Processo valutazione impatto: guida pratica ISO 42001 ed esempi
Come progettare e rendere operativo il processo di valutazione dell'impatto dei sistemi di IA su individui, gruppi e società richiesto dal controllo A.5.2 dell'Annex A. Esempi su chatbot assistenza clienti e screening CV.
Cosa prevede il punto A.5.2
Questa guida pratica alla ISO 42001 spiega con esempi il controllo A.5.2, che chiede all'organizzazione di definire un processo documentato e ripetibile di valutazione dell'impatto dei sistemi di IA su individui, gruppi di individui e società, attivato prima dell'impiego e a ogni modifica rilevante.
Il controllo si applica a chiunque sviluppi o utilizzi sistemi di IA, in qualsiasi settore e dimensione. Per Azienda Italiana S.p.A. il processo di valutazione dell'impatto copre il chatbot di assistenza clienti e il sistema di screening dei CV: due casi con impatti diversi su clienti, candidati e lavoratori, gestiti con la stessa procedura ma con criteri e soglie calibrati sul contesto d'uso.
A.5.2 è il motore operativo del punto A.5: i suoi esiti alimentano la documentazione richiesta da A.5.3, il registro dei sistemi di IA (A.9.2) e il trattamento del rischio della clausola 6. Questa guida pratica mostra come costruire un processo che l'auditor possa verificare passo dopo passo.
In sintesi, la norma vuole vedere:
- Procedura del processo approvata
- Trigger e cadenza delle valutazioni
- Criteri di impatto su persone e società
- Verbali firmati per chatbot e CV
- Riesame collegato al registro dei sistemi IA
Esempio di controllo tecnico per il punto A.5.2
Esempio concreto: prima di attivare il chatbot di assistenza clienti, Azienda Italiana S.p.A. esegue la valutazione dell'impatto seguendo il processo codificato nella procedura IMP-AI-06: identifica le categorie di utenti coinvolte, stima gli effetti di risposte errate o discriminatorie, valuta le conseguenze su privacy, accessibilità e fiducia del cliente e assegna un livello di impatto su scala 1-4 che orienta le misure successive. Questa guida pratica ripercorre ogni fase così come la descrive la procedura.
Controllo tecnico collegato: per lo screening dei CV, il processo di valutazione dell'impatto prevede test di bias sui dati storici e revisione umana dei profili scartati; la stessa procedura viene riapplicata a ogni retraining del modello, con esiti registrati e confrontabili nel tempo, così da dimostrare che il processo è vivo e non un adempimento una tantum. I risultati confluiscono nel registro dei sistemi di IA e alimentano il trattamento del rischio.
Le fasi del processo di valutazione dell'impatto
| Fase del processo | Evidenza attesa in audit |
|---|---|
| Identificazione dei soggetti coinvolti | Elenco di utenti, lavoratori e categorie vulnerabili |
| Analisi degli impatti potenziali | Scheda rischi su diritti, privacy ed equità |
| Assegnazione del livello di impatto | Score documentato con criteri dichiarati |
| Definizione delle misure conseguenti | Azioni collegate al trattamento del rischio |
| Ripetizione a trigger definiti | Verbali di rivalutazione datati e firmati |
Ogni fase produce un'evidenza: il processo di valutazione dell'impatto è conforme solo se è ripercorribile dall'auditor interno, non se esiste sulla carta: una guida pratica serve proprio a rendere ogni fase verificabile.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.5.2
Estratto della procedura che codifica il processo di valutazione dell'impatto adottato da Azienda Italiana S.p.A. per i suoi due sistemi di IA: un esempio di guida pratica già pronta per l'audit interno.
Procedura del processo di valutazione dell'impatto dei sistemi di IA
Metodo
Processo in cinque fasi, applicato a ogni sistema di IA prima del go-live e a ogni modifica rilevante di modello, dati o contesto d'uso. Livello di impatto su scala 1-4, con soglia di escalation alla Direzione. Ogni valutazione produce una scheda firmata, archiviata con codice progressivo e richiamabile in audit.
Estratto
| Fase | Attività | Output |
|---|---|---|
| 1. Coinvolti | Mappa di utenti, lavoratori e categorie vulnerabili | Elenco stakeholder del sistema |
| 2. Analisi | Stima degli effetti su diritti, privacy ed equità | Scheda impatti potenziali |
| 3. Livello | Score 1-4 con criteri dichiarati | Livello di impatto motivato |
| 4. Misure | Azioni di mitigazione collegate al rischio | Piano misure approvato |
| 5. Riesame | Trigger: retraining, nuovi dati, incidenti | Verbale di rivalutazione |
Ruoli e responsabilità
| Ruolo | Responsabilità nel processo |
|---|---|
| AI Risk Manager | Conduce la valutazione e propone il livello |
| Referente di processo | Fornisce dati su utenti e contesto d'uso |
| DPO | Verifica impatti su privacy e diritti |
| Direzione Generale | Approva esiti sopra la soglia 3 |
Checklist operativa
| Passo | Verifica |
|---|---|
| 1 | Trigger di rivalutazione definiti e noti ai team |
| 2 | Scheda compilata per chatbot e screening CV |
| 3 | Livello di impatto motivato e firmato |
| 4 | Esito registrato nel registro dei sistemi IA |
Esito
Processo attivo e dimostrato: ultima valutazione del chatbot conclusa a marzo 2026 con livello 2; rivalutazione dello screening CV pianificata dopo il retraining di giugno 2026. Nessuna osservazione aperta dall'ultimo audit interno.
Le domande dell'audit interno sul punto A.5.2
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.5.2
Dott. Valerio Bellini
«Il mio consiglio strategico: codificate il processo prima di valutare il primo modello. Una valutazione improvvisata a valle del rilascio non convince nessun auditor.»
«In audit interno chiedo la procedura approvata e due verbali recenti di rivalutazione: in audit interno, se manca il processo documentato di valutazione dell'impatto, è quasi certamente una non conformità.»
Gli errori più comuni che incontro:
- Processo mai formalizzato: Valutazioni orali, senza procedura approvata.
- Una sola valutazione iniziale: Mai ripetuta dopo modifiche di modello o dati.
- Impatti sociali ignorati: Solo rischi tecnici, niente effetti su persone.
- Trigger non definiti: Nessun criterio per rieseguire la valutazione.
- Esiti scollegati dall'AIMS: Risultati non registrati né trattati nel rischio.