Utilizzo dei sistemi di IA: guida pratica ISO 42001 con esempi
Come dimostrare in audit che i sistemi di IA vengono usati davvero in modo responsabile: processi, obiettivi di utilizzo e uso conforme a quello previsto, spiegati con il caso di Azienda Italiana S.p.A.
Cosa prevede il punto A.9
Questa guida pratica alla ISO 42001 spiega con esempi come applicare il controllo A.9 — Utilizzo di sistemi di IA: i processi per l'uso responsabile, gli obiettivi di utilizzo e l'uso conforme a quello previsto dall'organizzazione, con il caso concreto di Azienda Italiana S.p.A.
Il controllo raggruppa tre presidi collegati: definire processi documentati che disciplinano l'utilizzo dei sistemi di IA, fissare obiettivi misurabili per quell'utilizzo e verificare periodicamente che l'uso reale non si discosti da quello autorizzato. La fase di esecuzione, non la progettazione, è il cuore del requisito.
Vedremo due esempi di controllo tecnico sul chatbot di assistenza clienti e sullo screening dei CV, un estratto di procedura operativa, sei domande tipiche dell'auditor con le risposte attese e gli errori più frequenti che generano non conformità durante l'audit di certificazione. Una guida pratica pensata per chi deve attuare il controllo ogni giorno, non solo leggerlo.
In sintesi, la norma vuole vedere:
- Processi documentati per l'uso responsabile
- Obiettivi di utilizzo definiti e misurati
- Uso conforme a quello previsto e approvato
- Evidenze di monitoraggio dell'uso reale
- Deviazioni gestite con azioni correttive
Esempio di controllo tecnico per il punto A.9
Per il chatbot di assistenza clienti, Azienda Italiana S.p.A. ha attivato un cruscotto di supervisione dell'utilizzo dei sistemi di IA: ogni conversazione è registrata integralmente, gli argomenti consentiti sono gestiti tramite una lista autorizzata e ogni settimana l'AI Compliance Officer campiona il 5% delle interazioni. Se il bot risponde fuori perimetro, scatta un ticket di deviazione con analisi della causa. È il tipo di evidenza operativa che questa guida pratica consiglia di produrre in modo continuo, non solo prima dell'audit.
Controllo tecnico collegato: per lo screening dei CV, il software di recruiting consente il punteggio automatico solo sulle posizioni approvate nel registro dei casi d'uso: le funzioni non autorizzate sono disattivate a livello applicativo e un report mensile confronta le funzionalità attive con l'uso previsto, bloccando sul nascere qualsiasi utilizzo improprio.
Matrice di tracciamento dell'utilizzo dei sistemi di IA
| Controllo | Sistema | Evidenza | Frequenza |
|---|---|---|---|
| Campionatura interazioni | Chatbot clienti | Verbale campionatura | Settimanale |
| Lista argomenti consentiti | Chatbot clienti | Configurazione versionata | A ogni modifica |
| Funzioni attive vs autorizzate | Screening CV | Report di confronto | Mensile |
| Verifica uso conforme | Entrambi | Verbale USO-AI-03 | Trimestrale |
| Misura obiettivi di utilizzo | Entrambi | Cruscotto USO-AI-02 | Trimestrale |
La matrice collega ogni controllo operativo all'evidenza che l'auditor si aspetta di trovare: senza record datati, il controllo si considera non attuato.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto A.9
Estratto della procedura che disciplina l'utilizzo dei sistemi di IA in Azienda Italiana S.p.A.: metodo, ruoli e verifiche ricorrenti sull'uso reale dei due sistemi in produzione, gli stessi citati in questa guida pratica.
Procedura di utilizzo responsabile dei sistemi di IA
Metodo
Uso consentito solo nei casi autorizzati. Verifica automatica quotidiana delle configurazioni. Campionatura settimanale delle interazioni. Misura trimestrale degli obiettivi di utilizzo. Deviazioni gestite con ticket, analisi della causa e azione correttiva.
Estratto
| Ambito | Regola operativa |
|---|---|
| Casi d'uso autorizzati | Solo quelli registrati in USO-AI-02, nessuna eccezione implicita |
| Chatbot clienti | Argomenti da lista consentita, escalation a operatore, log integrale |
| Screening CV | Solo ranking di supporto: la decisione finale resta sempre umana |
| Monitoraggio | Campione del 5% delle interazioni analizzato ogni settimana |
| Deviazioni | Segnalazione entro 24 ore, ticket e azione correttiva obbligatoria |
Ruoli e responsabilità
| Ruolo | Responsabilità |
|---|---|
| Direzione Generale | Approva casi d'uso e obiettivi di utilizzo |
| AI Compliance Officer | Esegue campionature e verifiche di conformità d'uso |
| Referente di processo | Controlli quotidiani e segnalazione delle deviazioni |
| Operatori | Utilizzo del sistema solo secondo le istruzioni ricevute |
Checklist operativa
| Verifica | Esito atteso |
|---|---|
| Il caso d'uso è nel registro autorizzato? | Sì, con codice e versione |
| L'output del sistema è registrato? | Sì, log completo e conservato |
| Le deviazioni sono segnalate entro 24 ore? | Sì, con ticket aperto |
| Gli obiettivi sono misurati nel trimestre? | Sì, con indicatore e soglia |
Esito
Utilizzo tracciato e conforme a quello previsto. Deviazioni chiuse con azione correttiva. Evidenze pronte per la verifica dell'auditor.
Le domande dell'audit interno sul punto A.9
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto A.9
Dott. Valerio Bellini
«Consiglio strategico: trattate l'utilizzo dei sistemi di IA come il momento della verità dell'AIMS. Progettare bene non basta: le deviazioni nascono nell'uso quotidiano: automatizzate i controlli e rendeteli ripetibili.»
«L'auditor chiede evidenze fresche: log delle campionature, verbali di verifica e deviazioni chiuse. Chi mostra solo la procedura, senza record, incassa un rilievo.»
Gli errori più comuni che incontro:
- Uso non autorizzato tollerato: Casi d'uso reali mai confrontati con quelli approvati.
- Obiettivi solo dichiarati: Obiettivi d'uso senza indicatori né misure periodiche.
- Nessuna evidenza dell'uso reale: Procedura esistente ma log e campionature assenti.
- Deviazioni senza conseguenze: Uso improprio segnalato ma mai analizzato né corretto.
- Decisioni delegate all'IA: Screening CV con esito automatico, senza revisione umana.