Cos'è la ISO/IEC 42001 e conviene certificarsi?

La ISO/IEC 42001 è il primo standard internazionale che definisce i requisiti di un sistema di gestione dell'intelligenza artificiale, l'AIMS: politiche, ruoli, valutazioni e verifiche con cui un'organizzazione governa l'AI che sviluppa, che adotta o che usa. È pubblicata da ISO e IEC nella prima edizione di dicembre 2023 (ISO/IEC 42001:2023), poi recepita senza modifiche come UNI CEI EN ISO/IEC 42001:2026: cambia la sigla che troverai in un questionario, non i requisiti, e il recepimento non ne fa una norma armonizzata. Ha la struttura delle norme di sistema, la stessa famiglia della ISO/IEC 27001: contesto, obiettivi, controlli, audit interni, riesame della direzione, miglioramento continuo. La differenza sostanziale rispetto a un framework volontario è una sola: la ISO/IEC 42001 si certifica. Il certificato non lo rilascia ISO, che scrive le norme e non svolge attività di certificazione, ma un ente terzo accreditato dall'organismo nazionale di accreditamento, in Italia Accredia, che verifica il sistema di gestione con un audit iniziale e poi con verifiche periodiche.

Perché in pratica le PMI si certificano

La ragione che porta un'azienda italiana a certificarsi è quasi sempre commerciale e non di rischio: un cliente grande la mette nel questionario fornitori, un bando la valorizza in graduatoria, una gara la chiede. Chi parte dal rischio è la minoranza. Dirlo sposta la domanda giusta: non se la norma serva in astratto, ma se qualcuno che paga la stia chiedendo, o sia ragionevole che la chieda entro l'anno.

Cosa costa davvero

Il costo maggiore non è la tariffa dell'ente, è il lavoro che la norma presuppone: scrivere procedure che descrivono come si lavora per davvero, tenere aggiornato l'inventario dei sistemi, produrre le registrazioni che un auditor chiede di vedere, e tenere tutto questo in piedi negli anni, perché il certificato dura tre anni e vive di sorveglianze annuali, con un rinnovo completo alla scadenza. Il limite va detto: un audit fotografa un sistema di gestione, non la qualità dei modelli. Un'azienda certificata può avere un modello che sbaglia; quello che l'audit accerta è che esista un modo per accorgersene e per intervenire. Formalizzare quel modo è il lavoro di AI governance.

Un esempio concreto

Un fornitore di software di quaranta persone riceve da un cliente bancario un questionario che chiede la ISO/IEC 42001 al rinnovo del contratto. Ha già un inventario dei casi d'uso e una policy interna, quindi la strada è una: mettere per iscritto le procedure che segue già, colmare i punti scoperti (valutazione d'impatto, gestione dei fornitori di modelli, registro degli incidenti), poi chiamare l'ente. Il percorso opposto, comprare un sistema di gestione scritto da qualcun altro, produce un manuale che nessuno riconosce e un audit che lo scopre. Due vincoli che il questionario non dice. Chi scrive le procedure non può poi certificarle, perché l'ente è tenuto all'imparzialità. E se il rinnovo scade fra tre mesi il certificato non ci sta, perché l'audit vuole vedere il sistema che gira e le registrazioni che ha prodotto: quello che si negozia allora è una gap analysis con delle date.

Quando certificarsi non conviene

Se nessun cliente e nessun bando la chiedono, e i casi d'uso sono due strumenti SaaS in mano a chi fa marketing, la certificazione è un investimento che nessuno chiede. Il lavoro utile è allora il sottoinsieme: inventario dei sistemi, classificazione del rischio per caso d'uso, un responsabile con nome e cognome. Quel lavoro resta valido anche il giorno in cui la norma diventa un requisito, ed è la base su cui si appoggia il NIST AI RMF, che non prevede alcuna certificazione.

Perché conta per chi decide

La certificazione non sostituisce la conformità all'AI Act, che è legge e vale a prescindere da qualunque certificato: l'ente che certifica la 42001 non è l'organismo notificato che il regolamento prevede per alcuni sistemi ad alto rischio, sono due percorsi distinti. Il beneficio è organizzativo, non normativo: molte evidenze richieste dalla norma sono le stesse che servono davanti a un'autorità o a un cliente, quindi il lavoro non si fa due volte. Chi presenta il certificato come scorciatoia verso la conformità sta vendendo qualcosa che il certificato non fa.

Questa voce è informativa e non costituisce consulenza legale: per decisioni su obblighi normativi conviene coinvolgere il DPO o un legale.