Requisiti e specifiche: guida pratica ISO 42001 con esempi
Imparerai a definire e documentare i requisiti e le specifiche del sistema di IA prima dello sviluppo: finalità d'uso, esigenze delle parti interessate, criteri di accettazione misurabili e tracciabilità, con la procedura tipo di Azienda Italiana S.p.A.
Cosa prevede il punto A.6.2.2
Questa guida pratica alla ISO 42001 spiega con esempi il controllo A.6.2.2, che richiede di definire e documentare i requisiti e le specifiche del sistema di IA prima dello sviluppo, partendo dalla finalità d'uso prevista e dalle esigenze delle parti interessate.
Il controllo si applica a ogni nuovo sistema di IA e a ogni modifica sostanziale di un sistema esistente, in qualunque ruolo operi l'organizzazione. Per Azienda Italiana S.p.A. riguarda il chatbot di assistenza clienti e il sistema di screening dei CV, per i quali ogni requisito ha fonte, priorità e criterio di accettazione.
I requisiti e le specifiche del sistema di IA alimentano la progettazione di A.6.2.3, la verifica e validazione di A.6.2.4 e la valutazione d'impatto di A.5: senza requisiti approvati e tracciabili, nessun test può dimostrare che il sistema faccia davvero ciò per cui è stato concepito.
In sintesi, la norma vuole vedere:
- Requisiti approvati prima dello sviluppo
- Specifiche tracciabili ai requisiti
- Finalità d'uso e utenti documentati
- Criteri di accettazione misurabili
- Riesame dei requisiti a ogni modifica
Esempio di controllo tecnico per il punto A.6.2.2
Per il chatbot di assistenza clienti, Azienda Italiana S.p.A. apre il progetto raccogliendo i requisiti da servizio clienti, ufficio legale e DPO: argomenti trattabili, accuratezza minima delle risposte, tempi di escalation a un operatore umano e limiti al trattamento dei dati personali. Ogni requisito ha identificativo, fonte, priorità e criterio di accettazione; le specifiche tecniche lo traducono in vincoli su modello, dati e integrazioni, e nulla entra in sviluppo senza approvazione formale del comitato IA.
Controllo tecnico collegato: per lo screening dei CV la specifica fissa soglie quantitative — tasso di errore sul ranking, scostamento statistico tra gruppi di candidati, spiegabilità del punteggio — verificate poi in validazione; la matrice di tracciabilità collega ogni requisito ai test che lo dimostrano, come illustra questa guida pratica.
Esempio: dal requisito alla specifica nello screening CV
| Requisito | Specifica | Criterio di accettazione |
|---|---|---|
| Finalità d'uso | Pre-filtro dei CV per ruoli junior | Perimetro dei ruoli approvato da HR |
| Accuratezza | Ranking su competenze certificate | Precision ≥ 0,90 su campione di test |
| Equità | Esclusione di dati anagrafici sensibili | Scostamento tra gruppi sotto il 5% |
| Trasparenza | Motivazione del punteggio per ogni CV | Spiegazione generata nel 100% dei casi |
| Supervisione umana | Decisione finale sempre del recruiter | Nessun esito automatico verso il candidato |
Ogni riga collega un requisito a una specifica verificabile: in audit la matrice di tracciabilità è la prima evidenza richiesta per dimostrare che le specifiche coprono tutti i requisiti approvati dal comitato IA, come mostra questa guida pratica.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.6.2.2
Procedura di Azienda Italiana S.p.A. per definire requisiti e specifiche del sistema di IA prima dello sviluppo: il documento tipo di questa guida pratica.
Procedura di definizione di requisiti e specifiche dei sistemi di IA
Metodo
Raccolta dei requisiti dalle parti interessate con modulo standard; classificazione in funzionali, di dati, prestazionali, etici e di sicurezza; traduzione in specifiche tecniche versionate; approvazione del comitato IA prima dello sviluppo; matrice di tracciabilità aggiornata fino alla validazione. Ogni modifica sostanziale riapre il ciclo dei requisiti.
Estratto
| ID | Requisito | Fonte | Specifica | Stato |
|---|---|---|---|---|
| CHAT-01 | Escalation a operatore su temi sensibili | Servizio clienti | SPC-AI-02 §3.1 | Approvato |
| CHAT-04 | Accuratezza risposte ≥ 92% | Comitato IA | SPC-AI-02 §4.2 | Approvato |
| CV-02 | Nessun uso di dati sensibili | DPO | SPC-AI-05 §2.4 | Approvato |
| CV-05 | Spiegazione del punteggio al recruiter | HR | SPC-AI-05 §5.1 | In riesame |
| CV-07 | Scostamento tra gruppi < 5% | Ufficio legale | SPC-AI-05 §5.3 | Approvato |
Ruoli e responsabilità
| Ruolo | Responsabilità | Sostituto |
|---|---|---|
| Responsabile AI Governance | Approva requisiti e specifiche | Data Protection Officer |
| Product owner del sistema | Raccoglie e mantiene i requisiti | Business analyst |
| Team di sviluppo | Redige le specifiche tecniche | Tech lead |
Checklist operativa
| Passo | Azione | Evidenza |
|---|---|---|
| 1 | Raccogliere i requisiti dalle parti interessate | Modulo MOD-AI-01 compilato |
| 2 | Classificare e prioritizzare ogni requisito | Registro requisiti rev. corrente |
| 3 | Approvare specifiche e matrice di tracciabilità | Verbale del comitato IA |
Esito
Requisiti e specifiche dei due sistemi risultano approvati, versionati e tracciati ai test: il fascicolo è pronto per la verifica e validazione di A.6.2.4 e per il prossimo audit interno.
Le domande dell'audit interno sul punto A.6.2.2
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.6.2.2
Dott. Valerio Bellini
«Il consiglio è strategico: scrivete i requisiti come se doveste difenderli uno a uno davanti a un auditor: senza un criterio di accettazione misurabile non è un requisito, è un'intenzione.»
«In audit interno, se manca la matrice di tracciabilità requisiti-test è quasi certamente una non conformità. Poi chiedo il verbale di approvazione e due requisiti verificati in validazione.»
Gli errori più comuni che incontro:
- Requisiti scritti dopo lo sviluppo: I requisiti devono precedere il lavoro tecnico.
- Requisiti senza criterio di accettazione: Ogni requisito va reso misurabile e verificabile.
- Specifiche non tracciate ai requisiti: Serve una matrice di tracciabilità aggiornata.
- Approvazione informale o mancante: Il comitato IA deve approvare con evidenza.
- Nessun riesame dopo modifiche sostanziali: Ogni modifica riapre il ciclo dei requisiti.