Risorse dati per l'IA: guida pratica ISO 42001 con esempi
Il controllo A.4.3 chiede di identificare e documentare le risorse dati necessarie al sistema di IA: origine, qualità, preparazione e aggiornamento. Una guida pratica con esempi reali di attuazione.
Cosa prevede il punto A.4.3
Questa guida pratica alla ISO 42001 spiega con esempi il controllo A.4.3, che chiede all'organizzazione di definire e documentare le risorse dati necessarie per sviluppare e far funzionare il sistema di IA: origine, qualità, formato, volume, sensibilità e modalità di aggiornamento di ogni dataset utilizzato, dai dati di addestramento a quelli di esercizio.
Il controllo si applica a chiunque addestra, valida o alimenta un modello con dati propri o di terze parti, indipendentemente dalla dimensione dell'azienda. Nell'esempio di Azienda Italiana S.p.A. riguarda due dataset: le conversazioni del servizio clienti usate per addestrare il chatbot e i CV storici usati per lo screening automatico delle candidature in fase di selezione del personale.
Le risorse dati si collegano alla documentazione delle risorse (A.4.2), agli strumenti (A.4.4), alla valutazione d'impatto (A.5.2) e alla gestione della qualità dei dati nel ciclo di vita (A.7.4): una scheda dataset completa e aggiornata rende tracciabile ogni decisione presa sul modello e semplifica il lavoro dell'auditor interno.
In sintesi, la norma vuole vedere:
- Registro dataset completo e aggiornato
- Schede con origine e qualità dei dati
- Criteri di rappresentatività documentati
- Evidenze di preparazione e anonimizzazione
- Owner e ciclo di aggiornamento assegnati
Esempio di controllo tecnico per il punto A.4.3
Primo esempio: per il chatbot, Azienda Italiana S.p.A. ha censito in un registro le conversazioni del servizio clienti, indicando per ciascuna fonte il periodo di riferimento, il numero di dialoghi, la lingua, i trattamenti di anonimizzazione applicati e il responsabile del dataset. Ogni dataset ha una scheda con i criteri di qualità attesi: completezza dei campi, assenza di dati personali residui, distribuzione delle categorie di richiesta e copertura dei casi d'uso previsti dal servizio. Secondo esempio: per lo screening CV l'azienda ha documentato la provenienza dei curricula storici, l'autorizzazione al trattamento, i criteri di esclusione dei dati non pertinenti (foto, dati sensibili, riferimenti anagrafici non funzionali) e la verifica di rappresentatività rispetto al mercato del lavoro attuale, per ridurre il rischio di distorsioni nella selezione.
Controllo tecnico collegato: la pipeline di preparazione dati versiona ogni trasformazione (pulizia, pseudonimizzazione, suddivisione tra addestramento e test) in modo riproducibile e tracciato, così che l'auditor possa ricostruire da quale versione del dataset deriva ogni versione del modello in produzione, senza affidarsi a ricostruzioni verbali.
Matrice delle risorse dati
| Elemento | Chatbot clienti | Screening CV |
|---|---|---|
| Origine dati | Ticket e chat 2022-2025 | CV archivio HR 2019-2025 |
| Qualità attesa | Completezza almeno 95% | Campi obbligatori compilati |
| Trattamento | Anonimizzazione automatica | Pseudonimizzazione dei candidati |
| Rappresentatività | Tutte le categorie di richiesta | Ruoli e seniority coperti |
| Verifica accessi | Solo team CX autorizzato | Solo team HR autorizzato |
| Aggiornamento | Trimestrale | Semestrale |
Nota: la matrice va riesaminata a ogni cambio di fonte dati, di finalità o di architettura del sistema di IA, e riesposta all'approvazione del responsabile AIMS.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.4.3
Modello di scheda risorse dati adottato da Azienda Italiana S.p.A. per censire, qualificare e governare i dataset dei due sistemi di IA, descritto passo passo in questa guida pratica al controllo A.4.3 dell'Appendice A.
Scheda risorse dati dei sistemi di IA
Metodo
Per ogni dataset: identificazione della fonte, valutazione della qualità, definizione dei trattamenti e delle misure di protezione, assegnazione di un owner e pianificazione degli aggiornamenti. Riesame obbligatorio a ogni variazione rilevante di fonte o finalità.
Estratto
| Campo | Chatbot clienti | Screening CV |
|---|---|---|
| ID dataset | DS-CHAT-01 | DS-CV-02 |
| Fonte | CRM assistenza clienti | Archivio HR aziendale |
| Volume | 48.000 dialoghi | 12.500 curricula |
| Sensibilità | Media (dati anonimizzati) | Alta (dati dei candidati) |
| Owner | Responsabile CX | Responsabile HR |
| Conservazione | 24 mesi, poi cancellazione | 12 mesi, poi anonimizzazione |
Ruoli e responsabilità
| Ruolo | Responsabilità |
|---|---|
| Data owner | Approva uso e aggiornamenti del dataset |
| Data engineer | Esegue preparazione e controlli di qualità |
| DPO | Verifica privacy e anonimizzazione |
| Responsabile AIMS | Mantiene il registro delle risorse dati |
Checklist operativa
| Controllo | Frequenza | Esito |
|---|---|---|
| Verifica completezza campi | A ogni importazione | Superata |
| Scansione dati personali residui | A ogni importazione | Superata |
| Test di rappresentatività | Semestrale | Pianificato |
| Riesame schede dataset | Annuale | Superato |
Esito
Tutti i dataset in uso risultano censiti, con qualità misurata, owner assegnato e ciclo di aggiornamento attivo; nessuna fonte non autorizzata né conservazione oltre i termini rilevata.
Le domande dell'audit interno sul punto A.4.3
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.4.3
Dott. Valerio Bellini
«Consiglio strategico: non trattate la scheda dataset come burocrazia: è la vostra assicurazione quando un modello si comporta male e dovete risalire alla causa.»
«In audit interno, se manca il registro delle risorse dati, è quasi certamente una non conformità. Chiedo origine, qualità e owner di ogni dataset, poi verifico un campione a caso.»
Gli errori più comuni che incontro:
- Registro dataset assente: Nessun censimento: non conformità quasi certa in audit.
- Qualità mai misurata: Schede senza metriche di completezza o accuratezza.
- Provenienza non tracciata: Dataset di terzi usati senza documentare la fonte.
- Owner non assegnato: Nessun responsabile nominato per aggiornamenti e uso.
- Schede mai riesaminate: Documenti fermi a due anni fa, fonti nel frattempo cambiate.