Preparazione dei dati: guida pratica ISO 42001 con esempi
La guida pratica al controllo A.7.6: come documentare pulizia, trasformazione ed etichettatura dei dataset usati per addestrare i sistemi di IA, con esempi e modelli pronti all'uso.
Cosa prevede il punto A.7.6
Questa guida pratica alla ISO 42001 spiega con esempi il controllo A.7.6 — preparazione dei dati: l'AIMS deve definire e documentare le attività di raccolta, pulizia, trasformazione, etichettatura e arricchimento dei dataset usati per addestrare, validare e testare i sistemi di intelligenza artificiale.
Il controllo si applica a ogni organizzazione che prepara dati per i propri sistemi di IA, sia internamente sia tramite fornitori: normalizzazione, gestione dei valori mancanti, anonimizzazione e labeling devono essere tracciati, riproducibili e coerenti con lo scopo dichiarato del sistema e con i criteri di qualità definiti.
Nella catena dell'Appendice A, la preparazione dei dati segue la provenienza dei dati (A.7.5) e rende operativi i criteri di qualità del dataset (A.7.4): le evidenze prodotte qui alimentano la gestione dei dati (A.7.2), la qualità dei dati per i sistemi di IA e le informazioni rese disponibili alle parti interessate (A.8).
In sintesi, la norma vuole vedere:
- Procedura di preparazione dei dati approvata
- Pipeline documentata e versionata
- Log delle trasformazioni ricostruibili
- Etichettatura con verifica di accuratezza
- Scheda di preparazione firmata per dataset
Esempio di controllo tecnico per il punto A.7.6
Esempio concreto. Per il chatbot di assistenza clienti di Azienda Italiana S.p.A., il team dati applica una pipeline documentata: anonimizzazione dei riferimenti personali nelle conversazioni storiche, deduplicazione dei ticket, normalizzazione delle formule ricorrenti e split tracciato tra training e test set. Ogni passaggio è versionato, così l'audit interno può ricostruire come un dataset grezzo è diventato il corpus effettivamente usato per il fine-tuning del modello.
Controllo tecnico collegato: per lo screening dei CV, la procedura impone controlli automatici di qualità prima dell'addestramento: rilevamento dei valori mancanti nei campi anagrafici, mascheramento dei dati sensibili e bilanciamento delle classi per ridurre i bias di genere. Le regole di trasformazione sono descritte in una scheda di preparazione allegata al dataset e firmata dal responsabile del processo.
Cosa deve documentare il controllo A.7.6
| Aspetto | Evidenza attesa |
|---|---|
| Pulizia dei dati | Regole di correzione e deduplicazione documentate |
| Trasformazione | Pipeline versionata con log delle operazioni |
| Etichettatura | Linee guida di labeling con verifiche di accuratezza |
| Arricchimento | Fonti di integrazione coerenti con lo scopo d'uso |
| Riproducibilità | Split e versioni dataset ricostruibili su richiesta |
Una preparazione dei dati non documentata rende il dataset difficilmente difendibile in audit interno e in sede di certificazione.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.7.6
Modello di procedura operativa per la preparazione dei dati destinati ai sistemi di IA di Azienda Italiana S.p.A., da adattare al contesto della propria organizzazione e alle caratteristiche dei dataset trattati.
Procedura di preparazione dei dati per i sistemi di IA
Metodo
Pipeline documentata, verificata e versionata: ogni trasformazione lascia un log ricostruibile e ogni dataset esce con una scheda firmata.
Estratto
| Fase | Attività | Evidenza |
|---|---|---|
| Ingestione | Import dai sistemi CRM e HR con controllo del formato | Log di caricamento |
| Pulizia | Deduplicazione, correzione refusi, gestione valori mancanti | Report data quality |
| Anonimizzazione | Mascheramento di dati personali e sensibili | Registro delle regole |
| Etichettatura | Labeling assistito con revisione su campione del 5% | Esito verifica etichette |
| Split e versionamento | Separazione training/validation/test con seed registrato | Manifest del dataset |
Ruoli e responsabilità
| Ruolo | Responsabilità |
|---|---|
| Responsabile Data Quality | Applica la pipeline e firma la scheda di preparazione |
| Data Protection Officer | Valida anonimizzazione e coerenza con la valutazione privacy |
| Responsabile AIMS | Verifica coerenza con scopo del sistema e criteri di qualità |
| Auditor interno | Campiona le evidenze e verifica la riproducibilità |
Checklist operativa
| Controllo | Esito richiesto |
|---|---|
| Regole di pulizia documentate e aggiornate | Sì, con revisione corrente |
| Log delle trasformazioni completi e consultabili | Sì, su ogni versione dataset |
| Dati sensibili mascherati prima del training | Sì, verificato su campione |
| Split riproducibile dal manifest | Sì, test eseguito ogni trimestre |
Esito
Dataset pronto per l'addestramento: preparazione tracciata, responsabilità firmate, evidenze archiviate nel registro AIMS.
Le domande dell'audit interno sul punto A.7.6
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.7.6
Dott. Valerio Bellini
«Il consiglio strategico: trattate la preparazione dei dati come un processo ingegneristico, non come attività artigianale del data scientist. Pipeline versionate e schede firmate fanno la differenza in verifica.»
«In audit interno chiedo sempre il manifest del dataset e la scheda di preparazione: in audit interno, se manca il log delle trasformazioni, è quasi certamente una non conformità.»
Gli errori più comuni che incontro:
- Preparazione affidata alla memoria: Nessuna procedura documentata, solo abitudini del team
- Log delle trasformazioni assenti: Impossibile ricostruire come è nato il dataset
- Etichettatura senza verifica: Labeling accettato senza controllo di accuratezza
- Dati sensibili non mascherati: Privacy by design violata già in fase di training
- Split non riproducibile: Training e test set cambiano a ogni esecuzione