Ciclo di vita dell'IA: guida pratica ISO 42001 con esempi
Imparerai cosa copre la categoria A.6 dell'Annex A, come documentare ogni fase del ciclo di vita del sistema di IA — da obiettivi e requisiti a deployment, monitoraggio e registrazione degli eventi — e come collegare le evidenze all'AIMS.
Cosa prevede il punto A.6
Questa guida pratica alla ISO 42001 spiega con esempi la categoria A.6 dell'Annex A: i nove controlli che presidiano l'intero ciclo di vita del sistema di IA, dagli obiettivi di sviluppo responsabile alla registrazione degli eventi durante l'esercizio.
La categoria copre in sequenza: obiettivi di sviluppo responsabile, requisiti e specifiche, documentazione di progettazione e sviluppo, verifica e validazione, deployment, funzionamento e monitoraggio, documentazione tecnica e registrazione degli eventi: ogni fase deve lasciare evidenze misurabili e riconducibili a un responsabile.
Vedrai come Azienda Italiana S.p.A. applica il ciclo di vita del sistema di IA al chatbot di assistenza clienti e allo screening dei CV, con la procedura PRC-AI-08 come documento tipo, le domande tipiche dell'auditor e gli errori più frequenti riscontrati in certificazione. La procedura mostra anche come collegare le fasi al registro dei rischi e alla valutazione d'impatto del punto A.5.
In sintesi, la norma vuole vedere:
- Obiettivi di sviluppo responsabile definiti
- Requisiti e specifiche documentati
- Verifica e validazione con criteri di esito
- Deployment e monitoraggio tracciati
- Eventi e log registrati e conservati
Esempio di controllo tecnico per il punto A.6
Per il chatbot di assistenza clienti, Azienda Italiana S.p.A. apre ogni progetto con la scheda degli obiettivi di sviluppo responsabile: accuratezza minima sulle risposte, limiti ai temi trattabili, obbligo di escalation a operatore. I requisiti diventano specifiche versionate e la verifica e validazione segue criteri di accettazione firmati prima di ogni rilascio in produzione.
Controllo tecnico collegato: in esercizio il sistema registra in modo continuo gli eventi rilevanti — decisioni, errori, override manuali — in log protetti conservati 24 mesi; il monitoraggio confronta accuratezza e drift dei dati con le soglie di allarme e apre automaticamente un ticket quando vengono superate.
Esempio: fasi del ciclo di vita del chatbot clienti
| Fase | Controllo A.6 | Evidenza prodotta |
|---|---|---|
| Obiettivi | Sviluppo responsabile | Scheda obiettivi approvata dal comitato IA |
| Requisiti | Specifiche documentate | Documento requisiti versionato con criteri di accettazione |
| Verifica | Verifica e validazione | Rapporto di test con esito e firma del responsabile |
| Deployment | Rilascio controllato | Registro versioni con piano di rollback |
| Esercizio | Monitoraggio e log | Cruscotto drift e registro eventi a 24 mesi |
Ogni fase produce un'evidenza nominale e datata: in audit la catena completa delle evidenze vale più di qualsiasi dichiarazione verbale sul processo seguito. Le scadenze sono fissate nel calendario AIMS.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.6
Procedura di Azienda Italiana S.p.A. per la gestione del ciclo di vita dei sistemi di IA (chatbot assistenza clienti e screening CV): il documento tipo di questa guida pratica.
Procedura di gestione del ciclo di vita dei sistemi di IA
Metodo
Scheda obiettivi a inizio progetto; requisiti versionati prima dello sviluppo; verifica e validazione con criteri firmati; rilascio solo con esito positivo; monitoraggio continuo e log conservati 24 mesi. Riesame del ciclo di vita a ogni modifica sostanziale del sistema. Le evidenze confluiscono nel fascicolo tecnico del sistema, aggiornato a ogni rilascio.
Estratto
| Sistema | Fase | Controllo | Evidenza | Scadenza |
|---|---|---|---|---|
| Chatbot clienti | Obiettivi | Sviluppo responsabile | Scheda OBI-2026-03 | Prima dello sviluppo |
| Chatbot clienti | Validazione | Verifica e validazione | Rapporto V&V rev. 2 | Prima del rilascio |
| Screening CV | Requisiti | Specifiche | Documento REQ-CV-04 | Prima del training |
| Screening CV | Deployment | Rilascio controllato | Registro REG-AI-05 | A ogni versione |
| Entrambi i sistemi | Esercizio | Monitoraggio e log | Cruscotto mensile | Continuo |
Ruoli e responsabilità
| Ruolo | Responsabilità | Sostituto |
|---|---|---|
| Responsabile AI Governance | Approva obiettivi, requisiti e rilasci | Data Protection Officer |
| Team di sviluppo | Documenta progettazione, test e modifiche | Tech lead |
| Operations | Gestisce deployment, monitoraggio e log | System administrator |
Checklist operativa
| Passo | Azione | Evidenza |
|---|---|---|
| 1 | Compilare la scheda obiettivi e farla approvare | Scheda firmata |
| 2 | Versionare requisiti e piano di verifica | REQ e V&V nel repository |
| 3 | Registrare rilascio, monitoraggio ed eventi | Registro e log aggiornati |
Esito
Catena di evidenze completa per entrambi i sistemi; audit interno superato senza non conformità sulla categoria A.6.
Le domande dell'audit interno sul punto A.6
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.6
Dott. Valerio Bellini
«Il consiglio è strategico: progettate il ciclo di vita come un'unica catena di evidenze, non come nove controlli separati. Se ogni fase rimanda alla precedente, l'audit diventa una verifica formale, come mostra questa guida pratica.»
«In verifica chiedo la storia di un sistema, dagli obiettivi ai log. Se manca un anello — di solito la documentazione di sviluppo — apro una non conformità.»
Gli errori più comuni che incontro:
- Scrivere il ciclo di vita dopo lo sviluppo: Obiettivi e requisiti devono precedere il lavoro.
- Validare solo le prestazioni tecniche: Servono criteri di equità, sicurezza e uso previsto.
- Deployment senza piano di rollback: Ogni rilascio deve prevedere un ritorno controllato.
- Monitorare solo i primi mesi: Il monitoraggio dura per tutta la vita del sistema.
- Log senza politica di conservazione: Senza retention i log non sono un'evidenza valida.