Comunicazione AIMS: guida pratica ISO 42001 con esempi
Il punto 7.4 chiede di decidere cosa comunicare in relazione all'AIMS, quando, a chi, come e da chi, sia dentro sia fuori l'organizzazione. Vediamo come tradurlo in un piano di comunicazione che regge l'audit.
Cosa prevede il punto 7.4
Questa guida pratica alla ISO 42001 spiega con esempi cosa chiede il punto 7.4: l'organizzazione deve stabilire cosa comunicare in relazione all'AIMS, quando farlo, con chi, come e chi parla a nome del sistema di gestione, sia verso l'interno sia verso l'esterno.
Dentro l'azienda la comunicazione riguarda ruoli, policy, incidenti e risultati del monitoraggio: sviluppatori, help desk e HR devono sapere cosa succede sui sistemi di IA che usano ogni giorno. Fuori contano utenti del chatbot, candidati, clienti, autorità e fornitori di modelli: per ciascuno va deciso il livello di dettaglio, il canale e la tempistica della comunicazione.
Vedremo come Azienda Italiana S.p.A. ha costruito un piano di comunicazione con matrice cosa-quando-chi-come, un referente unico per i reclami sull'IA e un registro delle comunicazioni esterne: tre evidenze semplici che in audit dimostrano il controllo del punto 7.4 senza burocrazia inutile, purché restino aggiornate nel tempo e collegate ai rischi dell'IA.
In sintesi, la norma vuole vedere:
- Piano di comunicazione AIMS approvato
- Matrice cosa-quando-chi-come definita
- Evidenze delle comunicazioni svolte
- Referente unico per i reclami sull'IA
- Registro comunicazioni esterne attivo
Esempio di controllo tecnico per il punto 7.4
Esempio di controllo tecnico: nel portale di assistenza, ogni risposta del chatbot riporta il link 'Segnala un problema con questa risposta'. La segnalazione apre un ticket nel sistema ITSM con tag IA, notifica automatica al referente comunicazioni e risposta all'utente entro 48 ore. Il log dei ticket è l'evidenza che il canale esterno funziona davvero, non solo sulla carta, come mostra questa guida pratica. I ticket con tag IA alimentano anche il registro delle comunicazioni esterne, così ogni segnalazione lascia una traccia verificabile.
Controllo tecnico collegato: nel portale candidati, lo screening CV con IA viene dichiarato con un'informativa mostrata prima del caricamento del curriculum. Il sistema registra data, versione dell'informativa e consenso, così l'azienda dimostra quando e come ha comunicato l'uso dell'IA verso l'esterno, come chiede il punto 7.4, senza affidarsi alla memoria degli operatori HR.
Matrice di comunicazione dell'AIMS
| Destinatario | Cosa | Quando | Come |
|---|---|---|---|
| Personale interno | Policy IA e incidenti | Entro 5 giorni | Intranet e briefing |
| Utenti chatbot | Uso dell'IA e limiti | Sempre | Banner nel widget |
| Candidati | Screening CV automatizzato | Prima dell'invio CV | Informativa nel portale |
| Clienti B2B | Modifiche ai modelli | Trimestrale | Report di servizio |
| Autorità e reclami | Risposta formale | Entro 30 giorni | Referente unico |
La matrice è il cuore del punto 7.4: ogni riga collega destinatario, contenuto, tempistica e canale, e va riesaminata a ogni cambio di modello, di processo o di normativa applicabile, registrando la revisione nel piano.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto 7.4
Esempio reale di piano di comunicazione AIMS adottato da Azienda Italiana S.p.A. per il chatbot di assistenza clienti e lo screening dei CV, tratto da questa guida pratica: struttura telegrafica pronta da adattare al proprio contesto, con matrice delle comunicazioni, ruoli e checklist di verifica.
Piano di comunicazione dell'AIMS
Metodo
Deriva dai ruoli del 5.3 e dai rischi del 6.1: per ogni rischio IA rilevante si definisce una comunicazione; matrice annuale approvata dalla Direzione.
Estratto
| ID | Comunicazione | Destinatari | Frequenza | Owner |
|---|---|---|---|---|
| COM-01 | Policy IA e aggiornamenti | Tutto il personale | Annuale | AI Compliance Officer |
| COM-02 | Incidente IA rilevante | Direzione e team impattato | Entro 24 ore | AI Risk Manager |
| COM-03 | Informativa chatbot | Utenti finali | Continua | Product Owner |
| COM-04 | Informativa screening CV | Candidati | A ogni candidatura | HR Manager |
| COM-05 | Risposta a reclami sull'IA | Esterni | Entro 30 giorni | Referente reclami |
| COM-06 | Esiti riesame Direzione | Ruoli AIMS | Trimestrale | Direzione |
Ruoli e responsabilità
| Ruolo | Responsabilità |
|---|---|
| Direzione Generale | Approva piano e comunicazioni critiche |
| AI Compliance Officer | Mantiene matrice e registro esterne |
| Referente reclami IA | Gestisce segnalazioni e risposte |
| HR e Product Owner | Eseguono le comunicazioni di competenza |
Checklist operativa
| Verifica | Evidenza |
|---|---|
| Matrice aggiornata entro l'anno | Revisione di COM-AI-01 |
| Reclami chiusi entro 30 giorni | Registro REG-AI-07 |
| Informativa chatbot visibile | Screenshot e log del widget |
| Candidati informati prima dello screening | Log consenso del portale |
Esito
Audit interno superato: 6 comunicazioni pianificate, 6 eseguite; 2 reclami chiusi nei tempi; prossimo riesame della matrice a settembre 2026.
Le domande dell'audit interno sul punto 7.4
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto 7.4
Dott. Valerio Bellini
«Consiglio del Dott. Valerio Bellini: legate il piano di comunicazione ai rischi, non al calendario. Ogni rischio IA rilevante genera una riga della matrice: il piano resta vivo e coerente, non carta dimenticata dopo l'audit.»
«In audit chiederà una comunicazione reale fatta in fretta, di solito un incidente: tenete pronte le evidenze di chi ha deciso, quando e con quale canale.»
Gli errori più comuni che incontro:
- Solo comunicazioni esterne: Dimenticare personale e ruoli interni
- Nessun owner nominato: Nessuno risponde ai reclami entro i tempi
- Piano mai aggiornato: Matrice ferma alla prima revisione del 2024
- Nessuna evidenza: Comunicazioni fatte ma mai registrate
- Informativa generica: Utenti non sanno che parlano con un'IA