Documentazione impatto IA: guida pratica ISO 42001 con esempi
Il controllo A.5.3 chiede che ogni valutazione d'impatto sui sistemi IA sia documentata, approvata e conservata come evidenza dell'AIMS. Ecco come farlo, con esempi concreti e un modello di report.
Cosa prevede il punto A.5.3
Questa guida pratica alla ISO 42001 spiega con esempi il controllo A.5.3: ogni valutazione d'impatto condotta su un sistema IA deve essere documentata in modo completo e tracciabile, con scopo, metodo, risultati e decisioni assunte, e conservata come informazione documentata del sistema di gestione.
Il controllo si applica a tutte le organizzazioni che valutano gli impatti dei propri sistemi di intelligenza artificiale. In Azienda Italiana S.p.A. riguarda il chatbot per l'assistenza clienti e lo screening automatico dei CV: ne sono responsabili l'AI Manager, il DPO e i referenti di prodotto che alimentano il report con le evidenze tecniche. Il report diventa parte delle informazioni documentate dell'AIMS e ne segue le regole di controllo, accesso e conservazione.
La documentazione impatto si collega al processo di valutazione (A.5.2), agli impatti su individui e gruppi (A.5.4) e alla gestione delle informazioni documentate (clausola 7.5). Come mostra questa guida pratica, senza un report strutturato anche una valutazione ben fatta non è dimostrabile in sede di audit interno né di certificazione.
In sintesi, la norma vuole vedere:
- Report d'impatto firmato per ogni sistema IA
- Scopo, metodo e criteri di valutazione
- Risultati e decisioni tracciati nel report
- Versionamento e conservazione del documento
- Collegamento al registro dei sistemi IA
Esempio di controllo tecnico per il punto A.5.3
Un esempio concreto: Azienda Italiana S.p.A. documenta la valutazione d'impatto del chatbot di assistenza clienti in un report strutturato (IMP-AI-03) che riporta finalità del sistema, dati trattati, categorie di utenti coinvolti, scenari di rischio analizzati, misure di mitigazione adottate ed esito finale approvato dall'AI Manager. Il documento è versionato nel sistema di gestione e richiamato nel registro dei sistemi IA: ogni modifica sostanziale al chatbot innesca così la verifica e l'aggiornamento del report.
Controllo tecnico collegato: per lo screening dei CV, la documentazione impatto è collegata al registro dei trattamenti e alla DPIA. Il report elenca criteri di ranking, dataset di addestramento e controlli sul bias, con allegata la matrice dei rischi. Come evidenzia questa guida pratica, ogni valutazione ha un codice univoco, un responsabile e una data di riesame: l'evidenza resta reperibile e verificabile anche a distanza di mesi, senza dipendere dalla memoria delle persone coinvolte.
Cosa deve contenere il report d'impatto
| Elemento | Esempio per il chatbot |
|---|---|
| Identificazione sistema | Codice, versione e finalità del sistema IA valutato |
| Scopo e criteri | Perimetro della valutazione e criteri di accettazione |
| Risultati | Impatti rilevati su individui, gruppi e società |
| Decisioni | Misure di mitigazione adottate e approvazione finale |
| Tracciabilità | Versione, data, responsabile e data di riesame |
Una tabella come questa, compilata per ciascun sistema IA, è l'evidenza che l'auditor si aspetta di trovare consultabile in pochi minuti: la documentazione impatto deve essere completa ma leggibile.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.5.3
Estratto del modello di report che Azienda Italiana S.p.A. usa, come mostrato in questa guida pratica, per documentare la valutazione d'impatto del chatbot di assistenza clienti: struttura, contenuti minimi e regole di riesame.
Report di valutazione d'impatto — Chatbot assistenza clienti
Metodo
Raccolta dati dal team prodotto; interviste a customer care e DPO; analisi degli scenari d'uso; valutazione degli impatti sugli utenti; approvazione dell'AI Manager e registrazione dell'esito.
Estratto
| Voce | Contenuto documentato |
|---|---|
| Finalità del sistema | Risposte automatiche di primo livello alle richieste dei clienti |
| Dati trattati | Testo delle richieste, dati anagrafici, storico dei ticket |
| Impatti su individui | Rischio di risposte errate, opache o discriminatorie |
| Misure adottate | Supervisione umana e messaggio di trasparenza all'utente |
| Esito della valutazione | Impatto accettabile con i controlli in essere |
| Riesame | Annuale, oppure a ogni modifica sostanziale del sistema |
Ruoli e responsabilità
| Ruolo | Responsabilità |
|---|---|
| AI Manager | Redige, approva e firma il report d'impatto |
| DPO | Verifica gli aspetti privacy e il coordinamento con la DPIA |
| Referente prodotto | Fornisce evidenze tecniche su dati e comportamento del sistema |
| Qualità | Registra e conserva il documento nel sistema AIMS |
Checklist operativa
| Voce | Stato |
|---|---|
| Scopo, perimetro e criteri compilati | Completato |
| Risultati firmati dall'AI Manager | Completato |
| Report registrato e versionato nell'AIMS | Completato |
| Collegamento al registro dei sistemi IA | Da aggiornare a rev. 2 |
Esito
Valutazione documentata e approvata. Report registrato come IMP-AI-03, rev. 1; prossimo riesame fissato a febbraio 2027.
Le domande dell'audit interno sul punto A.5.3
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.5.3
Dott. Valerio Bellini
«Il mio consiglio: trattate il report d'impatto come un contratto, non come un riepilogo. Deve permettere a chi non ha fatto la valutazione di capire cosa è stato deciso e perché, senza intervistare nessuno.»
«In audit interno chiedo di vedere il report senza preavviso: se manca la documentazione impatto, o non è firmata e versionata, è quasi certamente una non conformità.»
Gli errori più comuni che incontro:
- Report assente o in bozza: Valutazione fatta ma mai formalizzata in un documento.
- Nessuna firma o approvazione: Manca l'approvazione dell'AI Manager sul report.
- Documento non versionato: Impossibile ricostruire data e autore delle revisioni.
- Scollegato dal registro IA: Il report non è richiamato nel registro dei sistemi.
- Mai riesaminato: Documento obsoleto rispetto al sistema in produzione.