Politica per l'IA (A.2.2): guida pratica ISO 42001 con esempi
La politica per l'IA è il documento fondativo dell'AIMS: fissa intenti, principi e divieti sull'uso dell'intelligenza artificiale. Qui trovi come scriverla, farla approvare e dimostrarne l'attuazione in audit.
Cosa prevede il punto A.2.2
Questa guida pratica alla ISO 42001 spiega con esempi il controllo A.2.2, che richiede all'organizzazione di definire, documentare e mantenere una politica per l'IA: un documento approvato dalla direzione che fissa intenti, principi, criteri di accettabilità e responsabilità nell'uso dei sistemi di intelligenza artificiale.
Il controllo si applica a qualsiasi organizzazione che sviluppi, fornisca o utilizzi sistemi di IA: dalla PMI che impiega un chatbot per l'assistenza clienti all'azienda che usa algoritmi per lo screening dei CV. La politica per l'IA deve essere accessibile al personale, compresa da chi la applica e riesaminata con cadenza definita.
La politica per l'IA è il cardine dell'AIMS: orienta gli obiettivi per l'IA (A.4), la valutazione dei rischi e dei controlli operativi, e deve restare coerente con le altre politiche aziendali come richiesto dal controllo A.2.3. È inoltre il primo riferimento che un auditor interno consulta per valutare la conformità del sistema di gestione.
In sintesi, la norma vuole vedere:
- Politica per l'IA approvata dalla direzione
- Documento versionato, datato e accessibile
- Principi e criteri di uso accettabile IA
- Ruoli e responsabilità AIMS assegnati
- Riesame periodico con evidenze registrate
Esempio di controllo tecnico per il punto A.2.2
Un esempio concreto: Azienda Italiana S.p.A. redige la propria politica per l'IA in poche pagine, dichiarando lo scopo (uso responsabile dell'IA nel chatbot per l'assistenza clienti e nello screening dei CV), i principi guida (equità, trasparenza, supervisione umana, protezione dei dati) e i divieti espliciti, come il divieto di decisioni automatizzate sui candidati senza revisione umana. La Direzione Generale approva il documento con verbale, lo pubblica sulla intranet e lo presenta in una formazione obbligatoria di cui restano registrate le presenze.
Controllo tecnico collegato: la stessa azienda traduce la politica in regole tecniche verificabili: il chatbot mostra agli utenti un avviso che segnala l'interazione con un sistema di IA, il software di screening CV registra ogni decisione in un log revisionabile dal Responsabile AIMS e l'elenco degli strumenti di IA vietati è applicato a livello di proxy aziendale, così ogni principio dichiarato diventa un controllo osservabile. Il Responsabile AIMS verifica trimestralmente un campione di conversazioni del chatbot e di decisioni di screening, registrando gli esiti in un verbale di monitoraggio.
Politica per l'IA: contenuti minimi attesi
| Elemento | Cosa deve chiarire |
|---|---|
| Scopo | Perché l'azienda usa l'IA e in quali processi (chatbot, screening CV) |
| Principi | Equità, trasparenza, supervisione umana, protezione dei dati |
| Criteri di accettabilità | Quando un uso dell'IA è consentito e quando è vietato |
| Ruoli | Chi governa l'AIMS, chi approva, chi monitora la conformità |
| Diffusione e riesame | Come la politica è comunicata, resa accessibile e aggiornata |
Nota: la politica per l'IA non è una dichiarazione di intenti generica. In audit interno deve risultare approvata dalla direzione, diffusa al personale, coerente con i sistemi di IA realmente in uso in azienda e riesaminata almeno una volta l'anno con evidenze conservate nel fascicolo AIMS.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.2.2
Estratto semplificato della politica per l'IA adottata da Azienda Italiana S.p.A., a supporto di questa guida pratica: struttura e contenuti replicabili.
Politica per l'Intelligenza Artificiale (AI Policy)
Metodo
Censimento dei sistemi IA in uso; raccolta dei requisiti legali e contrattuali; stesura; consultazione delle funzioni; approvazione DG; pubblicazione in intranet; formazione del personale.
Estratto
| Sezione | Contenuto |
|---|---|
| Scopo | Regolare sviluppo, acquisto e uso dei sistemi IA aziendali |
| Ambito | Chatbot assistenza clienti; screening CV; strumenti IA autorizzati |
| Principi | Supervisione umana, equità, trasparenza, tutela dei dati |
| Divieti | Decisioni automatizzate sui candidati senza revisione umana |
| Impegni | Valutazione dei rischi, monitoraggio continuo, formazione annuale |
Ruoli e responsabilità
| Ruolo | Responsabilità |
|---|---|
| Direzione Generale | Approva la politica e assegna le risorse |
| Responsabile AIMS | Redige, aggiorna e monitora l'attuazione |
| HR e Customer Care | Applicano le regole nei processi con IA |
Checklist operativa
| Passo | Evidenza attesa |
|---|---|
| Approvazione DG | Verbale firmato allegato al documento |
| Diffusione | Pubblicazione intranet e formazione registrata |
| Coerenza | Sistemi IA reali coperti dall'ambito dichiarato |
Esito
Politica in vigore e allineata al registro dei sistemi IA; evidenze archiviate nel fascicolo AIMS; nessuna lacuna emersa al riesame di direzione.
Le domande dell'audit interno sul punto A.2.2
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.2.2
Dott. Valerio Bellini
«La politica per l'IA è il primo documento che leggo: se è una pagina generica copiata da un template, il resto dell'AIMS crolla. Deve citare i sistemi IA reali e fissare divieti misurabili.»
«In audit interno chiedo approvazione firmata, prova di diffusione e coerenza col registro IA: in audit interno, se manca l'approvazione formale della politica, è quasi certamente una non conformità.»
Gli errori più comuni che incontro:
- Politica mai approvata formalmente: Manca il verbale di approvazione della direzione
- Documento generico non contestualizzato: Nessun riferimento ai sistemi IA realmente in uso
- Diffusione non dimostrabile: Nessuna evidenza di pubblicazione o formazione
- Riesame mai pianificato: Politica ferma a una prima versione datata 2024
- Ambito incoerente col registro IA: Sistemi IA attivi esclusi dall'ambito dichiarato