Cos'è la ISO/IEC 42001? Il sistema di gestione per l'intelligenza artificiale

La ISO/IEC 42001:2023 è la norma internazionale che definisce i requisiti di un sistema di gestione per l'intelligenza artificiale (SGIA): politiche, ruoli, valutazione dei rischi e degli impatti, controlli e miglioramento continuo per sviluppare, fornire o usare sistemi di IA in modo responsabile. Pubblicata a dicembre 2023, segue la stessa struttura della ISO 27001 (punti da 4 a 10) e contiene un Allegato A con 38 controlli di riferimento.

A chi serve la ISO 42001?

Si applica a qualsiasi organizzazione che sviluppa, fornisce o utilizza sistemi di IA, indipendentemente da dimensione e settore: dall'azienda che usa un chatbot per il servizio clienti o uno strumento di selezione dei CV al fornitore che addestra modelli propri.

Aziende che integrano IA di terzi nei propri processi e devono gestirne rischi e responsabilità.
Software house che incorporano IA e ricevono domande dai clienti sulla loro governance dell'IA.
Organizzazioni che hanno già la ISO 27001 e vogliono estendere il sistema di gestione all'IA.
Team che devono dimostrare una gestione responsabile dell'IA a clienti, auditor o autorità.

Struttura della norma: punti da 4 a 10

Punto	Tema	Cosa significa in pratica
4	Contesto dell'organizzazione	Definire il campo di applicazione, le parti interessate e il ruolo dell'organizzazione rispetto all'IA (fornitore, utilizzatore, ecc.)
5	Leadership	Impegno dell'alta direzione, politica per l'IA, ruoli e responsabilità
6	Pianificazione	Valutare e trattare i rischi dell'IA, valutare gli impatti sulle persone, fissare obiettivi e preparare la Dichiarazione di Applicabilità
7	Supporto	Risorse, competenze, consapevolezza, comunicazione e informazioni documentate
8	Attività operative	Attuare il piano: valutazioni dei rischi e degli impatti e trattamento lungo il ciclo di vita del sistema
9	Valutazione delle prestazioni	Indicatori, audit interno e riesame di direzione
10	Miglioramento	Non conformità, azioni correttive e miglioramento continuo

Allegato A: 38 controlli in 9 obiettivi

L'Allegato A raggruppa i controlli di riferimento in nove aree. Come nella ISO 27001, l'organizzazione decide quali le servono in base ai propri rischi e lo giustifica in una Dichiarazione di Applicabilità.

Area	Oggetto
A.2	Politiche relative all'IA
A.3	Organizzazione interna: ruoli, responsabilità e segnalazione delle criticità
A.4	Risorse per i sistemi di IA: dati, strumenti, capacità di calcolo e persone
A.5	Valutazione degli impatti dei sistemi di IA su persone e società
A.6	Ciclo di vita del sistema di IA: progettazione, verifica, rilascio ed esercizio
A.7	Dati per i sistemi di IA: qualità, provenienza e preparazione
A.8	Informazioni per le parti interessate: trasparenza e documentazione
A.9	Uso responsabile dei sistemi di IA
A.10	Rapporti con terze parti e clienti: fornitori e responsabilità condivise

La norma comprende anche l'Allegato B (guida all'attuazione dei controlli), l'Allegato C (obiettivi e fonti di rischio legati all'IA) e l'Allegato D (uso del sistema di gestione nei diversi settori).

ISO 42001 e ISO 27001 a confronto

Aspetto	ISO/IEC 27001:2022	ISO/IEC 42001:2023
Oggetto	Sicurezza delle informazioni	Sviluppo, fornitura e uso responsabili dell'IA
Struttura	Punti da 4 a 10	Punti da 4 a 10 (stessa struttura)
Controlli dell'Allegato A	93 controlli in 4 temi	38 controlli in 9 obiettivi
Valutazione specifica	Rischi per la sicurezza delle informazioni	Rischi dell'IA e valutazione d'impatto di ogni sistema
Dichiarazione di Applicabilità	Obbligatoria	Obbligatoria

Poiché la struttura è comune, un'organizzazione con la ISO 27001 può riutilizzare i processi di controllo dei documenti, audit interno, riesame di direzione e azioni correttive, aggiungendo solo ciò che è specifico dell'IA.

Rapporto con il Regolamento europeo sull'IA e con la legge italiana

Il Regolamento (UE) 2024/1689 sull'intelligenza artificiale (AI Act) è entrato in vigore il 1° agosto 2024; dal 2 febbraio 2025 si applicano le pratiche vietate e l'obbligo di alfabetizzazione in materia di IA del personale (articolo 4). In Italia si aggiunge la legge nazionale sull'IA (L. 132/2025). La ISO 42001 non sostituisce queste norme e da sola non equivale alla conformità, ma offre un metodo ordinato per censire i sistemi, valutare rischi e impatti, assegnare responsabilità e conservare evidenze: la base di cui ha bisogno qualsiasi percorso di adeguamento.

Passi per attuare un SGIA

Censire i sistemi di IA sviluppati, forniti o utilizzati e definire il campo di applicazione.
Approvare una politica per l'IA e assegnare i ruoli (compreso chi decide su ogni sistema).
Fissare i criteri e valutare i rischi dell'IA e l'impatto di ogni sistema sulle persone.
Scegliere i controlli e documentare la Dichiarazione di Applicabilità rispetto ai 38 controlli dell'Allegato A.
Formare il personale, applicare i controlli e misurarli con indicatori.
Svolgere audit interni e riesami di direzione e correggere quanto emerso.

Scarica il campione gratuito (in inglese) Vedi il kit ISO 42001 in italiano

Domande frequenti

La ISO 42001 è certificabile?

Sì. È una norma di requisiti, quindi un'organizzazione può essere sottoposta ad audit da un organismo di certificazione. L'esito dipende da come il sistema è attuato e gestito in ciascuna organizzazione.

Quanti controlli ha la ISO 42001?

L'Allegato A contiene 38 controlli raggruppati in 9 obiettivi (da A.2 a A.10). L'organizzazione decide quali si applicano in base ai rischi e lo giustifica nella Dichiarazione di Applicabilità.

Serve la ISO 27001 per attuare la ISO 42001?

No. Sono norme indipendenti, ma condividono la struttura e le organizzazioni con un SGSI possono riutilizzare buona parte del loro sistema di gestione.

La ISO 42001 è utile se usiamo solo IA di terzi?

Sì. La norma considera diversi ruoli rispetto all'IA, incluso l'uso di sistemi di altri fornitori, e i rapporti con terze parti hanno un'area di controlli dedicata (A.10).

Guide correlate

Aggiornato: 2026-10-20