Fino al 2023, un'azienda che voleva dimostrare di gestire l'intelligenza artificiale in modo responsabile non aveva un linguaggio condiviso per farlo: policy interne, principi etici autodichiarati, slide. Poi è arrivata la ISO/IEC 42001, il primo standard internazionale certificabile per i sistemi di gestione dell'AI. Nel 2026, con l'AI Act in fase operativa e i questionari fornitori che iniziano a chiederla, è passata da curiosità per pionieri a tema di board.
Vediamo cos'è, come è fatta e a chi conviene muoversi adesso.
In sintesi
La ISO/IEC 42001 (dicembre 2023) definisce i requisiti di un AIMS, AI Management System: il sistema con cui un'organizzazione governa sviluppo e uso dell'AI.
Copre ciò che nessuno standard copriva: valutazioni d'impatto, bias, supervisione umana, monitoraggio dei modelli, qualità dei dati di addestramento.
Riguarda sia chi sviluppa AI sia chi la usa: il perimetro si adatta al ruolo dell'organizzazione.
Stessa struttura della ISO 27001: i due standard si integrano, e chi ha già la 27001 riparte da metà strada.
Non è obbligatoria per legge, ma è il modo più solido di dimostrare la governance che l'AI Act e i clienti enterprise richiedono.
#Cos'è un AIMS (e perché «sistema di gestione» non significa burocrazia)
La ISO/IEC 42001 non certifica un algoritmo, un modello o un prodotto. Certifica il sistema di gestione: l'insieme di ruoli, processi, controlli e documentazione con cui l'organizzazione decide come l'AI viene sviluppata, acquistata, usata e monitorata.
È la stessa logica della ISO 9001 per la qualità o della ISO 27001 per la sicurezza delle informazioni: non «questo prodotto è perfetto», ma «questa organizzazione ha un metodo strutturato per gestire i rischi e migliorare nel tempo».
Lo standard segue la struttura armonizzata comune a tutti i sistemi di gestione ISO:
- Contesto: quali sistemi AI usi o sviluppi, quali stakeholder, quale perimetro
- Leadership: responsabilità della direzione, policy AI
- Pianificazione: valutazione di rischi e opportunità, obiettivi
- Supporto: risorse, competenze, consapevolezza, documentazione
- Operatività: i controlli sui sistemi AI nel loro ciclo di vita
- Valutazione delle prestazioni: monitoraggio, audit interni, riesame
- Miglioramento: non conformità e azioni correttive
#I controlli specifici: cosa chiede davvero lo standard
Il cuore operativo è l'Annex A, con i controlli specifici per l'AI. I temi principali:
- Valutazione d'impatto dei sistemi AI: prima di sviluppare o adottare un sistema, valutarne le conseguenze su individui, gruppi e società.
- Gestione dei bias e fairness: identificare e mitigare distorsioni nei dati e nei modelli.
- Qualità dei dati: provenienza, rappresentatività e qualità dei dati di addestramento e di esercizio.
- Supervisione umana: chi può intervenire sulle decisioni del sistema, come e quando.
- Monitoraggio del ciclo di vita: i modelli cambiano comportamento nel tempo (model drift); servono controlli continui, non una verifica una tantum.
- Trasparenza e comunicazione: cosa dichiarare a utenti e stakeholder sull'uso dell'AI.
- Fornitori e terze parti: l'AI comprata o integrata (API, modelli di terzi) va governata quanto quella sviluppata in casa.
Nulla di tutto questo richiede di rallentare lo sviluppo: richiede di sapere cosa si sta facendo, documentarlo e controllarlo, che è esattamente ciò che clienti e regolatori vogliono vedere.
#A chi serve (e a chi serve prima)
- Startup e scaleup AI che vendono a enterprise: il caso più urgente. La 42001 sta entrando nei questionari fornitori, e presentarla oggi è un elemento di differenziazione competitiva (vedi l'articolo su ISO 27001 + ISO 42001).
- Aziende che integrano AI di terzi nei propri prodotti: anche senza sviluppare modelli, la responsabilità verso i clienti resta; lo standard copre esplicitamente l'AI acquistata.
- Organizzazioni con sistemi che ricadranno nell'alto rischio AI Act (HR tech, credit scoring, med tech, edtech): gli obblighi arrivano tra fine 2027 e 2028, ma un AIMS si costruisce prima (vedi la guida alle scadenze AI Act).
- Chi usa l'AI internamente su processi critici: la 42001 è anche lo strumento per governare l'adozione interna, incluso il fenomeno dello shadow AI.
#ISO 42001 e AI Act: che rapporto c'è
Chiariamo un equivoco frequente: la ISO/IEC 42001 non è la "certificazione AI Act". Il regolamento europeo è legge e va rispettato in quanto tale; lo standard è volontario.
Il rapporto è un altro: l'AI Act richiede governance, gestione del rischio, documentazione, supervisione umana e monitoraggio, ma non dice come organizzarli. La 42001 fornisce esattamente quella struttura: un sistema che produce in modo ordinato le evidenze che il regolamento (e qualunque audit) richiede. È in corso inoltre il lavoro europeo di normazione armonizzata per l'AI Act, che degli standard di sistema di gestione fa il proprio punto di partenza.
Tradotto: conformarsi all'AI Act senza un sistema di gestione significa produrre evidenze a mano, ogni volta. Con un AIMS, la conformità diventa un output del sistema.
#Come si arriva alla conformità
Il percorso tipico:
- Gap analysis: perimetro, inventario dei sistemi AI, distanza dai requisiti
- Progettazione dell'AIMS: policy, ruoli, processo di gestione del rischio AI
- Implementazione dei controlli: valutazioni d'impatto, controlli sui dati, supervisione, monitoraggio
- Documentazione ed evidenze: il grosso del lavoro percepito, ed è qui che l'automazione cambia i tempi
- Audit interno e riesame: verifica che il sistema funzioni davvero
- Audit di certificazione: con un ente terzo indipendente, per chi vuole il certificato da presentare al mercato
Con strumenti tradizionali (consulenza manuale, documentazione da zero) parliamo di molti mesi. Con la documentazione generata e mantenuta dall'AI e un perimetro ben definito, il raggiungimento della conformità si misura in settimane.
#Come ti aiuta CertAI
CertAI ti porta alla conformità ISO/IEC 42001 (vedi il servizio CertAI per la ISO 42001): inventario e classificazione dei sistemi AI, gap analysis, documentazione generata su misura, controlli e monitoraggio continuo, fino alla preparazione dell'audit con enti di certificazione indipendenti. E se hai già (o stai costruendo) la ISO 27001, il percorso riparte da metà strada.
Vuoi capire quanto sei lontano dalla conformità ISO/IEC 42001? Parti da una gap analysis con CertAI.
Ultimo aggiornamento: luglio 2026.
