanti le persone, sicurezza).
- Designare un responsabile e stabilire una semplice regola di utilizzo.
Per approfondire le problematiche relative ai dati personali nell'uso dell'IA in ambito di prevenzione, scarica il white paper su IA, prevenzione, sicurezza QHSE e GDPR.
