Ruoli e responsabilità per l'IA: guida pratica ISO 42001
Il controllo A.3.2 dell'Appendice A della ISO/IEC 42001 chiede che ruoli e responsabilità per l'IA siano definiti, assegnati e comunicati. In questa guida pratica vediamo come tradurlo in organigrammi, mansionari e deleghe, con esempi reali.
Cosa prevede il punto A.3.2
Questa guida pratica alla ISO 42001 spiega con esempi il controllo A.3.2 dell'Appendice A, che richiede di definire, assegnare e comunicare ruoli e responsabilità per l'intelligenza artificiale: chi governa i sistemi di IA, chi li sviluppa, chi ne sorveglia l'uso e chi risponde quando qualcosa non funziona come previsto.
Il controllo si applica a ogni organizzazione che usa o fornisce IA, a prescindere dalla dimensione. Una piccola azienda può attribuire più ruoli alla stessa persona, purché le responsabilità siano scritte e note; una grande impresa dovrà formalizzare deleghe, comitati e linee di escalazione tra direzione, sviluppatori, revisori e utenti dei sistemi di IA.
A.3.2 è strettamente collegato agli altri controlli della serie A.3 sull'organizzazione interna: è il ponte tra la policy AIMS e il controllo A.3.3 sulla segnalazione dei rilievi. Senza ruoli chiari, nessuno segnala, nessuno valuta, nessuno migliora il sistema di gestione.
In sintesi, la norma vuole vedere:
- Matrice ruoli-responsabilità IA approvata
- Mansionari aggiornati con i compiti IA
- Deleghe formali ai referenti dei sistemi
- Comunicazione dei ruoli a tutto il personale
- Riesame dei ruoli dopo ogni cambiamento
Esempio di controllo tecnico per il punto A.3.2
Primo esempio: Azienda Italiana S.p.A. usa un chatbot di assistenza clienti. Il controllo A.3.2 si traduce in una matrice che assegna al Responsabile AIMS la supervisione del chatbot, al team Customer Care la gestione dei reclami generati dal bot, all'IT il monitoraggio tecnico e al DPO il controllo del trattamento dei dati conversazionali. Ogni ruolo è scritto nel mansionario e comunicato con una nota interna firmata.
Controllo tecnico collegato: per lo screening dei CV con IA, l'azienda nomina un referente HR «proprietario del sistema» con delega formale: approva i cambi di modello, riesamina mensilmente gli esiti di bias e è il destinatario delle segnalazioni previste da A.3.3. La delega specifica anche il sostituto in caso di assenza, per evitare vuoti di responsabilità durante le ferie o le dimissioni.
Come attuare il controllo A.3.2
| Passo | Cosa fare in pratica |
|---|---|
| 1. Mappa i sistemi | Elenca tutti i sistemi di IA in uso (chatbot, screening CV) e le fasi del loro ciclo di vita. |
| 2. Definisci i ruoli | Crea i profili: Responsabile AIMS, proprietario del sistema, utilizzatore, revisore. |
| 3. Assegna le persone | Nomina i titolari con lettera di incarico o aggiornamento del mansionario. |
| 4. Comunica | Diffondi organigramma AIMS e matrice ruoli-responsabilità a tutti gli interessati. |
| 5. Riesamina | Aggiorna ruoli e deleghe a ogni cambio organizzativo o di sistema, almeno una volta l'anno. |
Nota: la ISO 42001 non impone un organigramma rigido: in una PMI una persona può coprire più ruoli, ma le responsabilità devono restare scritte e verificabili in audit interno.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.3.2
Esempio reale (anonimizzato) di matrice ruoli e responsabilità per l'IA, adottata da Azienda Italiana S.p.A. per chatbot assistenza clienti e screening CV.
Matrice ruoli e responsabilità per l'IA
Metodo
Workshop con Direzione, HR, IT, Customer Care e DPO: mappatura dei sistemi di IA, definizione dei profili, assegnazione nominativa e comunicazione al personale.
Estratto
| Sistema IA | Proprietario | Responsabilità chiave | Sostituto |
|---|---|---|---|
| Chatbot assistenza clienti | Resp. Customer Care | Qualità risposte, gestione reclami | Team Leader CC |
| Screening CV | Resp. Selezione HR | Approvazione modello, controllo bias | HR Manager |
| Infrastruttura modelli | IT Manager | Monitoraggio, logging, sicurezza | SysAdmin senior |
| Sorveglianza AIMS | Responsabile AIMS | Audit interni, riesame, NC | Quality Manager |
| Privacy dei dati IA | DPO | DPIA, diritti interessati | Consulente esterno |
Ruoli e responsabilità
| Ruolo | Compiti nel sistema di gestione |
|---|---|
| Responsabile AIMS | Tiene in vita il sistema, pianifica gli audit interni, riferisce alla Direzione. |
| Proprietario del sistema | Approvano modifiche, valutano rischi e impatti del proprio sistema di IA. |
| Utilizzatori | Usano l'IA secondo procedura e segnalano i rilievi come da A.3.3. |
| Revisore interno | Verifica con audit interno che ruoli e deleghe siano rispettati. |
Checklist operativa
| Verifica | Evidenza attesa |
|---|---|
| Matrice approvata e datata | Firma della Direzione Generale sul documento ORG-AI-03. |
| Mansionari aggiornati | Compiti IA presenti nelle schede di posizione HR. |
| Comunicazione avvenuta | Nota interna e verbale di consegna ai titolari. |
| Sostituti designati | Nome del sostituto per ogni ruolo critico. |
Esito
Matrice approvata in Direzione il 15/01/2026: nessun ruolo scoperto, due incompatibilità risolte. Prossimo riesame a gennaio 2027.
Le domande dell'audit interno sul punto A.3.2
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.3.2
Dott. Valerio Bellini
«Consiglio strategico: non limitatevi a un elenco di nomi: la matrice dei ruoli deve coprire tutto il ciclo di vita dell'IA e un sostituto per ogni ruolo critico.»
«In audit interno, se manca l'evidenza che i ruoli sono comunicati e compresi, è quasi certamente una non conformità. Intervisto due titolari a campione: chi non sa dire quali responsabilità ha, rivela una matrice solo sulla carta.»
Gli errori più comuni che incontro:
- Ruoli solo orali: Niente di scritto: in audit interno è non conformità sicura.
- Manca il sostituto: Ferie o dimissioni lasciano il sistema senza responsabile.
- Ruoli incompatibili: Chi sviluppa il modello non può controllarne il bias.
- Mansionari non aggiornati: Il compito IA manca nelle schede di posizione HR.
- Nessuna comunicazione: Il personale ignora chi è il referente del sistema IA.