Riesame politica IA: guida pratica ISO 42001 con esempi
La politica per l'IA non è un documento da scrivere una volta sola: il controllo A.2.4 richiede di riesaminarla a intervalli pianificati e a ogni cambiamento rilevante. Ecco come farlo in pratica.
Cosa prevede il punto A.2.4
Questa guida pratica alla ISO 42001 spiega con esempi il controllo A.2.4, che richiede di riesaminare la politica per l'IA a intervalli pianificati e a seguito di cambiamenti rilevanti, per verificare che resti adeguata al contesto, ai rischi e agli obblighi applicabili all'organizzazione.
Il controllo si applica a ogni organizzazione che abbia formalizzato una politica per l'IA: in Azienda Italiana S.p.A., che gestisce un chatbot per l'assistenza clienti e un sistema di screening dei curricula, il riesame della politica coinvolge la Direzione Generale, il Responsabile AIMS e le funzioni che usano i sistemi di IA.
Il riesame della politica si collega al controllo A.2.3 sull'allineamento con le altre politiche, al riesame di direzione del punto 9.3 dello standard e alla gestione delle modifiche documentali: ogni decisione presa nel riesame deve propagarsi a procedure, formazione e controlli operativi dell'Appendice A.
In sintesi, la norma vuole vedere:
- Verbale di riesame datato e approvato
- Programma annuale dei riesami definito
- Evidenza degli input al riesame
- Modifiche alla politica tracciate
- Firma della Direzione Generale
Esempio di controllo tecnico per il punto A.2.4
In Azienda Italiana S.p.A. il riesame della politica è fissato ogni gennaio, con l'approccio operativo descritto in questa guida pratica: il Responsabile AIMS raccoglie gli input — esiti degli audit interni, incidenti del chatbot, reclami sullo screening dei CV, novità normative — e li porta in una riunione dedicata con la Direzione Generale. Il verbale registra per ogni punto la decisione: conferma, modifica o integrazione. Nel riesame 2026, per esempio, è stato aggiunto l'impegno a informare i candidati dell'uso dell'IA nello screening.
Controllo tecnico collegato: a supporto del riesame, l'IT ha configurato un cruscotto che aggrega in automatico gli indicatori AIMS degli ultimi dodici mesi: tasso di escalation del chatbot, segnalazioni di bias nel ranking dei curricula ed esiti dei test periodici sui modelli. I dati arrivano al riesame già consolidati, così le decisioni sulla politica si basano su evidenze e non su percezioni.
Cosa deve contenere il riesame della politica
| Elemento | Evidenza attesa |
|---|---|
| Adeguatezza | Confronto della politica con contesto, rischi e obblighi attuali |
| Input del riesame | Audit interni, incidenti, reclami, cambi normativi e tecnologici |
| Decisioni | Conferma o modifica motivata per ciascun punto esaminato |
| Comunicazione | Diffusione della nuova revisione ai ruoli interessati |
| Registrazione | Verbale firmato, archiviato e collegato al registro documenti |
Nota: il riesame non è una rilettura formale. Come ricorda questa guida pratica, l'auditor interno cerca decisioni tracciate, input documentati e modifiche davvero recepite nei documenti operativi.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.2.4
Esempio semplificato di verbale del riesame della politica per l'IA, tratto dal sistema documentale di Azienda Italiana S.p.A.: stessa struttura usata per il riesame annuale 2026, con metodo, estratto delle decisioni, ruoli e checklist.
Verbale di riesame della politica per l'IA
Metodo
Riesame annuale pianificato a gennaio; input raccolti con scheda di pre-riesame da ogni funzione; decisione motivata per ciascun punto; aggiornamento della politica e diffusione ai ruoli.
Estratto
| Input esaminato | Esito del riesame |
|---|---|
| Audit interno AIMS 2025 | Due osservazioni sulla formazione: integrare il riferimento al punto 5 |
| Incidenti chatbot assistenza | Nessun impatto sulla politica; mantenere monitoraggio delle escalation |
| Reclamo candidato su screening CV | Aggiungere l'impegno di informativa ai candidati al punto 4 |
| AI Act e nuove linee guida | Verificata la coerenza della politica; nessuna modifica richiesta |
| Obiettivi AIMS 2026 | Politica confermata con un'integrazione; nuova revisione entro 10 giorni |
Ruoli e responsabilità
| Ruolo | Responsabilità nel riesame |
|---|---|
| Direzione Generale | Approva l'esito del riesame e le modifiche alla politica |
| Responsabile AIMS | Prepara gli input, redige il verbale, aggiorna il documento |
| HR | Porta le evidenze sullo screening dei curricula |
| Customer Care | Porta le evidenze sul chatbot e sui reclami dei clienti |
Checklist operativa
| Passo | Verifica |
|---|---|
| Convocazione | Riesame in calendario e agenda condivisa con i partecipanti |
| Input completi | Scheda di pre-riesame compilata da ogni funzione coinvolta |
| Decisioni tracciate | Verbale con esito motivato per ciascun punto dell'ordine del giorno |
| Diffusione | Nuova revisione pubblicata, comunicata e formazione aggiornata |
Esito
Politica per l'IA confermata con un'integrazione al punto 4; revisione 3 pubblicata il 25/01/2026 e comunicata a tutte le funzioni; prossimo riesame ordinario a gennaio 2027.
Le domande dell'audit interno sul punto A.2.4
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.2.4
Dott. Valerio Bellini
«Il riesame della politica è il primo controllo che apro in audit interno: se la politica è ferma alla revisione iniziale, di solito è fermo tutto il resto dell'AIMS.»
«In audit interno chiedo il verbale dell'ultimo riesame con decisioni motivate e firma della direzione: in audit interno, se manca il verbale di riesame, è quasi certamente una non conformità.»
Gli errori più comuni che incontro:
- Riesame mai svolto: Politica emessa e mai riesaminata dopo il primo anno
- Verbale senza decisioni: Riesame svolto ma nessun esito tracciato per i punti
- Nessun input documentato: Riesame fatto senza audit, incidenti o dati a supporto
- Modifiche non recepite: Decisioni prese in riesame ma politica mai aggiornata
- Direzione assente: Riesame delegato senza approvazione della direzione