Risorse per i sistemi di IA: guida pratica ISO 42001 con esempi
Il punto A.4 dell'Appendice A chiede di individuare, documentare e mantenere adeguate tutte le risorse che fanno funzionare un sistema di IA. Ecco come tradurlo in pratica, con l'esempio di Azienda Italiana S.p.A.
Cosa prevede il punto A.4
Questa guida pratica alla ISO 42001 spiega con esempi come applicare il punto A.4, dedicato alle risorse per i sistemi di IA: dalla documentazione di base ai dati, dagli strumenti alle infrastrutture informatiche, fino alle persone. L'obiettivo è dimostrare che ogni sistema dispone di ciò che serve per operare in modo sicuro e conforme.
Il punto A.4 raggruppa cinque controlli: documentazione delle risorse, risorse dati, risorse strumenti e tooling, risorse di sistema e informatiche, risorse umane. La logica è semplice: se una risorsa non è censita, con un proprietario e una verifica periodica, in audit non esiste. Vale per il dataset del chatbot come per le competenze di chi lo governa. I cinque controlli si rinforzano a vicenda: un dato ben documentato serve a poco se manca l'infrastruttura per trattarlo o la persona che sa interpretarlo.
In questa guida pratica vediamo come Azienda Italiana S.p.A. ha costruito un registro unico delle risorse per i suoi due sistemi di IA, il chatbot di assistenza clienti e lo screening dei CV: un documento snello, aggiornato a ogni cambio rilevante, che collega ogni risorsa a un responsabile e a una scadenza di verifica.
In sintesi, la norma vuole vedere:
- Registro risorse IA completo e aggiornato
- Dati: provenienza, qualità e diritti d'uso
- Tooling e infrastrutture documentate
- Competenze e formazione del personale IA
- Verifica periodica di capacità e adeguatezza
Esempio di controllo tecnico per il punto A.4
Il primo esempio di questa guida pratica riguarda il chatbot di assistenza clienti: Azienda Italiana S.p.A. mantiene un registro che elenca per ogni sistema le risorse necessarie — dataset di addestramento, licenza del modello linguistico, capacità di calcolo e ambienti di test — con un proprietario nominale per ciascuna voce. Quando cambia la versione del modello o un fornitore, il registro viene aggiornato e la modifica resta tracciata, così l'auditor può ricostruire chi ha autorizzato cosa e quando.
Controllo tecnico collegato: per lo screening dei CV, ogni nuovo dataset passa una verifica automatica che registra provenienza, data di raccolta, copertura delle categorie e presenza di dati personali; se un controllo fallisce, il dato non entra in produzione e l'evento resta nel log. La stessa logica si applica alle risorse di calcolo: l'utilizzo delle GPU è monitorato con soglie di allarme, così una saturazione che potrebbe degradare il servizio viene intercettata prima che riguardi i clienti.
Registro risorse IA: estratto operativo
| Risorsa | Sistema | Proprietario | Verifica |
|---|---|---|---|
| Dataset conversazioni clienti | Chatbot | Data Owner | Trimestrale |
| Licenza modello linguistico | Chatbot | IT Operations | Annuale |
| Cluster GPU condiviso | Entrambi | IT Operations | Mensile |
| Dataset CV anonimizzati | Screening CV | Data Owner | Trimestrale |
| Pipeline di validazione dati | Screening CV | AI Compliance Officer | Trimestrale |
Ogni riga ha un proprietario nominale e una scadenza: è la prova che le risorse sono sotto controllo e non affidate alla memoria di chi le usa ogni giorno.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.4
Esempio reale di come documentare le risorse IA: il registro unico adottato da Azienda Italiana S.p.A. per entrambi i sistemi, estratto dalla guida pratica che state leggendo.
Registro delle risorse per i sistemi di IA
Metodo
Censimento per sistema; una scheda per risorsa; proprietario nominale; verifica a scadenza fissa; aggiornamento a ogni cambio rilevante.
Estratto
| ID | Tipo risorsa | Sistema | Stato | Scadenza |
|---|---|---|---|---|
| RES-01 | Dataset dialoghi | Chatbot | Verificata | 30/06/2026 |
| RES-02 | Licenza modello | Chatbot | Verificata | 31/12/2026 |
| RES-03 | Cluster GPU | Entrambi | In verifica | 30/04/2026 |
| RES-04 | Dataset CV | Screening CV | Verificata | 30/06/2026 |
| RES-05 | Competenze team IA | Entrambi | Da pianificare | 31/05/2026 |
| RES-06 | Tool di monitoraggio | Entrambi | Verificata | 30/09/2026 |
Ruoli e responsabilità
| Ruolo | Responsabilità |
|---|---|
| AI Compliance Officer | Tiene il registro, programma le verifiche e registra gli esiti |
| Data Owner | Garantisce provenienza, qualità e diritti d'uso dei dataset |
| IT Operations | Gestisce infrastrutture, tooling, licenze e capacità di calcolo |
| Direzione Generale | Approva il registro e stanzia le risorse mancanti |
Checklist operativa
| Controllo | Esito |
|---|---|
| Ogni risorsa ha un proprietario nominale | Conforme |
| Provenienza e diritti d'uso dei dati tracciati | Conforme |
| Verifiche eseguite entro le scadenze previste | 2 scostamenti aperti |
| Registro allineato all'inventario dei sistemi IA | Conforme |
Esito
Registro coerente con l'inventario; scostamenti aperti: 2; azioni assegnate con responsabile e scadenza.
Le domande dell'audit interno sul punto A.4
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.4
Dott. Valerio Bellini
«Il mio consiglio è un registro unico, non cinque documenti separati: dati, tooling, infrastrutture e persone cambiano insieme, e solo una vista integrata mostra i colli di bottiglia prima che diventino non conformità.»
«L'auditor non si ferma all'elenco: chiede il proprietario di ogni risorsa, la data dell'ultima verifica e la prova che gli scostamenti abbiano generato un'azione correttiva.»
Gli errori più comuni che incontro:
- Risorse solo a verbale: Inventario informale, nessun documento approvato.
- Dati senza provenienza: Mancano origine e diritto d'uso dei dataset.
- Tooling non inventariato: Librerie e servizi esterni fuori dal registro.
- Competenze presunte: Nessuna evidenza di formazione del personale IA.
- Nessuna verifica periodica: Capacità e adeguatezza mai riesaminate nel tempo.