Politica per l'IA: guida pratica ISO 42001 con esempi
Come scrivere una politica per l'IA davvero appropriata alle finalità dell'organizzazione: quadro per gli obiettivi, impegni vincolanti, comunicazione interna e accesso garantito alle parti interessate.
Cosa prevede il punto 5.2
Questa guida pratica alla ISO 42001 spiega con esempi come redigere la politica per l'IA richiesta dal punto 5.2: un documento breve, firmato dall'alta direzione, che fissa i principi con cui l'organizzazione progetta, usa e governa i sistemi di intelligenza artificiale.
Vedremo i quattro requisiti di contenuto — appropriatezza alle finalità, quadro per gli obiettivi, impegno ai requisiti applicabili e al miglioramento continuo — e i tre requisiti di gestione: documentarla, comunicarla all'interno e renderla disponibile alle parti interessate che la richiedono. Ogni impegno va tradotto in evidenze verificabili: firme, versioni, registri e verbali.
L'esempio guida è Azienda Italiana S.p.A., che usa un chatbot per l'assistenza clienti e un sistema di screening dei CV: la sua politica per l'IA collega principi generali, rischi concreti e richiami alle altre politiche aziendali, dalla privacy alla sicurezza delle informazioni, evitando doppioni e contraddizioni nel sistema di gestione.
In sintesi, la norma vuole vedere:
- Approvata e firmata dall'alta direzione
- Appropriata a finalità e contesto
- Quadro di riferimento per gli obiettivi
- Impegno a requisiti e miglioramento
- Comunicata e disponibile su richiesta
Esempio di controllo tecnico per il punto 5.2
Un primo controllo è la verifica incrociata tra politica e obiettivi, suggerita anche da questa guida pratica: per ogni obiettivo IA del piano annuale deve esistere un principio della politica che lo giustifica. Azienda Italiana S.p.A. ha mappato i sei obiettivi 2026 — accuratezza del chatbot, fairness dello screening CV, tempi di risposta — sulle cinque sezioni della POL-AI-01, scoprendo due obiettivi scoperti e correggendo il documento alla revisione successiva. Il controllo è ripetuto a ogni riesame e il risultato alimenta le azioni correttive.
Controllo tecnico collegato: la pubblicazione avviene tramite intranet con gestione delle versioni: solo l'ultima revisione approvata è visibile, le bozze restano in area riservata e ogni download da parte di soggetti esterni viene registrato nel registro degli accessi, così la disponibilità richiesta dal punto 5.2 è dimostrabile con evidenze e non solo dichiarata. Le evidenze coprono almeno dodici mesi di pubblicazione.
Mappatura politica e obiettivi
| Aspetto | Evidenza | Frequenza |
|---|---|---|
| Coerenza obiettivi e principi | Matrice POL-AI-01 vs OBB-AI-02 | Semestrale |
| Versione pubblicata | Screenshot intranet, log versioni | A ogni revisione |
| Richieste esterne | Log download parti interessate | Continuo |
| Formazione nuovi assunti | Attestato di lettura firmato | All'ingresso |
| Riesame della direzione | Verbale MOD-AI-07 | Annuale |
Nota: se un obiettivo non trova copertura nella politica, il gap va registrato come non conformità e trattato con azione correttiva, non rimandato al riesame successivo: come mostra questa guida pratica, la matrice aggiornata è la prima evidenza che l'auditor chiede.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto 5.2
Modello semplificato della politica per l'IA di Azienda Italiana S.p.A., approvata dalla Direzione Generale e pubblicata sull'intranet: la struttura di questa guida pratica ne segue le sezioni. Serve da riferimento per obiettivi, formazione e audit interni.
Politica per l'Intelligenza Artificiale
Metodo
Principi ricavati da contesto, rischi e obblighi; cinque sezioni; linguaggio non tecnico; firma della DG; riesame annuale e aggiornamento straordinario dopo incidenti rilevanti.
Estratto
| Sezione | Impegno sintetico |
|---|---|
| Finalità | IA a supporto di servizio clienti e selezione del personale, mai decisioni senza presidio umano |
| Obiettivi | Ogni obiettivo IA deve riflettere un principio di questa politica e misurarlo |
| Requisiti | Rispetto di leggi, AI Act, GDPR e impegni contrattuali con clienti, fornitori e lavoratori |
| Miglioramento | Riesame annuale e aggiornamento dopo incidenti o nuovi obblighi |
| Altre politiche | Richiamo a privacy, sicurezza delle informazioni e codice etico |
Ruoli e responsabilità
| Ruolo | Compito |
|---|---|
| Direzione Generale | Approva, firma e riesamina la politica almeno una volta l'anno |
| AI Compliance Officer | Redige, aggiorna e misura l'applicazione con audit interni |
| HR e Comunicazione | Diffondono a dipendenti e nuovi assunti |
| Referenti di processo | Applicano i principi nei sistemi IA gestiti e segnalano scostamenti |
Checklist operativa
| Voce | Verifica |
|---|---|
| Contenuto | Quattro impegni presenti e verificabili |
| Forma | Documento approvato, datato, firmato e versionato |
| Diffusione | Intranet, onboarding, registro richieste esterne |
| Coerenza | Obiettivi 2026 mappati sui principi, senza gap aperti |
Esito
Approvata il 15/01/2026; nessuna osservazione al riesame; due richieste esterne evase in cinque giorni lavorativi; prossima revisione entro gennaio 2027.
Le domande dell'audit interno sul punto 5.2
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto 5.2
Dott. Valerio Bellini
«Scrivete la politica per l'IA dopo l'analisi del contesto, non prima: deve citare i sistemi reali e i rischi mappati, altrimenti resta generica e inutilizzabile dagli obiettivi.»
«L'auditor non si ferma al documento: intervista i dipendenti, verifica firme e versioni, e controlla che un esterno possa ottenerla in tempi rapidi.» — Dott. Valerio Bellini
Gli errori più comuni che incontro:
- Politica copiata da un template: Testo generico, nessun riferimento ai sistemi reali
- Manca la firma della direzione: Senza approvazione formale il punto 5.2 non è soddisfatto
- Politica scollegata dagli obiettivi: Nessun obiettivo IA richiama i principi della politica
- Non comunicata ai dipendenti: Il personale non sa che esiste né dove trovarla
- Negata alle parti interessate: Richieste esterne ignorate o evase senza traccia