Provenienza dei dati: guida pratica ISO 42001 con esempi
Origine, licenza e base giuridica di ogni dataset: il controllo A.7.5 chiede una catena di custodia documentata e ricostruibile. Ecco come tracciarla per chatbot e screening CV, con evidenze pronte per l'audit interno.
Cosa prevede il punto A.7.5
Questa guida pratica alla ISO 42001 spiega con esempi il controllo A.7.5 sulla provenienza dei dati: ogni dataset usato per addestrare, validare o alimentare un sistema di IA deve avere origine, fonte, base giuridica e licenza d'uso documentate, verificabili e ricostruibili nel tempo, non affidate alla memoria del team.
Il controllo si applica a chiunque usi dati interni, acquistati, open data o generati sinteticamente. Nel caso di Azienda Italiana S.p.A. riguarda i ticket del chatbot assistenza clienti, i curricula dello screening CV e i dizionari di dominio comprati da fornitori esterni: per ciascuna fonte serve una catena di custodia registrata, dal primo ingresso alla versione finale in produzione.
La provenienza dei dati si collega ad A.7.2 (processi di gestione), A.7.3 (acquisizione) e A.7.4 (qualità): una fonte non tracciata rende inattaccabile ogni metrica di qualità. In questa guida pratica trovi requisiti parafrasati, scheda operativa, estratto documentale, domande di audit interno ed errori tipici da evitare.
In sintesi, la norma vuole vedere:
- Matrice di provenienza aggiornata
- Licenze d'uso archiviate per ogni fonte
- Base giuridica registrata e verificata
- Catena di custodia ricostruibile
- Fonti bloccate se provenienza incerta
Esempio di controllo tecnico per il punto A.7.5
Primo esempio: Azienda Italiana S.p.A. acquista un dizionario di terminologia clienti per migliorare il chatbot. Prima dell'importazione il team registra nella matrice PRV-AI-01 fornitore, numero di contratto, licenza d'uso, data di consegna, hash del file e base giuridica; ogni batch successivo eredita quei metadati e aggiunge i propri. Per lo screening CV, ogni curriculum ricevuto dai portali di recruiting porta nel record l'identificativo del consenso del candidato, così l'origine resta leggibile anche anni dopo.
Controllo tecnico collegato: la pipeline di ingestion rifiuta automaticamente i file privi di metadati di provenienza o con licenza scaduta, scrivendo il blocco nel registro REG-AI-05. Quando l'auditor interno chiede da dove arriva un dataset di validazione, la risposta è una query sul catalogo dati, non una ricerca a memoria tra e-mail e cartelle condivise.
Scheda operativa del controllo A.7.5
| Aspetto | Come lo attua Azienda Italiana S.p.A. |
|---|---|
| Cosa tracciare | Fonte, licenza, base giuridica, versione, hash del file |
| Quando registrarlo | A ogni acquisizione e a ogni nuovo batch importato |
| Dove conservarlo | Matrice PRV-AI-01 nel catalogo dati versionato |
| Chi lo fa | Data Steward registra, Data Governance Officer approva |
| Blocco tecnico | Ingestion rifiuta i dataset senza metadati completi |
Nota: la provenienza dei dati si dimostra con i metadati registrati, non con le dichiarazioni verbali. Se il catalogo non risponde, per l'auditor interno quella fonte semplicemente non esiste.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.7.5
Estratto semplificato della matrice di provenienza con cui Azienda Italiana S.p.A. traccia origine, licenze e base giuridica dei dataset usati da chatbot e screening CV.
Matrice di provenienza dei dati per i sistemi di IA
Metodo
Ogni fonte dati entra nel catalogo solo con metadati completi: origine, licenza d'uso, base giuridica, versione e hash del file consegnato. A ogni nuovo batch il Data Steward aggiorna la matrice entro 48 ore e il blocco automatico in ingestion impedisce l'uso di dataset non registrati. Le licenze attive sono riviste ogni sei mesi, con alert a 60 giorni dalla scadenza.
Estratto
| Dataset | Fonte e licenza | Stato |
|---|---|---|
| Ticket chatbot Q1-2026 | CRM interno, uso interno autorizzato | Verificata |
| CV portale recruiting | Consenso candidato, base giuridica GDPR | Verificata |
| Dizionario terminologia clienti | Fornitore LexData S.r.l., contratto 2026-114 | In scadenza 12/2026 |
| FAQ sito web aziendale | Contenuto pubblico di proprietà | Verificata |
| Dataset validazione screening CV | Campione storico anonimizzato | In riesame |
Ruoli e responsabilità
| Ruolo | Responsabilità |
|---|---|
| Data Governance Officer | Approva nuove fonti, licenze e basi giuridiche |
| Data Steward | Registra i metadati e aggiorna la matrice entro 48 ore |
| ML Engineer | Verifica hash e versione a ogni ingestion |
| Responsabile AIMS | Porta scostamenti e fonti bloccate in riesame |
Checklist operativa
| Verifica | Frequenza |
|---|---|
| Licenza archiviata e ancora valida | A ogni acquisizione |
| Base giuridica registrata nel record del dataset | A ogni nuovo batch |
| Hash del file coerente con la consegna | A ogni importazione |
| Revisione di tutte le fonti attive | Semestrale |
Esito
Nessun dataset entra in produzione senza provenienza documentata. Nel 2026 due fonti esterne sono state bloccate per licenza non rinnovata, senza alcun impatto sui modelli in esercizio.
Le domande dell'audit interno sul punto A.7.5
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.7.5
Dott. Valerio Bellini
«Il consiglio strategico è uno: la provenienza si registra quando il dato entra, non quando l'auditor la chiede. Ricostruirla dopo, tra e-mail e memoria, costa dieci volte tanto e non convince.»
«In audit interno, se manca la matrice di provenienza aggiornata, è quasi certamente una non conformità. Per questo chiedo di aprire PRV-AI-01 su un dataset scelto da me, non preparato in anticipo.»
Gli errori più comuni che incontro:
- Provenienza affidata alla memoria: Origine nota al team ma mai registrata in PRV-AI-01
- Licenze d'uso mai archiviate: Contratti dispersi in e-mail, senza scadenze
- Batch importati senza metadati: File copiati a mano, ingestion senza blocco
- Base giuridica non verificata: Consensi mancanti sui curricula dello screening
- Matrice compilata solo pre-audit: Aggiornamenti fatti la settimana prima dell'audit