Gap analysis ISO 42001: a che punto è il vostro sistema di gestione dell'IA?
La gap analysis ISO 42001 (analisi delle lacune o valutazione iniziale) confronta ciò che l'organizzazione fa già con ciò che la ISO/IEC 42001:2023 richiede a un sistema di gestione per l'intelligenza artificiale (SGIA). Ogni requisito dei punti 4-10 e ogni controllo dell'Allegato A riceve uno stato (attuato, parzialmente attuato, non attuato o non applicabile), con l'evidenza attuale e l'azione necessaria. Il risultato è una percentuale di avanzamento per punto e un elenco di lacune in ordine di priorità che diventa il piano del progetto. La norma non la impone, ma è il modo più rapido per capire da dove si parte.
La gap analysis è obbligatoria per la ISO 42001?
No. Nessun punto della ISO/IEC 42001:2023 chiede una gap analysis e l'auditor di certificazione non la pretenderà come informazione documentata. Eppure quasi tutti i progetti iniziano da qui: misura il lavoro da fare, permette di stabilire priorità sensate e dà alla direzione una base per seguire l'avanzamento.
Se l'organizzazione è già certificata ISO 27001, la valutazione mostra di solito che buona parte dei punti 4-10 (contesto, leadership, informazioni documentate, audit interno, riesame della direzione, miglioramento) si può estendere invece di crearla da zero. Le lacune maggiori sono in genere quelle specifiche dell'IA: valutazione d'impatto dei sistemi di IA (6.1.4 e 8.4), ciclo di vita, dati e rapporti con terze parti.
Cosa si valuta: 27 requisiti e 38 controlli
L'autovalutazione del kit NexoDocs (AIMS-GAP-01) divide la norma in due fogli. Titoli e sintesi sono redatti da NexoDocs: la norma è citata per numero di punto e di controllo, mai copiata.
| Parte della norma | Cosa comprende | Righe nella valutazione |
|---|---|---|
| Punto 4 · Contesto | Contesto e ruoli rispetto all'IA, parti interessate, campo di applicazione, sistema di gestione | 4 |
| Punto 5 · Leadership | Impegno della direzione, politica per l'IA, ruoli e autorità | 3 |
| Punto 6 · Pianificazione | Rischi e opportunità, valutazione e trattamento dei rischi dell'IA, valutazione d'impatto, obiettivi, modifiche | 6 |
| Punto 7 · Supporto | Risorse, competenza, consapevolezza, comunicazione, informazioni documentate | 5 |
| Punto 8 · Attività operative | Controllo operativo ed esecuzione di valutazione dei rischi, trattamento e valutazione d'impatto | 4 |
| Punto 9 · Valutazione delle prestazioni | Monitoraggio e misurazione, audit interno, riesame della direzione | 3 |
| Punto 10 · Miglioramento | Miglioramento continuo, non conformità e azioni correttive | 2 |
| Allegato A (A.2-A.10) | Politiche, organizzazione interna, risorse, valutazione degli impatti, ciclo di vita, dati, informazioni per le parti interessate, uso dell'IA e terze parti | 38 controlli in 9 gruppi |
Il gruppo più ampio dell'Allegato A è il ciclo di vita dei sistemi di IA (A.6, 9 controlli), seguito da risorse (A.4) e dati (A.7) con 5 controlli ciascuno. Sono anche quelli che richiedono più tempo quando l'organizzazione sviluppa o addestra modelli propri.
Kit ISO 42001: la documentazione del vostro sistema di gestione per l'IA
30 documenti Word · 31 strumenti Excel · 38 controlli dell'Allegato A
Vedi il kit ISO 42001 in italianoCome fare la gap analysis passo dopo passo
- Definire un campo di applicazione provvisorio: quali sistemi di IA, processi e sedi rientrano. Senza, la valutazione mescola elementi che poi resteranno fuori.
- Coinvolgere chi conosce la pratica reale: responsabile del SGIA, chi sviluppa o acquista i sistemi di IA, dati, legale o compliance, sicurezza delle informazioni.
- Per ogni requisito e controllo scegliere uno dei quattro stati: attuato, parzialmente attuato, non attuato o non applicabile.
- Annotare l'evidenza attuale (documento, registrazione, strumento). Senza evidenza lo stato non è «attuato», anche se la prassi esiste a voce.
- Scrivere l'azione necessaria in una frase verificabile e assegnare un responsabile.
- Controllare il cruscotto: avanzamento per punto e per gruppo di controlli, numero di elementi non attuati e di righe non ancora valutate.
- Trasformare le lacune in attività del piano di progetto, partendo dai punti 4-6, da cui dipende tutto il resto.
Come si calcola l'avanzamento
Nel modello ogni riga riceve un punteggio in base allo stato; la percentuale di ciascun punto è la media delle sue righe:
| Stato | Punteggio | Quando usarlo |
|---|---|---|
| Attuato | 100% | Si fa, è documentato dove serve e c'è evidenza |
| Parzialmente attuato | 50% | Si fa in parte, senza documento o senza registrazioni sufficienti |
| Non attuato | 0% | Non si fa o non c'è alcuna evidenza |
| Non applicabile | Escluso dalla media | Solo per controlli dell'Allegato A esclusi con giustificazione (per esempio, l'organizzazione non sviluppa modelli) |
Esempio: se il punto 7 (5 requisiti) ha 2 righe attuate, 2 parziali e 1 non attuata, l'avanzamento è (100 + 100 + 50 + 50 + 0) / 5 = 60%. I punti 4-10 non ammettono «non applicabile»: valgono per qualunque organizzazione che punti alla certificazione. Le esclusioni dell'Allegato A si giustificano poi nella dichiarazione di applicabilità.
Cosa fare con il risultato
- Dare priorità alle dipendenze, non alla facilità: senza contesto (4.1), campo di applicazione (4.3) e politica per l'IA (5.2) non si fanno bene né la valutazione dei rischi né quella d'impatto.
- Raggruppare le lacune in pacchetti di lavoro (governance, rischi e impatti, ciclo di vita e dati, fornitori, valutazione e miglioramento) e inserirli nel piano di progetto con le date.
- Usare la valutazione come input per l'inventario dei sistemi di IA e la valutazione dei rischi, non come sostituto.
- Ripetere l'autovalutazione ogni trimestre: lo stesso file mostra l'avanzamento alla direzione senza report aggiuntivi.
- Prima dell'audit di certificazione, confrontarla con un audit interno (9.2): un'autovalutazione tende all'ottimismo.
Errori frequenti
- Segnare «attuato» perché «lo facciamo», senza evidenze.
- Usare «non applicabile» nei punti 4-10, che non ammettono esclusioni.
- Farla solo dalla compliance, senza chi progetta o acquista i sistemi di IA.
- Confondere la valutazione dei rischi dell'IA (6.1.2) con la valutazione d'impatto del sistema di IA (6.1.4): la prima guarda all'organizzazione, la seconda alle persone e ai gruppi interessati.
- Chiudere la valutazione in un cassetto: senza un piano con responsabili e scadenze non serve.
Modello: l'autovalutazione del kit ISO 42001
Il kit ISO 42001 di NexoDocs include l'autovalutazione delle lacune AIMS-GAP-01 in italiano: un file Excel senza macro con i 27 requisiti dei punti 4-10 e i 38 controlli dell'Allegato A già inseriti con sintesi proprie, menu a tendina degli stati con colori, calcolo automatico del punteggio e un cruscotto per punto e per gruppo di controlli. È collegata al piano di progetto con diagramma di Gantt (AIMS-PRJ-01), dove la gap analysis è la seconda attività, e alla guida all'implementazione dello stesso kit. Per iniziare gratis è disponibile il modello di policy aziendale sull'intelligenza artificiale.
Prossimo passo
Prova gratis o vai direttamente alla soluzione completa.
Kit ISO 42001: la documentazione del vostro sistema di gestione per l'IA
30 documenti Word · 31 strumenti Excel · 38 controlli dell'Allegato A
Vedi il kit ISO 42001 in italiano
Campione gratuito
Scarichi gratuitamente una versione ridotta della matrice dei rischi del kit (Excel, 10 scenari, mappa di calore; campione in inglese). Veda come vengono calcolati livello e categoria prima di decidere.
Scarica il campione gratuito (in inglese)Domande frequenti
Quanto dura una gap analysis ISO 42001?
Dipende dalle dimensioni e da quanti sistemi di IA rientrano nel campo di applicazione. In un'organizzazione piccola o media, con le persone giuste al tavolo, di solito bastano due o tre sessioni di lavoro e la revisione delle evidenze esistenti.
Posso riutilizzare la gap analysis ISO 27001 per la ISO 42001?
Aiuta per i punti 4-10, che hanno la stessa struttura nelle due norme, ma non copre i controlli dell'Allegato A della ISO 42001 né la valutazione d'impatto dei sistemi di IA. Conviene una valutazione dedicata all'IA.
Che differenza c'è tra gap analysis e audit interno?
La gap analysis è un'autovalutazione per pianificare, senza formato obbligatorio. L'audit interno (punto 9.2) è obbligatorio, è svolto da persone obiettive e imparziali secondo un programma definito e i suoi rilievi si registrano come non conformità od osservazioni.
Ogni quanto va ripetuta?
All'avvio del progetto e poi ogni trimestre durante l'implementazione. Con il SGIA in funzione, il monitoraggio passa a indicatori, audit interno e riesame della direzione.
Un punteggio del 100% garantisce la certificazione?
No. La certificazione la decide un organismo di certificazione dopo il proprio audit; la gap analysis è un'autovalutazione che ordina il lavoro e mostra l'avanzamento.
Guide correlate
Cos'è la ISO/IEC 42001? Il sistema di gestione per l'intelligenza artificiale
Cos'è la ISO/IEC 42001:2023, a chi si rivolge, i punti 4-10, i 38 controlli dell'Allegato A e il rapporto con ISO 27001, AI Act e legge italiana sull'IA.
Leggi la guida →Documenti obbligatori ISO 42001 (sistema di gestione per l'IA)
Le informazioni documentate richieste dalla ISO/IEC 42001:2023 per un sistema di gestione per l'IA, con il punto di ogni documento e le evidenze per l'audit.
Leggi la guida →Modello gratuito di policy aziendale per l'uso dell'IA generativa
Modello Word gratuito di policy per l'uso dell'IA generativa da parte del personale: strumenti approvati, dati ammessi, regole, responsabilità e registrazioni.
Leggi la guida →Aggiornato: 2026-10-29