Obblighi di comunicazione: guida pratica ISO 42001 con esempi
Cosa comunicare, a chi e quando: come censire gli obblighi di comunicazione che riguardano i sistemi di IA e dimostrare ogni adempimento con evidenze puntuali, senza improvvisare sotto scadenza.
Cosa prevede il punto A.8.5
Questa guida pratica alla ISO 42001 spiega con esempi il controllo A.8.5 Obblighi di comunicazione: cosa significa identificare, documentare e rispettare gli adempimenti di notifica e informativa che riguardano i sistemi di IA, verso autorità, clienti, utenti e altre parti interessate, distinguendoli dalla gestione operativa degli incidenti.
Il controllo coinvolge l'intera organizzazione: il Responsabile AIMS coordina il censimento, l'ufficio legale intercetta le novità normative e contrattuali, i proprietari dei sistemi preparano i contenuti. Per Azienda Italiana S.p.A. gli obblighi riguardano sia il chatbot di assistenza clienti sia lo screening dei curricula con IA.
Gli obblighi di comunicazione si collegano al controllo A.8.4 sulla comunicazione degli incidenti, di cui raccolgono gli adempimenti verso l'esterno, e preparano il controllo A.9 sull'uso dei sistemi di IA. In questa guida pratica il filo conduttore resta la tracciabilità: ogni adempimento deve lasciare un'evidenza verificabile.
In sintesi, la norma vuole vedere:
- Registro obblighi aggiornato e completo
- Responsabile nominale per ogni obbligo
- Evidenza di ogni comunicazione inviata
- Scadenze legali e contrattuali mappate
- Riesame periodico del registro obblighi
Esempio di controllo tecnico per il punto A.8.5
Il primo passo è il censimento. Azienda Italiana S.p.A. ha raccolto in un registro unico ogni obbligo di comunicazione legato ai suoi sistemi di IA: le informative di trasparenza verso gli utenti del chatbot, la notifica degli incidenti gravi alle autorità, i report contrattuali sulle prestazioni per i clienti enterprise e l'informativa ai candidati sull'uso dell'IA nello screening dei curricula. Ogni voce riporta fonte, destinatario, scadenza, responsabile nominale ed evidenza attesa, ed è riesaminata a calendario.
Controllo tecnico collegato: nel sistema di ticket ogni obbligo ricorrente genera un'attività pianificata con promemoria al responsabile; l'invio produce un log con data, canale e destinatario, archiviato come evidenza. Per il chatbot, il banner informativo è versionato e lo screenshot pubblicato è allegato al registro.
Registro degli obblighi di comunicazione
| Adempimento | Destinatario | Frequenza | Evidenza |
|---|---|---|---|
| Informativa interazione con IA | Utenti del chatbot | Continua | Banner versionato |
| Notifica incidente grave | Autorità competente | Entro 15 giorni | Ricevuta protocollata |
| Report prestazioni chatbot | Clienti enterprise | Mensile | Email e cruscotto |
| Informativa screening CV | Candidati | A ogni candidatura | Log invio automatico |
L'auditor interno confronta il registro con le evidenze di invio: un obbligo censito senza prova di adempimento vale come non adempiuto.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.8.5
Modello semplificato del registro usato da Azienda Italiana S.p.A. per censire gli obblighi di comunicazione dei suoi sistemi di IA. È un esempio didattico di questa guida pratica, da adattare al proprio contesto.
Registro obblighi di comunicazione dei sistemi di IA
Metodo
Censimento delle fonti: leggi, regolamenti, contratti, policy interne. Mappatura in registro unico: obbligo, fonte, destinatario, scadenza, responsabile, evidenza. Assegnazione nominale, promemoria automatici, registrazione di ogni invio. Riesame semestrale e a ogni novità rilevante.
Estratto
| ID | Obbligo | Fonte | Destinatario | Scadenza |
|---|---|---|---|---|
| COM-01 | Notifica incidente grave all'autorità | Regolamento europeo IA | Autorità di mercato | Entro 15 giorni |
| COM-02 | Informativa interazione con IA | Regolamento europeo IA | Utenti chatbot | Sempre attiva |
| COM-03 | Report prestazioni e SLA | Contratto quadro clienti | Clienti enterprise | Mensile |
| COM-04 | Informativa uso IA nei colloqui | Policy privacy e contratti | Candidati | Prima del colloquio |
| COM-05 | Avviso modifiche sostanziali | Contratto fornitore | Clienti enterprise | 30 giorni prima |
Ruoli e responsabilità
| Responsabile AIMS | Mantiene il registro, assegna gli obblighi, verifica gli esiti |
| Ufficio legale | Intercetta novità normative e contrattuali, propone aggiornamenti |
| Proprietario sistema IA | Predispone i contenuti tecnici delle comunicazioni |
| Direzione Generale | Approva il registro e ne riesamina l'efficacia |
Checklist operativa
| Ogni obbligo ha fonte, scadenza e responsabile? | Verificata completezza del registro COM-AI-02 |
| L'evidenza di invio è archiviata? | Controllato il log LOG-COM-2026 su campione |
| Le novità normative sono state recepite? | Intervistato l'ufficio legale, esito positivo |
| I promemoria di scadenza funzionano? | Testato il flusso di notifica sul ticket |
Esito
Conforme. Osservazione minore: aggiornare il template COM-03 con la nuova intestazione cliente entro la prossima revisione del registro.
Le domande dell'audit interno sul punto A.8.5
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.8.5
Dott. Valerio Bellini
«Il consiglio è uno solo: non improvvisate gli adempimenti di comunicazione. Censiteli in un registro unico, con scadenza e responsabile, prima che scattino: improvvisare sotto scadenza è il modo più rapido per mancarla.»
«In audit interno, se manca il registro degli obblighi di comunicazione, è quasi certamente una non conformità: chiedo l'evidenza di ogni invio, con data e destinatario.»
Gli errori più comuni che incontro:
- Nessun registro degli obblighi: Adempimenti gestiti a memoria, senza evidenze.
- Scadenze senza responsabile: Nessun referente nominale per ogni adempimento.
- Comunicazioni non registrate: Invii senza log: adempimento non dimostrabile.
- Obblighi contrattuali dimenticati: Mappate solo le leggi, ignorate le clausole clienti.
- Registro mai aggiornato: Novità normative non recepite da oltre un anno.