Processi ciclo di vita IA: guida pratica ISO 42001 con esempi
Imparerai cosa richiede il controllo A.6.1.3 sui processi per il ciclo di vita del sistema di IA, come documentare fasi, gate e responsabilità — dall'ideazione al ritiro — e come collegare le evidenze all'AIMS.
Cosa prevede il punto A.6.1.3
Questa guida pratica alla ISO 42001 spiega con esempi il controllo A.6.1.3: definire e documentare i processi per il ciclo di vita del sistema di IA, dalle fasi di progettazione allo sviluppo, alla verifica, all'esercizio e al ritiro, con responsabilità chiare per ogni passaggio.
Il controllo si applica a ogni organizzazione che progetta, sviluppa o mette in esercizio sistemi di IA: i processi del ciclo di vita devono coprire tutte le fasi, prevedere criteri di passaggio (gate) tra una fase e la successiva e produrre evidenze tracciabili e conservate nel sistema di gestione.
Vedrai come Azienda Italiana S.p.A. documenta i processi del ciclo di vita per il chatbot di assistenza clienti e lo screening dei CV, il collegamento con gli obiettivi di sviluppo responsabile (A.6.1.2) e con requisiti e specifiche (A.6.2.2), e la procedura PRC-AI-11 proposta come documento tipo di questa guida pratica.
In sintesi, la norma vuole vedere:
- Processi del ciclo di vita documentati
- Fasi e gate con criteri di passaggio
- Ruoli e responsabilità per ogni fase
- Evidenze del ciclo di vita conservate
- Procedura ciclo di vita riesaminata
Esempio di controllo tecnico per il punto A.6.1.3
Per il chatbot di assistenza clienti, Azienda Italiana S.p.A. ha mappato l'intero ciclo di vita in una procedura: ogni fase — ideazione, progettazione, sviluppo, verifica, rilascio, esercizio e ritiro — ha un responsabile nominato, gli input richiesti e i criteri di completamento. Il passaggio alla fase successiva è consentito solo con l'approvazione registrata del gate, come mostra questa guida pratica.
Controllo tecnico collegato: nel sistema di gestione del codice, ogni fase del ciclo di vita è un flusso configurato: lo sviluppo del modello di screening CV non passa al collaudo se nel repository mancano la scheda obiettivi approvata e il piano di verifica; il rilascio in produzione richiede la firma elettronica del responsabile AI Governance.
Esempio: fasi e gate del ciclo di vita del chatbot clienti
| Fase | Processo | Criterio di passaggio (gate) |
|---|---|---|
| Ideazione | Analisi di fattibilità e impatto | Valutazione d'impatto approvata |
| Progettazione | Architettura, dati e specifiche | Specifiche e piano dati approvati |
| Sviluppo | Training e documentazione | Fascicolo di sviluppo completo |
| Verifica | Test sui criteri di accettazione | Rapporto V&V con esito positivo |
| Esercizio | Rilascio controllato e monitoraggio | Firma del responsabile e log attivi |
In audit interno la catena dei gate è la prima evidenza richiesta: dimostra che il ciclo di vita è un processo reale e non una descrizione teorica. Le scadenze dei gate sono fissate nel calendario AIMS.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.6.1.3
Procedura di Azienda Italiana S.p.A. che definisce i processi del ciclo di vita dei sistemi di IA (chatbot assistenza clienti e screening CV): il documento tipo di questa guida pratica.
Procedura dei processi per il ciclo di vita dei sistemi di IA
Metodo
Mappare le fasi del ciclo di vita di ogni sistema; assegnare a ogni fase responsabile, input e criteri di completamento; istituire gate approvati tra le fasi; registrare ogni passaggio nel registro REG-AI-06; riesaminare i processi una volta l'anno e a ogni modifica sostanziale del sistema.
Estratto
| Sistema | Fase | Processo | Gate | Evidenza |
|---|---|---|---|---|
| Chatbot clienti | Ideazione | Analisi fattibilità | G1 impatto approvato | Scheda G1-2026-02 |
| Chatbot clienti | Sviluppo | Training e test | G3 V&V positiva | Rapporto V&V rev. 2 |
| Chatbot clienti | Esercizio | Monitoraggio | G4 rilascio firmato | REG-AI-06 |
| Screening CV | Progettazione | Specifiche e dati | G2 specifiche approvate | REQ-CV-04 |
| Screening CV | Ritiro | Dismissione dati e modello | G5 ritiro approvato | Verbale RIT-2026-01 |
Ruoli e responsabilità
| Ruolo | Responsabilità | Sostituto |
|---|---|---|
| Responsabile AI Governance | Approva i gate e il riesame dei processi | Data Protection Officer |
| Team di sviluppo | Documenta ogni fase del ciclo di vita | Tech lead |
| Operations | Gestisce rilascio, monitoraggio e ritiro | System administrator |
Checklist operativa
| Passo | Azione | Evidenza |
|---|---|---|
| 1 | Mappare fasi e gate nel registro | REG-AI-06 aggiornato |
| 2 | Assegnare responsabile e criteri di fase | Matrice ruoli firmata |
| 3 | Registrare l'approvazione di ogni gate | Firma nel flusso di lavoro |
Esito
Ciclo di vita tracciato end-to-end; ogni fase produce evidenze datate; i gate bloccano i passaggi non autorizzati; la procedura è riesaminata entro maggio 2027.
Le domande dell'audit interno sul punto A.6.1.3
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.6.1.3
Dott. Valerio Bellini
«Il consiglio è strategico: disegnate i gate prima di scrivere una riga di codice. Un ciclo di vita con gate reali rende l'audit interno una formalità e dimostra processi vissuti, non descritti.»
«In audit interno chiedo il registro dei gate e ricostruisco la storia del sistema: in audit interno, se manca l'approvazione registrata di un gate, è quasi certamente una non conformità.»
Gli errori più comuni che incontro:
- Processi descritti ma non applicati: Le fasi dichiarate devono lasciare evidenze reali.
- Gate senza criteri di passaggio: Ogni gate serve solo con criteri misurabili.
- Nessun processo per il ritiro: Anche la fine vita va documentata e approvata.
- Responsabili di fase non nominati: Ogni fase richiede un responsabile identificato.
- Procedura mai riesaminata: Il riesame annuale è parte del controllo stesso.