Responsabilità tra le parti: guida pratica ISO 42001 con esempi
Come assegnare e documentare le responsabilità tra azienda, fornitori, partner e clienti lungo il ciclo di vita dei sistemi di IA. Con esempi di matrice RACI, clausole contrattuali e checklist pronta per l'audit interno.
Cosa prevede il punto A.10.2
Questa guida pratica alla ISO 42001 spiega con esempi il controllo A.10.2, che richiede di assegnare e documentare le responsabilità tra le parti coinvolte nel ciclo di vita del sistema di IA: fornitore del modello, partner tecnologici, clienti e soggetti terzi. L'obiettivo è eliminare le zone grigie in cui nessuno risponde di sicurezza, dati e conformità. Chi utilizza IA di terzi senza chiarire i ruoli espone l'organizzazione a rischi legali e operativi.
Il controllo si applica a ogni organizzazione che sviluppa, fornisce o utilizza sistemi di IA insieme ad altri attori. Per Azienda Italiana S.p.A., che gestisce un chatbot di assistenza clienti e uno screening dei CV con IA, significa stabilire per iscritto chi risponde della qualità dei dati, della supervisione umana e della gestione degli incidenti. Il principio vale sia per l'IA acquistata sul mercato sia per i modelli sviluppati internamente con dati dei clienti.
L'assegnazione delle responsabilità si collega ai controlli su fornitori (A.10.3), sui ruoli interni (A.3) e sulla gestione degli incidenti. In questa guida pratica vediamo come tradurla in una matrice RACI condivisa, in clausole contrattuali e in evidenze pronte per l'audit interno del sistema di gestione AIMS, con gli errori più frequenti da evitare prima della certificazione.
In sintesi, la norma vuole vedere:
- Matrice responsabilità per parte approvata
- Contratti con clausole su ruoli IA
- RACI firmata da fornitori e clienti
- Registro terze parti aggiornato
- Evidenza di comunicazione ai clienti
Esempio di controllo tecnico per il punto A.10.2
Primo esempio. Per il chatbot di assistenza clienti, Azienda Italiana S.p.A. ha redatto una matrice delle responsabilità con il fornitore del modello linguistico: l'azienda risponde dei dati di addestramento e della supervisione umana, il fornitore degli aggiornamenti del modello e della sicurezza dell'infrastruttura. La matrice è allegata al contratto e riesaminata a ogni rilascio maggiore, come suggerisce questa guida pratica. Ogni variazione del fornitore o del servizio attiva un aggiornamento entro trenta giorni.
Controllo tecnico collegato: le chiavi API e gli accessi al portale del fornitore sono assegnati a ruoli nominativi, con revoca automatica alla cessazione del rapporto. Secondo esempio: nello screening dei CV, il cliente che carica i dati dei candidati riceve un'informativa che chiarisce chi decide le finalità del trattamento, chi gestisce le segnalazioni di errore del sistema e a chi spetta la decisione finale sull'esito dello screening.
Mappare le responsabilità tra le parti
| Parte | Responsabilità assegnata |
|---|---|
| Azienda (utilizzatore) | Dati, supervisione umana, reclami utenti |
| Fornitore del modello | Aggiornamenti, prestazioni, sicurezza cloud |
| Partner integratore | Configurazione, test, documentazione tecnica |
| Cliente | Correttezza dei dati inseriti, uso conforme |
| Referente AIMS interno | Coordinamento e verifica della matrice |
La guida pratica consiglia di far firmare la matrice a ogni parte e di riesaminarla almeno una volta all'anno.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.10.2
Modello di matrice delle responsabilità usato da Azienda Italiana S.p.A. per chatbot e screening CV, pronto da adattare e allegare ai contratti con fornitori e clienti.
Matrice delle responsabilità tra le parti
Metodo
Elenco delle parti coinvolte. Per ciascuna: attività, responsabilità, evidenza attesa. Riesame annuale o a ogni variazione contrattuale.
Estratto
| Attività | Azienda | Fornitore | Cliente |
|---|---|---|---|
| Qualità dati chatbot | Responsabile | Consultato | Informato |
| Aggiornamento modello | Informato | Responsabile | — |
| Supervisione umana | Responsabile | — | Consultato |
| Gestione incidenti IA | Responsabile | Supporto | Informato |
| Screening CV: finalità | Responsabile | — | Consultato |
Ruoli e responsabilità
| Ruolo | Compito |
|---|---|
| AI Compliance Manager | Tiene aggiornata la matrice e raccoglie le firme |
| Responsabile legale | Inserisce le clausole nei contratti |
| IT Manager | Gestisce accessi e revoche tecniche |
| Direzione Generale | Approva la matrice e la riesamina |
Checklist operativa
| Passo | Stato |
|---|---|
| Mappare tutte le parti per ciascun sistema IA | Fatto |
| Far firmare la matrice a ogni parte | Fatto |
| Allegare la matrice ai contratti attivi | In corso |
| Pianificare il riesame annuale | Fatto |
Esito
Matrice approvata e distribuita. Nessuna attività critica senza responsabile nominativo.
Le domande dell'audit interno sul punto A.10.2
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.10.2
Dott. Valerio Bellini
«Consiglio strategico: non trattate la matrice delle responsabilità come un adempimento cartaceo. Firmatela con fornitori e clienti e richiamatela nei contratti, altrimenti è solo carta.»
«In audit interno chiedo sempre la matrice firmata e un contratto che la richiami: in audit interno, se manca l'assegnazione documentata delle responsabilità tra le parti, è quasi certamente una non conformità.»
Gli errori più comuni che incontro:
- Matrice non firmata: La RACI esiste ma nessuna parte l'ha approvata.
- Responsabilità sovrapposte: Due parti rispondono della stessa attività critica.
- Contratti non allineati: Le clausole non richiamano la matrice approvata.
- Riesame mai eseguito: Matrice ferma alla prima versione da oltre un anno.
- Clienti non informati: Nessuna evidenza della comunicazione delle responsabilità.