Impatti su individui e gruppi: guida pratica ISO 42001 con esempi
Il controllo A.5.4 chiede di guardare oltre l'organizzazione: quali conseguenze ha il sistema di IA sulle singole persone e sui gruppi? Esempi pratici su chatbot e screening CV.
Cosa prevede il punto A.5.4
Questa guida pratica alla ISO 42001 spiega con esempi il controllo A.5.4, che richiede di valutare gli impatti su individui e gruppi di persone dei sistemi di IA: non solo le conseguenze per l'organizzazione, ma quelle concrete su utenti, candidati, dipendenti e clienti.
Il controllo si applica a ogni sistema di IA nello scope dell'AIMS: per Azienda Italiana S.p.A. riguarda il chatbot di assistenza clienti, che può influire sull'accesso al servizio, e lo screening CV con IA, che può incidere sulle opportunità di lavoro dei candidati, con effetti diversi per gruppi specifici: la norma chiede che questi effetti siano considerati in modo esplicito e tracciabile.
Gli impatti su individui e gruppi alimentano la valutazione di impatto A.5.3 (documentata in DAT-AI-04), entrano nel registro dei rischi e preparano l'analisi degli impatti sociali del controllo A.5.5: senza questa analisi puntuale, tutta la catena dei controlli A.5 perde evidenza in audit e il sistema di gestione rischia una non conformità.
In sintesi, la norma vuole vedere:
- Mappatura degli impatti per singolo e gruppo
- Categorie di persone coinvolte identificate
- Misure di mitigazione collegate al rischio
- Evidenze firmate nella scheda DAT-AI-05
- Riesame periodico degli impatti documentato
Esempio di controllo tecnico per il punto A.5.4
Primo esempio. Azienda Italiana S.p.A. valuta gli impatti su individui e gruppi per il chatbot di assistenza: per i clienti anziani o con disabilità visiva il rischio è l'esclusione dal canale digitale; l'analisi documenta l'impatto, stima probabilità e gravità e prescrive la mitigazione: trasferimento a operatore umano entro due minuti e test di accessibilità a ogni release.
Controllo tecnico collegato: per lo screening CV, l'impatto ricade sui candidati come individui e su gruppi sensibili (genere, età, provenienza). Il controllo A.5.4 si traduce in test di bias su dati sintetici, soglie di disparità definite in DAT-AI-04 e revisione umana obbligatoria prima di ogni scarto automatico, con esiti registrati nel registro AIMS.
Mappa impatti: chatbot e screening CV
| Sistema IA | Gruppo di persone | Impatto valutato |
|---|---|---|
| Chatbot assistenza | Clienti anziani | Esclusione dal canale di supporto |
| Chatbot assistenza | Persone con disabilità | Barriere di accessibilità |
| Screening CV | Candidati over 50 | Penalizzazione automatica del profilo |
| Screening CV | Neolaureati esteri | Sottostima delle competenze |
| Screening CV | Candidati con carriere discontinue | Esclusione implicita dal ranking |
La matrice è riesaminata a ogni modifica sostanziale del sistema e almeno una volta all'anno, con esito tracciato nel registro AIMS: ogni riga riporta probabilità, gravità e misura di mitigazione approvata dalla Direzione Generale.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.5.4
Questa scheda completa la guida pratica al controllo A.5.4: è il modello operativo usato da Azienda Italiana S.p.A. per valutare gli impatti su individui e gruppi di persone, pronto da adattare e allegare al registro AIMS della propria organizzazione.
Scheda valutazione impatti su individui e gruppi
Metodo
Per ogni sistema IA in scope: identificare gli individui e i gruppi di persone coinvolti, descrivere l'impatto potenziale su ciascuno, stimare probabilità e gravità con la matrice aziendale, definire le misure di mitigazione, assegnare un responsabile e riesaminare la scheda ogni anno o a ogni modifica sostanziale del sistema.
Estratto
| Sistema | Individuo/Gruppo | Impatto | Gravità |
|---|---|---|---|
| Chatbot clienti | Clienti anziani | Esclusione dal servizio | Alta |
| Chatbot clienti | Persone con disabilità | Accesso ridotto | Alta |
| Screening CV | Candidati over 50 | Scarto automatico | Media |
| Screening CV | Neolaureati esteri | Ranking penalizzato | Media |
| Chatbot clienti | Minori | Risposte non adeguate | Bassa |
Ruoli e responsabilità
| Ruolo | Responsabilità |
|---|---|
| AI Compliance Officer | Redige e aggiorna la scheda impatti |
| Owner del sistema IA | Fornisce dati d'uso e segnalazioni |
| Direzione Generale | Approva mitigazioni e budget |
Checklist operativa
| Passo | Evidenza |
|---|---|
| Identificare gruppi coinvolti | Elenco approvato in DAT-AI-05 |
| Stimare probabilità e gravità | Matrice compilata e datata |
| Definire mitigazioni | Azioni assegnate con scadenza |
Esito
Scheda approvata dalla Direzione Generale, allegata alla valutazione di impatto DAT-AI-04, pubblicata nel registro AIMS e disponibile come evidenza per l'audit interno e per la sorveglianza.
Le domande dell'audit interno sul punto A.5.4
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.5.4
Dott. Valerio Bellini
«Consiglio strategico: non trattate gli impatti su individui come un capitolo generico della valutazione A.5.3: create una scheda dedicata, con gruppi nominati, mitigazioni misurabili e un riesame datato.»
«In audit interno chiedo sempre la mappa dei gruppi impattati: in audit interno, se manca questa evidenza, è quasi certamente una non conformità; verifico anche il legame con DAT-AI-04.»
Gli errori più comuni che incontro:
- Gruppi non identificati: Manca l'elenco delle persone impattate dal sistema IA
- Impatto solo organizzativo: Valutati i rischi aziendali, non quelli sulle persone
- Mitigazioni senza evidenza: Azioni dichiarate ma non assegnate né tracciate
- Scheda mai riesaminata: Nessun aggiornamento dopo modifiche del sistema IA
- Scollegata dalla valutazione: Impatti non riportati nella valutazione A.5.3