AI Act e ISO 42001

Adottare l’intelligenza artificiale in modo affidabile, responsabile e conforme alle norme.

Offriamo consulenza AI Act e ISO/IEC 42001 per le imprese che sviluppano, acquistano o utilizzano sistemi di intelligenza artificiale.

Con il nostro team multidisciplinare, ti aiutiamo a capire quali obblighi ti riguardano, a mettere in ordine processi e responsabilità e a strutturare un sistema di gestione dell’IA in linea con lo standard internazionale.

AI Act e ISO/IEC 42001: due strumenti diversi

Spesso vengono citati insieme, ma hanno natura e funzione differenti.

AI Act: un obbligo di legge

Il Regolamento (UE) 2024/1689, successivamente modificato, disciplina lo sviluppo, la commercializzazione e l’utilizzo dei sistemi di intelligenza artificiale. Gli obblighi applicabili dipendono dal ruolo dell’organizzazione, dalle caratteristiche del sistema e dalla finalità per cui viene impiegato.

Verifichiamo se l’organizzazione opera come fornitore, utilizzatore del sistema sotto la propria autorità (deployer), importatore o distributore. Individuiamo quindi le disposizioni pertinenti, considerando le pratiche vietate, i sistemi ad alto rischio, gli obblighi specifici di trasparenza e le regole sui modelli di IA per finalità generali.

L’articolo 4 richiede a fornitori e deployer di adottare misure che sostengano lo sviluppo delle competenze in materia di IA del personale e delle persone che operano per loro conto. Le misure devono tenere conto delle conoscenze disponibili, del contesto d’uso e delle persone interessate.

Gli obblighi si applicano secondo un calendario progressivo. Le principali disposizioni sui sistemi ad alto rischio dell’allegato III si applicheranno dal 2 dicembre 2027; quelle sui sistemi ad alto rischio disciplinati dall’articolo 6, paragrafo 1, dal 2 agosto 2028. La consulenza distingue gli adempimenti già applicabili dalle attività di preparazione alle scadenze successive.

ISO/IEC 42001:2023: uno standard volontario

La ISO/IEC 42001 è una norma tecnica che definisce i requisiti di un sistema di gestione per l’intelligenza artificiale (AI Management System, AIMS), basato sul ciclo di miglioramento continuo PDCA (Plan-Do-Check-Act). Adottarla e ottenere la certificazione è una scelta volontaria: l’AI Act non la impone.

 

AI Act, ISO/IEC 42001 e GDPR: un sistema integrato per l’etica e la sicurezza

L’adozione di un AI Management System ben costruito e conforme alla ISO 42001 facilita l’allineamento con i requisiti dell’AI Act e con quelli del GDPR, in particolare per quanto riguarda la DPIA (Data Protection Impact Assessment), la trasparenza dei sistemi e la minimizzazione dei bias.

Questo approccio integrato consente di:

• individuare gli obblighi applicabili e valutare i rischi connessi agli impieghi dell’IA;
• presidiare la qualità dei dati e rafforzare la tracciabilità dei processi, attraverso misure proporzionate al contesto;
• sostenere trasparenza, supervisione umana e tutela dei diritti delle persone.

L’adozione o la certificazione di un sistema di gestione conforme alla ISO/IEC 42001 sostiene questo percorso, ma non dimostra automaticamente il rispetto di tutti gli obblighi dell’AI Act o del GDPR.

 

I nostri servizi di consulenza AI Act e ISO/IEC 42001

Assessment e gap analysis

Partiamo da una fotografia dell’esistente: mappiamo i sistemi di IA in uso o in sviluppo, il ruolo dell’organizzazione rispetto a ciascuno, il livello di rischio e le aree da presidiare. La gap analysis distingue con chiarezza:

• gli obblighi derivanti dall’AI Act applicabili al tuo caso;
• le eventuali lacune rispetto alla ISO/IEC 42001, se l’organizzazione valuta di adottarla.

Il risultato è un piano di azioni prioritarizzato, con misure correttive e tempi.

Governance dell’IA

Definiamo il modello di governance: ruoli e responsabilità (fornitore, deployer, referenti interni), procedure di approvazione dei nuovi sistemi, criteri di acquisto e valutazione dei fornitori, politiche d’uso e codice etico per l’IA.

AIMS: progettazione del sistema di gestione ISO/IEC 42001

Se l’organizzazione sceglie di dotarsi di un sistema di gestione dell’IA, lo progettiamo e lo implementiamo: contesto e ambito, politica per l’IA, valutazione dei rischi e degli impatti, controlli, documentazione, audit interni e riesame della direzione. Possiamo accompagnarti fino alla preparazione per l’eventuale certificazione, che resta una tua decisione.

Formazione e cultura dell’IA

Programmi formativi per dirigenti, referenti e personale operativo, calibrati su ruolo e livello di rischio dei sistemi utilizzati. La formazione sostiene l’obbligo di alfabetizzazione previsto dall’AI Act e favorisce un uso consapevole e affidabile dell’IA. Scopri i percorsi di formazione proposti da iSimply su IA e ISO 42001.

FRIA e DPIA, quando applicabili

Verifichiamo quali valutazioni d’impatto siano necessarie e affianchiamo l’organizzazione nella loro predisposizione.

La FRIA è la valutazione d’impatto sui diritti fondamentali prevista dall’articolo 27 dell’AI Act per determinate categorie di utilizzatori e specifici impieghi di sistemi ad alto rischio. La sua obbligatorietà viene verificata considerando il soggetto, il sistema, la finalità d’uso e il calendario applicabile.

La DPIA è la valutazione d’impatto sulla protezione dei dati prevista dall’articolo 35 del GDPR quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone. L’impiego dell’IA non rende automaticamente obbligatoria una DPIA.

Quando servono entrambe, coordiniamo le analisi e utilizziamo le informazioni comuni, mantenendo riconoscibili i requisiti e gli esiti di ciascuna valutazione. Il coordinamento consente di evitare duplicazioni, senza rendere le due valutazioni intercambiabili.

Supporto all’implementazione

Non ci fermiamo al documento: affianchiamo il tuo team nell’attuazione delle misure: classificazione dei sistemi, documentazione tecnica, clausole contrattuali con i fornitori, procedure di sorveglianza umana, registri e monitoraggio. Il supporto può proseguire nel tempo, con verifiche periodiche e aggiornamenti normativi.

A chi è rivolta la consulenza

• Organizzazioni che adottano strumenti di IA per i propri servizi, back office o supporto decisionale;
• Imprese che sviluppano sistemi di IA o li integrano in prodotti e processi;
• Organizzazioni che vogliono strutturare la governance dell’IA, anche in vista di una certificazione ISO/IEC 42001 volontaria.

Richiedi una consulenza

Vuoi capire quali obblighi dell’AI Act ti riguardano e se ha senso adottare un AIMS ISO/IEC 42001?
Compila il form qui sotto!