ISO 27001 + ISO 42001: perché chi vende AI alle enterprise avrà bisogno di entrambe

C'è un momento preciso in cui una startup AI scopre cosa significa vendere alle grandi aziende: quando arriva il primo questionario fornitori. Decine di pagine su sicurezza delle informazioni, gestione dei dati, business continuity. E, sempre più spesso, una sezione nuova: come governate i vostri sistemi di intelligenza artificiale?

Fino a ieri la risposta attesa era una: ISO/IEC 27001. Oggi ne sta emergendo una seconda: ISO/IEC 42001. E per chi sviluppa o integra AI nei propri prodotti, la vera domanda non è più «quale delle due», ma «in che ordine».

In sintesi
Il procurement enterprise usa gli standard come filtro: senza risposte strutturate, il deal si ferma in security review.
La ISO/IEC 27001 copre la sicurezza delle informazioni; la ISO/IEC 42001 copre la gestione responsabile dell'AI. Per chi vende AI, i questionari stanno iniziando a chiedere entrambe.
I due standard condividono la stessa struttura: circa metà dei controlli è riutilizzabile. Chi ha la 27001 è già a metà strada verso la 42001.
Con l'AI Act in fase operativa, la 42001 è anche il modo più solido di dimostrare la governance AI che il regolamento richiede.

#Il filtro invisibile del procurement enterprise

Le grandi aziende non valutano i fornitori solo sul prodotto: valutano il rischio che quel fornitore introduce. Il meccanismo è standardizzato (vendor questionnaire, security review, richiesta di certificazioni) e funziona come un filtro binario: chi ha evidenze strutturate passa, chi risponde «ci stiamo lavorando» finisce in fondo alla coda, o fuori.

Per anni questo filtro ha avuto un nome solo: ISO 27001. Per una società che tratta dati di clienti enterprise, è di fatto il biglietto d'ingresso.

Con l'esplosione dell'AI, però, il perimetro delle domande si è allargato. Come gestite i rischi dei modelli? Come controllate bias e derive del modello nel tempo? Chi supervisiona le decisioni automatizzate? Che dati usate per l'addestramento? La ISO 27001, da sola, a queste domande non risponde.

#Due standard, due domande diverse

La ISO/IEC 42001 è il primo standard che rende certificabile la governance dell'intelligenza artificiale: definisce un sistema di gestione (AIMS, AI Management System) con requisiti su valutazione dei rischi, valutazioni d'impatto, supervisione umana e monitoraggio continuo dei sistemi AI. Ne parliamo in dettaglio in un articolo dedicato (vedi la guida alla ISO/IEC 42001).

#La buona notizia: gli standard sono fatti per stare insieme

Chi teme di dover rifare tutto da capo può tirare un sospiro di sollievo. La ISO 42001 segue la stessa struttura armonizzata di tutti i sistemi di gestione ISO (la stessa di 27001, 9001, 14001): contesto, leadership, pianificazione, supporto, operatività, valutazione delle prestazioni, miglioramento. Capitoli identici, logica identica.

In pratica, questo significa che:

• politiche, ruoli, gestione documentale, audit interni e riesame di direzione si condividono: un unico impianto di governance regge entrambi gli standard;
• i controlli su accessi, gestione dei fornitori, incident response e change management coprono requisiti di entrambe;
• l'esperienza sul campo indica che circa il 50% del lavoro fatto per la ISO 27001 è riutilizzabile per la 42001. Il restante 50% è genuinamente specifico dell'AI: valutazione dei bias, monitoraggio della deriva dei modelli, valutazioni d'impatto, qualità dei dati di addestramento.

Partire dalla 42001 senza una base di sicurezza delle informazioni, invece, è più difficile: un sistema AI si nutre di dati, e la loro protezione è un prerequisito, non un optional.

#La sequenza giusta per una startup AI

1. Prima la ISO 27001. È quella che i clienti chiedono oggi, in ogni settore. Sblocca i deal enterprise adesso e costruisce l'impianto di gestione su cui tutto il resto si appoggia. (vedi il servizio CertAI per la ISO 27001)
2. Poi l'estensione alla ISO 42001. Con il sistema di gestione già in piedi, l'estensione ai controlli AI è un progetto incrementale, non una seconda scalata. E arriva proprio mentre i questionari iniziano a chiederla.
3. Nel frattempo, presidia gli obblighi AI Act. Trasparenza e alfabetizzazione AI sono già vincolanti; gli obblighi per i sistemi ad alto rischio arrivano tra fine 2027 e 2028 (vedi la guida alle scadenze AI Act). Un AIMS conforme alla 42001 è il modo più naturale di produrre le evidenze che il regolamento richiede.

Il vantaggio competitivo sta nel timing: oggi la 42001 è ancora un elemento di differenziazione, e chi la presenta in un questionario fornitori si distingue. Tra un paio d'anni sarà, come la 27001, semplicemente attesa.

#Quanto costa non averle

Il conto è presto fatto: un ciclo di vendita enterprise che si blocca in security review vale spesso decine di migliaia di euro di ARR. Un questionario compilato male allunga il ciclo di mesi. E costruire la conformità sotto pressione, con un deal appeso, costa sempre di più che costruirla con metodo.

La conformità non è un progetto di documentazione: è un sistema di gestione che va progettato, adottato e mantenuto. Ma con l'approccio giusto, con l'AI a generare e mantenere la documentazione, i tempi si misurano in settimane, non in anni.

#Come ti aiuta CertAI

CertAI porta le aziende alla conformità ISO/IEC 27001 e ISO/IEC 42001 con un percorso guidato: gap analysis iniziale, documentazione generata su misura dai nostri sistemi AI, controlli e monitoraggio continuo, preparazione all'audit di certificazione con enti terzi indipendenti.

Ultimo aggiornamento: luglio 2026.