Come posso ottenere la certificazione ISO 42001 per la mia impresa?

Il percorso verso la certificazione ISO 42001 in sintesi

Ottenere la certificazione ISO 42001 non è un singolo evento ma un progetto strutturato che coinvolge direzione, responsabili IT, compliance e chi sviluppa o usa sistemi di IA. Il percorso tipico si sviluppa in sei fasi, dalla valutazione iniziale al mantenimento del certificato.

Gap analysis e progettazione dell'AIMS

Il primo passo per ottenere la certificazione ISO 42001 è la gap analysis: un confronto sistematico tra i requisiti della norma e la situazione attuale dell'impresa. Si mappano i sistemi di IA in uso o in sviluppo, i processi esistenti, i rischi e le eventuali integrazioni con altri sistemi di gestione già certificati (ISO 9001, ISO/IEC 27001).

Sulla base degli scostamenti si progetta l'AIMS: campo di applicazione, policy per l'IA, obiettivi, ruoli e responsabilità, processi di valutazione del rischio e dell'impatto. In questa fase la direzione deve impegnare risorse e nominare un responsabile del sistema.

Attuazione: policy, ruoli e controlli operativi

L'attuazione è la fase più lunga del percorso. L'impresa mette in pratica quanto progettato: redige e approva la policy per l'IA, definisce i criteri di valutazione del rischio, applica i controlli previsti dalla norma ai sistemi di IA nel ciclo di vita completo, dalla progettazione alla dismissione.

• Formazione del personale su ruoli e responsabilità nell'AIMS.
• Documentazione di processi, valutazioni di impatto e decisioni.
• Monitoraggio dei sistemi di IA e gestione delle non conformità.

La documentazione prodotta in questa fase sarà l'evidenza principale esaminata durante l'audit di certificazione.

Audit interno e riesame della direzione

Prima di chiamare l'ente, l'impresa deve verificare che l'AIMS funzioni davvero. L'audit interno controlla la conformità dei processi ai requisiti della norma e l'efficacia dei controlli applicati, evidenziando non conformità e opportunità di miglioramento. Può essere svolto da personale interno indipendente dai processi auditati o da un auditor esterno.

Il riesame della direzione chiude il ciclo: il vertice aziendale valuta prestazioni, esiti degli audit, rischi e risorse, e decide azioni correttive e miglioramenti. Entrambi i passaggi sono requisiti obbligatori prima dell'audit di certificazione.

L'audit dell'ente accreditato: Stage 1 e Stage 2

Per ottenere la certificazione ISO 42001 serve un ente di certificazione accreditato, scelto e contrattualizzato dall'impresa. L'audit si svolge in due momenti: lo Stage 1 verifica la documentazione e la prontezza del sistema; lo Stage 2 accerta sul campo, con interviste ed evidenze, che l'AIMS sia effettivamente attuato ed efficace.

Eventuali non conformità maggiori vanno chiuse prima dell'emissione del certificato; quelle minori rientrano in un piano d'azione concordato. Superato l'audit, l'ente emette il certificato con validità di tre anni.

Mantenimento della certificazione: sorveglianza e miglioramento

La certificazione ISO 42001 si mantiene nel tempo con un ciclo triennale: audit di sorveglianza annuali da parte dell'ente e audit di rinnovo al termine del terzo anno. L'impresa deve tenere vivo l'AIMS con audit interni periodici, riesami della direzione e gestione delle non conformità.

Cambiamenti significativi — nuovi sistemi di IA, nuovi casi d'uso, evoluzioni normative come l'AI Act — vanno valutati e integrati nel sistema, secondo la logica del miglioramento continuo che la norma richiede.

Approfondimenti: come ottenerla