Documenti obbligatori ISO 42001 (sistema di gestione per l'IA)
La ISO/IEC 42001:2023 richiede come informazioni documentate, tra l'altro: il campo di applicazione del sistema di gestione per l'IA (4.3), la politica per l'IA (5.2), i processi e i risultati di valutazione e trattamento dei rischi dell'IA (6.1.2, 6.1.3, 8.2 e 8.3), la Dichiarazione di Applicabilità (6.1.3), la valutazione d'impatto dei sistemi di IA (6.1.4 e 8.4), gli obiettivi per l'IA (6.2) e le registrazioni di competenza, monitoraggio, audit interno, riesame di direzione e azioni correttive.
Documenti richiesti per punto della norma
| Documento | Punto | A cosa serve |
|---|---|---|
| Campo di applicazione del sistema di gestione per l'IA | 4.3 | Definisce quali sistemi, processi e ruoli rispetto all'IA sono inclusi |
| Politica per l'IA | 5.2 | Impegni dell'alta direzione e quadro per gli obiettivi |
| Processo di valutazione dei rischi dell'IA | 6.1.2 | Criteri per identificare, analizzare e ponderare i rischi |
| Processo di trattamento dei rischi dell'IA | 6.1.3 | Come si scelgono i controlli e si approvano i rischi residui |
| Dichiarazione di Applicabilità | 6.1.3 | Controlli necessari dell'Allegato A, giustificazione e stato di attuazione |
| Processo di valutazione d'impatto dei sistemi di IA | 6.1.4 | Come si valutano le conseguenze per persone, gruppi e società |
| Obiettivi per l'IA | 6.2 | Traguardi misurabili e piani per raggiungerli |
| Evidenze di competenza | 7.2 | Formazione ed esperienza di chi lavora con sistemi di IA |
| Informazioni operative | 8.1 | Quanto serve per avere fiducia che i processi siano eseguiti come pianificato |
| Risultati della valutazione dei rischi | 8.2 | Registro dei rischi aggiornato |
| Risultati del trattamento dei rischi | 8.3 | Piano di trattamento e avanzamento |
| Risultati delle valutazioni d'impatto | 8.4 | Valutazioni d'impatto di ogni sistema |
| Risultati di monitoraggio e misurazione | 9.1 | Indicatori e loro analisi |
| Programma e risultati di audit interno | 9.2 | Piano, rapporti e rilievi |
| Risultati del riesame di direzione | 9.3 | Decisioni e azioni dell'alta direzione |
| Non conformità e azioni correttive | 10.2 | Cosa non ha funzionato, causa, azione e risultato |
Il punto 7.5.1 aggiunge le informazioni documentate che l'organizzazione ritiene necessarie per l'efficacia del sistema, e diversi controlli dell'Allegato A richiedono decisioni documentate su ciclo di vita, dati e informazioni fornite agli utenti.
Registrazioni che gli auditor chiedono spesso in più
- Inventario dei sistemi di IA con finalità, ruolo dell'organizzazione e persone interessate.
- Registro dei fornitori di IA e delle responsabilità concordate con loro.
- Evidenze di formazione e alfabetizzazione in materia di IA del personale (vedi articolo 4 dell'AI Act).
- Registro degli incidenti o delle criticità segnalate sui sistemi di IA.
- Controllo delle versioni e approvazioni dei documenti del sistema.
Errori frequenti
- Copiare la Dichiarazione di Applicabilità della ISO 27001: la ISO 42001 ha un proprio Allegato A con 38 controlli.
- Valutare i rischi per l'organizzazione ma dimenticare la valutazione d'impatto sulle persone interessate dal sistema.
- Avere una politica per l'IA senza obiettivi misurabili né indicatori per seguirla.
- Non registrare il ruolo dell'organizzazione per ogni sistema (per esempio fornitore o utilizzatore).
- Documenti senza responsabile né data di revisione.
Come organizzare la documentazione
Una struttura pratica separa la governance (campo di applicazione, politica, ruoli), la pianificazione (metodologia dei rischi, registro dei rischi, valutazione d'impatto, Dichiarazione di Applicabilità, obiettivi), le attività operative (procedure su ciclo di vita, dati e fornitori) e la valutazione e il miglioramento (indicatori, audit, riesame di direzione, azioni correttive). Se l'organizzazione ha già la ISO 27001, i documenti di gestione comuni si estendono invece di duplicarli.
Domande frequenti
Quanti documenti obbligatori ha la ISO 42001?
Non c'è un numero fisso: la norma chiede informazioni documentate in diversi punti (campo di applicazione, politica, rischi, impatto, Dichiarazione di Applicabilità, obiettivi e registrazioni di attività operative, valutazione e miglioramento). Ogni organizzazione aggiunge ciò che ritiene necessario.
La valutazione d'impatto è obbligatoria?
Sì. Il punto 6.1.4 richiede un processo di valutazione d'impatto dei sistemi di IA e il punto 8.4 chiede di conservarne i risultati.
Posso riutilizzare i documenti della ISO 27001?
Sì, per le parti comuni del sistema di gestione (controllo dei documenti, audit interno, riesame di direzione, azioni correttive). I documenti specifici dell'IA vanno preparati a parte.
In che formato devono essere i documenti?
La norma non impone un formato. Possono essere documenti di testo, fogli di calcolo o registrazioni in uno strumento, purché siano controllati, disponibili e protetti.
Guide correlate
- Cos'è la ISO/IEC 42001? Il sistema di gestione per l'intelligenza artificiale
- Dichiarazione di Applicabilità ISO 27001 (SoA): cos'è e come redigerla
- Documenti obbligatori ISO 27001:2022: elenco per punto della norma
Aggiornato: 2026-10-20