Valutazione impatto IA: guida pratica ISO 42001 con esempi
Come valutare, documentare e mitigare gli impatti dei sistemi di IA su individui, gruppi e società secondo il punto A.5 dell'Annex A, con esempi su chatbot e screening CV.
Cosa prevede il punto A.5
Questa guida pratica alla ISO 42001 spiega con esempi come applicare il punto A.5 dell'Annex A, dedicato alla valutazione dell'impatto dei sistemi di IA: un controllo che chiede di misurare, prima del rilascio e durante l'esercizio, le conseguenze del sistema su individui, gruppi e società.
Vedremo i quattro controlli della categoria: il processo di valutazione dell'impatto, la documentazione e conservazione dei risultati, la valutazione degli impatti su individui e gruppi e quella degli impatti sociali. Ogni controllo è tradotto in attività concrete per Azienda Italiana S.p.A., che usa l'IA nel chatbot assistenza clienti e nello screening CV.
In fondo trovi un estratto della procedura aziendale, le domande tipiche dell'auditor e gli errori più comuni: una guida pratica alla valutazione dell'impatto utile anche in vista dell'AI Act europeo, che richiede analisi simili per i sistemi ad alto rischio.
In sintesi, la norma vuole vedere:
- Processo di valutazione documentato
- Risultati archiviati e rintracciabili
- Impatti su individui e gruppi misurati
- Impatti sociali valutati e monitorati
- Rivalutazione a ogni modifica rilevante
Esempio di controllo tecnico per il punto A.5
Il punto A.5.1 chiede di definire e seguire un processo per valutare gli impatti del sistema di IA lungo il suo ciclo di vita. Esempio: prima di aggiornare il modello del chatbot, Azienda Italiana S.p.A. compila una scheda di valutazione dell'impatto che misura accuratezza delle risposte, tasso di escalation agli operatori umani e possibili contenuti discriminatori, ripetendo la valutazione a ogni rilascio rilevante.
Controllo tecnico collegato: il punto A.5.4 chiede di considerare gli impatti sociali. Esempio: per lo screening CV, l'azienda ha analizzato se il filtro automatico potesse penalizzare categorie protette o ridurre l'accesso al lavoro per interi gruppi, attivando una revisione umana obbligatoria sulle esclusioni e un monitoraggio trimestrale dei tassi di scarto per genere ed età.
I quattro controlli della valutazione dell'impatto
| Controllo | Cosa dimostrare in audit |
|---|---|
| A.5.1 Processo di valutazione | Procedura approvata e applicata a ogni rilascio rilevante |
| A.5.2 Documentazione e conservazione | Risultati archiviati, versionati e rintracciabili |
| A.5.3 Impatti su individui e gruppi | Effetti su clienti e candidati valutati e mitigati |
| A.5.4 Impatti sociali | Conseguenze collettive considerate e monitorate |
| Evidenza trasversale | Scheda firmata dal responsabile AIMS, con data e prossima revisione |
Nota: l'auditor verifica la coerenza tra scheda compilata, decisioni prese e azioni correttive registrate.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.5
Questa guida pratica mostra la procedura di valutazione dell'impatto adottata da Azienda Italiana S.p.A.: lo stesso formato che l'auditor esaminerà per verificare l'applicazione dei controlli A.5.
Procedura di valutazione dell'impatto dei sistemi di IA
Metodo
Valutazione obbligatoria prima del go-live e a ogni modifica sostanziale. Scala di severità da 1 a 5 su persone, gruppi e società; sopra soglia 3 serve piano di mitigazione firmato. Risultati conservati cinque anni nel registro AIMS.
Estratto
| Sistema | Impatto valutato | Severità | Mitigazione |
|---|---|---|---|
| Chatbot assistenza | Risposte errate su rimborsi | 3 | Escalation umana su richieste economiche |
| Chatbot assistenza | Tono discriminatorio nelle risposte | 2 | Filtri semantici e test red team mensili |
| Screening CV | Esclusione automatica di candidati | 4 | Revisione umana obbligatoria sulle esclusioni |
| Screening CV | Bias di genere o di età | 4 | Monitoraggio trimestrale dei tassi di scarto |
| Entrambi i sistemi | Impatto sociale sull'occupazione | 3 | Ricollocamento e formazione del personale |
Ruoli e responsabilità
| Ruolo | Responsabilità |
|---|---|
| AI Risk Manager | Conduce la valutazione e aggiorna il registro |
| Data Protection Officer | Verifica ricadute su privacy e diritti delle persone |
| HR Director | Approva le mitigazioni sullo screening CV |
| Direzione Generale | Approva procedura e soglie di severità |
Checklist operativa
| Passo | Evidenza attesa |
|---|---|
| 1. Scheda compilata prima del rilascio | Modulo firmato nel registro IMP-AI-05 |
| 2. Mitigazioni definite sopra soglia | Piano con owner e scadenze |
| 3. Revisione umana sulle esclusioni CV | Log di intervento del team HR |
| 4. Rivalutazione a modifica sostanziale | Nuova revisione del documento |
Esito
Se la severità residua scende sotto soglia dopo le mitigazioni, il rilascio è autorizzato; in caso contrario il sistema resta in staging fino a una nuova valutazione dell'impatto.
Le domande dell'audit interno sul punto A.5
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.5
Dott. Valerio Bellini
«Il mio consiglio: integrate la valutazione dell'impatto nel flusso di rilascio, non in un documento a parte: così nessun aggiornamento del modello esce senza scheda firmata.»
«L'auditor vi chiederà di mostrare l'ultima valutazione eseguita e le decisioni conseguenti: preparate registro, schede e verbali. Questa guida pratica vi aiuta ad arrivare pronti.»
Gli errori più comuni che incontro:
- Valutazione solo pre-rilascio: Manca la rivalutazione alle modifiche sostanziali.
- Scheda generica uguale per tutti: Impatti non specifici del sistema valutato.
- Nessuna conservazione dei risultati: L'auditor non trova schede datate e firmate.
- Solo impatti tecnici considerati: Ignorati gli effetti su individui e società.
- Mitigazioni senza responsabili: Azioni correttive aperte senza owner né scadenza.