Rapporti con terzi e clienti: guida pratica ISO 42001 con esempi
Il punto A.10 chiude l'Appendice A: tre controlli per assegnare le responsabilità tra le parti, qualificare i fornitori di IA e informare i clienti. Ecco come applicarli con documenti ed esempi concreti.
Cosa prevede il punto A.10
Questa guida pratica alla ISO 42001 spiega con esempi come applicare il punto A.10 dell'Appendice A, dedicato ai rapporti con terzi: fornitori di modelli e dati, clienti che utilizzano i tuoi sistemi di intelligenza artificiale e partner esterni coinvolti nel ciclo di vita dell'AIMS.
Il punto raggruppa tre controlli collegati: l'assegnazione delle responsabilità tra le parti, la gestione dei fornitori e la gestione dei clienti. Per Azienda Italiana S.p.A. significa da un lato presidiare il vendor che fornisce il chatbot di assistenza clienti, dall'altro informare e tutelare le aziende che usano il suo sistema di screening dei CV.
In questa guida pratica trovi il testo parafrasato dei tre controlli, una matrice delle responsabilità tra le parti, un documento di esempio pronto da adattare, le domande che l'auditor pone con le risposte attese e gli errori più frequenti da evitare in fase di certificazione.
In sintesi, la norma vuole vedere:
- Responsabilità tra le parti documentate
- Registro fornitori IA con valutazione
- Clausole IA nei contratti in vigore
- Informativa clienti sull'uso dell'IA
- Prove di monitoraggio e riesame annuale
Esempio di controllo tecnico per il punto A.10
Il primo controllo chiede che le responsabilità tra l'organizzazione e le parti terze siano definite, documentate e condivise prima di mettere in esercizio un sistema di IA. Un controllo tecnico efficace è il registro dei fornitori IA con valutazione del rischio: per ogni vendor si registrano dati trattati, dipendenza operativa, clausole su incidenti e subfornitori e diritto di audit. Azienda Italiana S.p.A. lo usa per classificare il fornitore del chatbot come critico e imporre la notifica degli incidenti entro 24 ore.
Controllo tecnico collegato: il portale clienti del sistema di screening CV con accessi segregati. Ogni azienda cliente dispone di credenziali dedicate, vede solo i propri dati e riceve l'informativa sull'uso dell'IA, mentre i log di accesso dimostrano in audit chi ha fatto cosa e quando. È l'esecuzione ripetuta a ogni rinnovo che questa guida pratica ti invita a presidiare.
Matrice delle responsabilità tra le parti
| Ambito | Fornitore IA | Azienda Italiana | Cliente |
|---|---|---|---|
| Dati di addestramento | Garantisce licenza e qualità | Verifica idoneità e bias | Fornisce solo dati autorizzati |
| Sicurezza del modello | Patch e hardening | Monitoraggio e test | Segnala anomalie d'uso |
| Gestione incidenti | Notifica entro 24 ore | Coordina e comunica | Collabora alle indagini |
| Uso conforme | Documenta i limiti | Supervisione umana | Rispetta le condizioni d'uso |
| Conformità normativa | Supporta l'audit | Responsabile dell'AIMS | Usa l'IA secondo legge |
Nota: la matrice va allegata ai contratti e riesaminata a ogni rinnovo o cambio di versione del modello: è la prova che le responsabilità verso terzi e clienti non sono date per scontate.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.10
Questa guida pratica propone l'estratto della procedura con cui Azienda Italiana S.p.A. governa fornitori e clienti dei suoi sistemi di IA. Adattala al tuo contesto mantenendo la struttura.
Procedura di gestione dei rapporti con terzi e clienti
Metodo
Censimento dei terzi → classificazione fornitore/cliente/partner → valutazione del rischio IA → contratto con clausole dedicate → monitoraggio semestrale → riesame annuale.
Estratto
| Sezione | Contenuto |
|---|---|
| 1. Scopo | Definire come selezionare, contrattualizzare e monitorare i terzi dei sistemi di IA. |
| 2. Responsabilità tra le parti | Ogni accordo indica chi risponde di dati, modello, incidenti e uso finale. |
| 3. Fornitori | Qualifica iniziale, clausole IA, valutazione semestrale delle prestazioni. |
| 4. Clienti | Informativa sull'IA, condizioni d'uso, canale di segnalazione dedicato. |
| 5. Incidenti | Notifica dal fornitore in 24 ore, comunicazione ai clienti impattati in 72 ore. |
| 6. Riesame | Revisione annuale di contratti, registro e matrice delle responsabilità. |
Ruoli e responsabilità
| Ruolo | Responsabilità |
|---|---|
| AI Compliance Officer | Tiene registro e matrice, coordina gli audit sui fornitori. |
| IT Security Manager | Verifica i requisiti tecnici di vendor e portale clienti. |
| Ufficio Legale | Negozia le clausole contrattuali e le informative. |
| Direzione Generale | Approva i fornitori critici e i riesami annuali. |
Checklist operativa
| # | Attività | Evidenza |
|---|---|---|
| 1 | Fornitore qualificato e valutato | Scheda di valutazione in REG-AI-05 |
| 2 | Contratto con clausole IA firmato | Bozza depositata con MOD-AI-12 |
| 3 | Cliente informato sull'uso dell'IA | Informativa INF-AI-08 accettata |
| 4 | Test di notifica incidente eseguito | Verbale dell'esercitazione annuale |
Esito
Fornitori qualificati al 100%, contratti aggiornati, clienti informati: nessuna responsabilità verso i terzi resta non assegnata.
Le domande dell'audit interno sul punto A.10
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.10
Dott. Valerio Bellini
«Consiglio strategico: non trattare A.10 come burocrazia contrattuale: la matrice delle responsabilità è il documento che l'auditor apre per primo, perché rivela se sai davvero chi fa cosa.»
«L'auditor chiede sempre un caso concreto: portagli il contratto del vendor del chatbot e l'informativa accettata da un cliente dello screening CV.» — Dott. Valerio Bellini
Gli errori più comuni che incontro:
- Nessuna clausola IA nei contratti: Il fornitore opera senza vincoli documentati.
- Responsabilità non assegnate: In caso di incidente nessuno sa chi interviene.
- Clienti non informati: Manca l'informativa sull'uso dell'IA nel servizio.
- Valutazione mai aggiornata: Il vendor è qualificato una volta e mai rivisto.
- Solo due diligence privacy: Il fornitore è valutato per il GDPR, non per l'IA.