Cosa
La ISO/IEC 42001 è la prima norma internazionale certificabile dedicata ai sistemi di gestione dell’intelligenza artificiale, pubblicata nel dicembre 2023 e adottata in Italia come UNI CEI ISO/IEC 42001. La norma non disciplina lo sviluppo tecnico dei modelli, ma definisce i requisiti del sistema con cui un’organizzazione stabilisce dove impiegare l’intelligenza artificiale, su quali dati, con quali controlli e sotto quali responsabilità, attraverso politica, ruoli, valutazione dei rischi, misure di controllo, audit interno e riesame della direzione. La ISO/IEC 42001 si rivolge sia a chi sviluppa sistemi di intelligenza artificiale sia a chi li acquista e li utilizza, ovvero la maggior parte delle imprese.
Perché
L’ottenimento della certificazione ISO/IEC 42001 garantisce vantaggi competitivi rilevanti per le organizzazioni che sviluppano o utilizzano sistemi di intelligenza artificiale:
- Soddisfare le richieste delle stazioni appaltanti, poiché nei contratti pubblici si è obbligati a verificare le logiche di funzionamento delle soluzioni automatizzate acquistate;
- Rispondere ai questionari di filiera e agli audit dei grandi committenti, che valutano le modalità di governo e gestione dei dati e delle informazioni, così come la presenza di sistemi di sorveglianza;
- Prepararsi agli obblighi dell’AI Act con un sistema che permette di mappare le funzionalità degli strumenti di intelligenza artificiale in uso;
- Distinguersi come first mover, tramite l’ottenimento di una certificazione ancora poco diffusa;
- Valorizzare i sistemi di gestione già certificati, estendendone il perimetro al mondo AI.
Come
Il percorso muove dalla mappatura degli impieghi dell’intelligenza artificiale all’interno dell’organizzazione. Selezione del personale, assistenza ai clienti, previsione della domanda, controllo qualità e tenuta documentale, sono solo alcuni degli ambiti in cui l’AI incontra i processi aziendali convenzionali. Per ciascun impiego l’organizzazione valuta i rischi per gli stakeholder coinvolti, definendo politica di governo e responsabilità, stabilendo in quali casi una persona controlla, conferma o modifica l’esito del processo. Segue la formalizzazione delle prassi di gestione dei dati, incluse le limitazioni d’uso, i termini di conservazione e l’impegno alla trasparenza verso i soggetti coinvolti.
Il percorso si conclude con la definizione di obiettivi in linea con le politiche adottate, indicatori pertinenti, e quindi l’audit interno e il riesame della direzione. Una volta completato l’iter, l’azienda può sottoporsi all’audit dell’ente di certificazione.
Focus
Il regolamento europeo sull’intelligenza artificiale: livelli di rischio, obblighi e calendario
Il regolamento (UE) 2024/1689, noto come AI Act, disciplina lo sviluppo e l’utilizzo dell’intelligenza artificiale, secondo un approccio basato sul rischio. I sistemi AI sono infatti censiti in base a quattro diversi livelli di rischio (inaccettabile, alto, limitato, minimo). L’obiettivo è infatti quello di garantire la tutela e la protezione dei diritti dei cittadini comunitari. Le pratiche a rischio inaccettabile sono vietate, i sistemi ad alto rischio sono soggetti a requisiti stringenti, quelli a rischio limitato devono rispettare specifici obblighi di trasparenza. Se il fornitore deve dimostrare l’adeguatezza tecnica dello strumento, l’organizzazione che lo utilizza è tenuta ad impiegarlo secondo termini rigorosi, affidando il monitoraggio a risorse competenti, con controlli periodici sul suo funzionamento, e conservando le necessarie registrazioni.
Il calendario è stato modificato dal regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026. I divieti e l’obbligo di alfabetizzazione in materia di intelligenza artificiale si applicano dal 2 febbraio 2025, le regole sui modelli per finalità generali, sulla governance e sulle sanzioni dal 2 agosto 2025, e gli obblighi di trasparenza dal 2 agosto 2026. Gli obblighi sui sistemi ad alto rischio si applicano dal 2 dicembre 2027 per quelli dell’allegato III e dal 2 agosto 2028 per quelli dell’allegato I.
La certificazione ISO/IEC 42001, l’AI Act e gli appalti pubblici
La certificazione ISO/IEC 42001 non equivale alla conformità all’AI Act. La presunzione di conformità al regolamento deriva dalle norme armonizzate previste dall’articolo 40, distinte dalla ISO/IEC 42001, e il sistema di gestione consente all’organizzazione di prepararsi agli obblighi con rischi mappati, ruoli assegnati ed evidenze archiviate.
Negli appalti pubblici l’articolo 30 del Codice dei contratti pubblici impone alla stazione appaltante che acquista procedure automatizzate di assicurarsi la disponibilità del codice sorgente, della documentazione e di ogni elemento utile a comprenderne le logiche di funzionamento, e di prevedere clausole di assistenza e manutenzione. Le decisioni automatizzate devono rispettare i principi di conoscibilità e comprensibilità, di non esclusività della decisione algoritmica e di non discriminazione algoritmica. La documentazione che soddisfa questi obblighi è prodotta dal fornitore, mentre il Codice non attribuisce al sistema di gestione dell’intelligenza artificiale punteggi premiali automatici.
La consulenza
con NUVA
NUVA guida la direzione aziendale e chi ricopre il ruolo di responsabile della compliance nella trasformazione del governo dell’intelligenza artificiale in una leva di competitività economica. Evitando aggravi formali, concentriamo il lavoro sull’analisi dei dati reali, selezionando le soluzioni più funzionali, in grado di determinare il migliore ritorno. Sul rapporto fra intelligenza artificiale e sostenibilità abbiamo sviluppato e moderato il panel del Salone della CSR e dell’innovazione sociale 2025, e partecipato come relatori al convegno «AI e sostenibilità», svoltosi nel 2026, nell’ambito della stessa manifestazione, presso l’Università Bocconi. Dal 2021, vantiamo il 100% di clienti che hanno raggiunto l’obiettivo della certificazione, a prescindere dallo schema adottato.
F.A.Q.
La certificazione ISO 42001 garantisce la conformità all’AI Act?
No. Il regolamento europeo e la norma volontaria sono strumenti distinti, e la presunzione di conformità deriva dall’osservanza della disposizione normativa, non dall’adesione allo standard ISO. Il sistema di gestione consente però all’organizzazione di mappare gli impieghi, assegnare le responsabilità e conservare le evidenze necessarie a fronte dell’applicazione degli obblighi.
La ISO 42001 riguarda anche chi acquista sistemi di intelligenza artificiale senza svilupparli?
Sì, ed è il caso più frequente. La norma si rivolge sia a chi fornisce sia a chi utilizza sistemi di intelligenza artificiale. L’organizzazione che acquista uno strumento non risponde della sua costruzione, ma risponde del suo utilizzo, cioè dei dati impiegati, delle decisioni supportate e della possibilità che una persona possa interferire.
In Italia è disponibile la certificazione ISO 42001 accreditata?
Sì. Accredia ha fissato le disposizioni per l’accreditamento degli organismi di certificazione a fronte della UNI CEI ISO/IEC 42001 con la circolare tecnica DC 08/2026 del 19 febbraio 2026. Prima di affidare l’incarico, l’organizzazione verifica quindi che l’organismo scelto sia accreditato, poiché soltanto la certificazione accreditata assicura criteri di valutazione uniformi.
Che rapporto c’è tra la ISO 42001 e la legge italiana sull’intelligenza artificiale?
La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, non richiama la ISO/IEC 42001 e non prevede premialità per le organizzazioni certificate, ma fissa principi e regole di settore. La legge introduce obblighi concreti, come l’informazione al lavoratore quando l’intelligenza artificiale entra nel rapporto di lavoro, e il sistema di gestione costituisce lo strumento ordinato per rispettarli.
Risorse
- ISO/IEC 42001:2023 – La scheda ufficiale della norma, con titolo, edizione e data di pubblicazione.
- Accredia, Circolare tecnica DC 08/2026 – Le disposizioni per l’accreditamento degli organismi che certificano la UNI CEI ISO/IEC 42001.
- Regolamento (UE) 2024/1689 – Il testo dell’AI Act, il regolamento europeo sull’intelligenza artificiale.
- Regolamento (UE) 2026/1744 – L’omnibus digitale sull’IA, che ha spostato le date di applicazione degli obblighi sui sistemi ad alto rischio.
