Acquisizione dei dati: guida pratica ISO 42001 con esempi
Come documentare fonti autorizzate, consensi e criteri di ingresso dei dati in un sistema di gestione per l'IA: due esempi concreti e una procedura pronta per l'audit interno.
Cosa prevede il punto A.7.3
Questa guida pratica alla ISO 42001 spiega con esempi il controllo A.7.3, che richiede di definire e documentare come i dati vengono acquisiti per il sistema di IA: fonti autorizzate, basi giuridiche, criteri di selezione e tracciabilità di ogni batch in ingresso, prima ancora di qualsiasi trattamento. Senza queste evidenze, in audit interno la conformità del ciclo di vita dei dati non è dimostrabile.
Il controllo si applica a chiunque alimenti l'AIMS con dati interni o esterni. Azienda Italiana S.p.A. lo usa per il chatbot di assistenza clienti (ticket e chat storiche) e per lo screening dei CV (candidature dal portale HR): ogni flusso di acquisizione dei dati ha un responsabile nominale e una registrazione verificabile. Le stesse verifiche valgono per fornitori terzi e dataset acquistati.
A.7.3 eredita ruoli e inventario da A.7.2 (gestione dei dati) e prepara il terreno ad A.7.4 (qualità dei dati): un dato acquisito male non diventerà mai un dato di qualità. Per questo in audit interno è tra i primi punti verificati sul ciclo di vita dei dati. In questa pagina trovate procedura, mappa dei flussi e domande tipiche di verifica.
In sintesi, la norma vuole vedere:
- Elenco fonti autorizzate approvato
- Schede di acquisizione firmate
- Base giuridica per ogni batch
- Log dei consensi e degli scarti
- Registro batch sempre aggiornato
Esempio di controllo tecnico per il punto A.7.3
Esempio concreto: per il chatbot, Azienda Italiana S.p.A. ha approvato una procedura di acquisizione dei dati che elenca le fonti ammesse (CRM, ticket chiusi, FAQ validate), vieta l'uso di conversazioni che coinvolgono minori e impone la registrazione di ogni batch con data, responsabile e base giuridica nel registro DAT-AI-01. Prima dell'importazione il Data Owner firma una scheda di acquisizione che l'auditor interno può ritrovare in pochi minuti. La procedura copre anche i dataset di test, spesso dimenticati: stesso registro, stesse firme.
Controllo tecnico collegato: per lo screening CV, il portale HR applica un gateway di ingresso: i file ricevuti passano un controllo automatico di formato, provenienza e consenso del candidato; i CV privi di consenso vengono scartati e loggati, non cancellati in silenzio. Questa guida pratica mostra come il requisito organizzativo si traduca in un filtro reale sull'ingresso dati, con evidenze esportabili per l'audit. Gli scarti alimentano il riesame annuale delle fonti autorizzate.
Mappa dell'acquisizione dei dati in Azienda Italiana S.p.A.
| Flusso | Fonte autorizzata | Base giuridica | Evidenza |
|---|---|---|---|
| Ticket assistenza | CRM interno | Contratto e legittimo interesse | Scheda DAT-AI-05 |
| Chat storiche | Piattaforma supporto | Consenso del cliente | Log consensi |
| CV candidati | Portale HR | Consenso del candidato | Gateway HR |
| FAQ prodotto | Knowledge base interna | Uso interno autorizzato | Registro DAT-AI-01 |
Nota: ogni flusso privo di scheda di acquisizione approvata viene bloccato all'ingresso e segnalato al Data Owner entro 24 ore; l'evento resta tracciato nel registro DAT-AI-01 a supporto dell'audit interno.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.7.3
Questa guida pratica include un esempio semplificato della procedura che governa l'acquisizione dei dati per il chatbot e lo screening CV: è la prima evidenza richiesta quando si verifica il controllo A.7.3.
Procedura di acquisizione dati per i sistemi di IA
Metodo
Fonte autorizzata, verifica della base giuridica, scheda di acquisizione firmata, registrazione del batch, blocco automatico dei flussi non conformi. Ogni passaggio produce un'evidenza conservata almeno tre anni.
Estratto
| Passo | Attività | Output |
|---|---|---|
| 1 | Identificare fonte e titolare del dato | Scheda fonte |
| 2 | Verificare consenso o base giuridica | Esito verifica |
| 3 | Applicare minimizzazione ed esclusioni | Dataset filtrato |
| 4 | Registrare batch, data e responsabile | Voce di registro |
| 5 | Consegnare al controllo qualità dei dati | Handover firmato |
| 6 | Riesaminare le fonti una volta l'anno | Verbale di riesame |
Ruoli e responsabilità
| Ruolo | Responsabilità |
|---|---|
| Data Owner | Approva fonti e schede di acquisizione |
| DPO | Valida basi giuridiche e consensi |
| IT Data Engineer | Configura gateway e log di ingresso |
| AIMS Manager | Tiene il registro e segnala anomalie |
Checklist operativa
| Controllo | Stato |
|---|---|
| Fonte presente nell'elenco autorizzato | Verificato |
| Consenso tracciato per ogni candidato | Verificato |
| Schede di acquisizione archiviate e firmate | Verificato |
| Batch scartati loggati con motivazione | Verificato |
Esito
Acquisizione tracciata end-to-end: nessun dato entra nei dataset di training senza fonte, base giuridica e registrazione. Evidenze conservate tre anni e fonti riesaminate ogni anno.
Le domande dell'audit interno sul punto A.7.3
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.7.3
Dott. Valerio Bellini
«Consiglio: trattate ogni dataset come una dogana. Prima di far entrare un dato chiedete il passaporto: fonte autorizzata, consenso, scheda firmata. Se l'ingresso è libero, tutto l'AIMS eredita il rischio.»
«In audit interno chiedo sempre le schede degli ultimi tre batch importati: in audit interno, se manca la scheda di acquisizione firmata, è quasi certamente una non conformità.»
Gli errori più comuni che incontro:
- Fonti non elencate: Dati acquisiti da fonti assenti dall'elenco autorizzato.
- Consensi non tracciati: CV importati senza log del consenso nel gateway HR.
- Schede non firmate: Batch entrati senza firma del Data Owner.
- Scarti silenziosi: Dati rifiutati cancellati senza log e motivazione.
- Registro non aggiornato: Batch mancanti nel registro dataset DAT-AI-01.