Dati per sistemi di IA: guida pratica ISO 42001 con esempi
Cinque controlli per governare i dati che alimentano i sistemi di IA: dalla gestione all'acquisizione, dalla qualità alla provenienza, fino alla preparazione. Come dimostrarli in audit con documenti e metriche concrete.
Cosa prevede il punto A.7
Questa guida pratica alla ISO 42001 spiega con esempi come applicare i cinque controlli della categoria A.7 sui dati per sistemi di IA: processi di gestione, acquisizione, qualità, provenienza e preparazione. L'obiettivo è dimostrare in audit che ogni dataset usato dal chatbot o dallo screening CV è governato, tracciato e verificato prima dell'uso.
Il caso di riferimento è Azienda Italiana S.p.A., che addestra il chatbot su storici di ticket e alimenta lo screening dei curricula con dataset interni e di terzi. Per ogni fonte servono criteri di accettazione, controlli di qualità misurabili, registrazione della provenienza e preparazione documentata, così che ogni trasformazione sia ricostruibile a posteriori.
In questa guida pratica trovi il testo dei cinque controlli, una scheda operativa, un estratto della procedura dati, le sei domande tipiche dell'auditor con le risposte attese e gli errori più frequenti. Il filo conduttore è uno: i dati per sistemi di IA non sono un asset qualsiasi, ma l'input che determina comportamento e affidabilità del modello.
In sintesi, la norma vuole vedere:
- Procedura dati documentata e applicata
- Criteri di qualità misurabili per dataset
- Provenienza tracciata per ogni fonte dati
- Preparazione e trasformazioni registrate
- Evidenze di verifica prima dell'addestramento
Esempio di controllo tecnico per il punto A.7
Primo esempio: il chatbot di Azienda Italiana S.p.A. viene riaddestrato ogni trimestre sui ticket chiusi. Il team applica un quality gate automatico che scarta le conversazioni con più del 15% di campi vuoti, duplicati o testi non in italiano, e registra quanti record sono accettati o respinti, con la motivazione. Lo stesso vale per lo screening CV: i curricula senza sezione esperienze o con date incoerenti non entrano nel training.
Controllo tecnico collegato: ogni dataset che entra nella pipeline porta con sé i metadati di provenienza — fonte, data, base giuridica, versione — salvati in un catalogo dati versionato. Quando l'auditor chiede da dove arriva un campione specifico, il team risponde in pochi minuti mostrando la catena di tracciamento completa.
I cinque controlli A.7 sui dati
| Controllo | Cosa chiede | Evidenza in audit |
|---|---|---|
| A.7.2 Processi di gestione | Regole documentate per tutto il ciclo di vita del dato | Procedura DAT-AI-07 approvata e applicata |
| A.7.3 Acquisizione | Criteri di selezione e accettazione delle fonti | Valutazione fornitori dati e basi giuridiche |
| A.7.4 Qualità | Metriche di completezza, accuratezza, coerenza | Report QLT-AI-02 con soglie e scarti |
| A.7.5 Provenienza | Tracciamento origine e licenze d'uso | Matrice PRV-AI-01 per ogni dataset |
| A.7.6 Preparazione | Pulizia, etichettatura e trasformazioni registrate | Log pipeline e versionamento dataset |
Nota: i cinque controlli si coprono a vicenda. Una procedura senza metriche di qualità, o metriche senza tracciamento della provenienza, non regge la verifica dell'auditor.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.7
Estratto semplificato della procedura con cui Azienda Italiana S.p.A. governa i dati del chatbot e dello screening CV, dalla selezione delle fonti al rilascio del dataset per l'addestramento.
Procedura di gestione dei dati per i sistemi di IA
Metodo
Ogni dataset segue un percorso a cancelli: valutazione della fonte, verifica qualità, registrazione provenienza, preparazione, rilascio. Nessun dato entra nel training senza aver superato tutti i cancelli. Ogni passaggio produce un'evidenza nel registro REG-AI-05, aggiornato dal Data Steward entro 48 ore.
Estratto
| Fase | Attività | Soglia |
|---|---|---|
| Acquisizione | Valutazione fonte e licenza d'uso | Solo fonti con base giuridica valida |
| Qualità | Controllo completezza e duplicati | Campi vuoti < 15% per record |
| Qualità | Coerenza linguistica e formato | 100% testi in italiano per il chatbot |
| Provenienza | Registrazione origine e versione | Metadati completi su ogni batch |
| Preparazione | Pulizia, anonimizzazione, etichettatura | Log trasformazioni sempre attivo |
Ruoli e responsabilità
| Ruolo | Responsabilità |
|---|---|
| Data Governance Officer | Tiene la procedura e approva le nuove fonti dati |
| Data Steward | Esegue i controlli qualità e aggiorna il registro |
| ML Engineer | Applica la preparazione e versiona i dataset |
| Responsabile AIMS | Verifica le evidenze in riesame di direzione |
Checklist operativa
| Verifica | Frequenza |
|---|---|
| Base giuridica delle fonti ancora valida | A ogni nuovo batch |
| Report qualità entro le soglie definite | A ogni riaddestramento |
| Provenienza registrata in PRV-AI-01 | A ogni acquisizione |
| Campione di record anonimizzati a regola d'arte | Mensile |
Esito
Dataset rilasciato solo con tutti i cancelli superati ed evidenze complete. In caso di scarto, il batch torna alla preparazione con motivazione registrata. Il Responsabile AIMS riceve un riepilogo trimestrale con scarti, soglie e fonti attive.
Le domande dell'audit interno sul punto A.7
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.7
Dott. Valerio Bellini
«Il consiglio strategico è uno: trattate i dati come un fornitore critico. Ogni dataset esterno va valutato e monitorato come un fornitore essenziale, perché un dato sbagliato entra nel modello e non si vede più.»
«In audit vi chiederanno: ricostruitemi la storia di un record a caso. Chi risponde in pochi minuti con catalogo e log ha già superato metà della verifica sui dati per sistemi di IA.»
Gli errori più comuni che incontro:
- Qualità dichiarata ma non misurata: Nessuna soglia numerica né report di verifica
- Provenienza solo a memoria: Origine dei dataset nota al team ma non registrata
- Preparazione senza log: Trasformazioni fatte a mano e non riproducibili
- Licenze d'uso non verificate: Dati esterni usati senza controllo della base giuridica
- Procedura scritta e ignorata: Documento esiste, ma il team lavora diversamente