Competenze IA: guida pratica ISO 42001 con esempi
Il punto 7.2 chiede di stabilire quali competenze servono per i ruoli che influenzano l'AIMS, di assicurarsi che le persone le possiedano e di conservarne l'evidenza documentata. Ecco come farlo in pratica, con l'esempio di Azienda Italiana S.p.A.
Cosa prevede il punto 7.2
Questa guida pratica alla ISO 42001 spiega con esempi come applicare il punto 7.2 sulle competenze IA: quali abilità servono per i ruoli che influenzano il sistema di gestione, come valutarle con criteri oggettivi e come dimostrare in audit, ruolo per ruolo, che il personale è davvero all'altezza dei compiti assegnati, senza limitarsi ad attestati generici.
La norma richiede di determinare le competenze necessarie per ogni ruolo che incide sulle prestazioni dell'AIMS, di garantire che le persone le possiedano — per istruzione, formazione o esperienza — e di intraprendere azioni mirate quando emerge un divario, verificandone poi l'efficacia nel tempo e conservando le prove documentali di tutto il percorso.
Vedremo il caso di Azienda Italiana S.p.A., che gestisce un chatbot per l'assistenza clienti e un sistema di screening dei CV: dalla matrice delle competenze al piano di formazione annuale, fino alle evidenze documentali che il Dott. Valerio Bellini consiglia di tenere pronte e aggiornate prima dell'audit di certificazione del sistema di gestione.
In sintesi, la norma vuole vedere:
- Matrice delle competenze per ruolo AIMS
- Criteri di valutazione documentati
- Azioni sui gap con prova di efficacia
- Evidenze: attestati, test, registri
- Riesame periodico delle competenze
Esempio di controllo tecnico per il punto 7.2
Un primo esempio concreto tratto da questa guida pratica: Azienda Italiana riesamina ogni sei mesi la matrice delle competenze IA, confrontando le mansioni reali dei tecnici del chatbot con i profili richiesti. Chi gestisce i dati di addestramento deve dimostrare un corso aggiornato su bias e qualità dei dati; in caso contrario scatta un piano individuale con scadenza, affiancamento e riesame finale documentato.
Controllo tecnico collegato: per il sistema di screening dei CV, l'accesso al modulo di valutazione automatica dei candidati viene abilitato nella piattaforma IAM solo dopo il superamento di un test interno su fairness, limiti dello strumento e obbligo di revisione umana. Il log delle abilitazioni è conservato come evidenza e l'accesso è revocato in automatico se la formazione non viene rinnovata entro dodici mesi.
Matrice competenze e abilitazioni tecniche
| Elemento verificato | Evidenza prodotta | Frequenza |
|---|---|---|
| Profili di ruolo che influenzano l'AIMS | Matrice REG-AI-07 aggiornata | Semestrale |
| Test di abilitazione allo screening CV | Log IAM con esito superato | A ogni accesso |
| Formazione su bias e qualità dei dati | Attestati e registro presenze | Annuale |
| Riesame dei gap formativi aperti | Piano individuale con esito | Trimestrale |
| Revoca degli accessi formativi scaduti | Report revoche automatiche | Mensile |
Nota: la tabella riassume i controlli che collegano le competenze IA agli accessi operativi sui sistemi di Azienda Italiana S.p.A., così da renderli verificabili in audit e mantenerli allineati al piano di formazione annuale dell'organizzazione.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto 7.2
Estratto del registro delle competenze IA di Azienda Italiana S.p.A.: la matrice usata per mappare ruoli, abilità richieste e gap formativi dell'AIMS. Un modello replicabile, nato applicando questa guida pratica al punto 7.2.
Registro e matrice delle competenze AIMS
Metodo
Per ogni ruolo che influenza l'AIMS: definire le competenze richieste, rilevare quelle possedute, valutare il divario, pianificare l'azione, verificarne l'efficacia e archiviare l'evidenza con data e scadenza.
Estratto
| Ruolo | Competenza richiesta | Livello attuale | Gap | Azione |
|---|---|---|---|---|
| ML engineer chatbot | Gestione dataset e bias | Avanzato | Nessuno | Aggiornamento annuale |
| Data steward | Qualità e tracciabilità dati | Intermedio | Medio | Corso + affiancamento |
| HR recruiter | Uso consapevole dello screening CV | Base | Alto | Test di abilitazione |
| Responsabile conformità | Requisiti del sistema AIMS | Intermedio | Basso | Workshop interno |
| Customer care lead | Supervisione risposte chatbot | Intermedio | Basso | Riesame semestrale |
| IT security analyst | Protezione di modelli e prompt | Intermedio | Medio | Corso specialistico |
Ruoli e responsabilità
| Soggetto | Responsabilità |
|---|---|
| HR e Formazione | Mantiene la matrice e pianifica i corsi |
| Responsabile AIMS | Definisce le competenze richieste per ruolo |
| Amministratore IAM | Abilita gli accessi solo a test superato |
| Direzione Generale | Approva piano, budget e riesame annuale |
Checklist operativa
| Attività | Cadenza |
|---|---|
| Aggiornamento matrice delle competenze | Ogni 6 mesi |
| Test di abilitazione prima dell'accesso | Sempre |
| Chiusura azioni di gap con riesame | Entro 90 giorni |
| Archiviazione evidenze rintracciabili | Continua |
Esito
Gap critici chiusi entro il trimestre; evidenze delle competenze IA complete, datate e pronte per l'audit di certificazione.
Le domande dell'audit interno sul punto 7.2
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto 7.2
Dott. Valerio Bellini
«Consiglio strategico: non trattate il 7.2 come un adempimento HR: collegate ogni competenza IA a un rischio concreto dell'AIMS e a un controllo operativo, come fa questa guida pratica con gli accessi allo screening.»
«L'auditor chiederà una persona reale: nome, ruolo, evidenza della competenza e azione di gap chiusa. Preparate tre esempi tracciati prima dell'audit. — Dott. Valerio Bellini»
Gli errori più comuni che incontro:
- Competenze generiche: Requisiti vaghi, non legati ai ruoli dell'AIMS.
- Nessuna evidenza: Attestati mancanti o non rintracciabili in audit.
- Gap senza azioni: Divari rilevati ma mai chiusi né riesaminati.
- Formazione una tantum: Corsi non ripetuti né aggiornati nel tempo.
- Accessi scollegati: Sistemi AI usati senza test di abilitazione superato.