Risorse per l'AIMS: guida pratica ISO 42001 con esempi
Persone, infrastrutture, tecnologia, dati e budget: il punto 7.1 chiede di determinare e fornire le risorse che servono all'AIMS, e di dimostrare in audit che sono davvero assegnate e adeguate.
Cosa prevede il punto 7.1
Questa guida pratica alla ISO 42001 spiega con esempi come il punto 7.1 chiede all'organizzazione di determinare e fornire le risorse necessarie per istituire, attuare, mantenere e migliorare continuamente l'AIMS: persone qualificate, infrastrutture, tecnologia, strumenti, dati e budget dedicati alla gestione dell'intelligenza artificiale. Non basta dichiararle: vanno rese disponibili e tracciate.
Per Azienda Italiana S.p.A., che gestisce un chatbot per l'assistenza clienti e un sistema di screening dei CV, significa tradurre la strategia sull'IA in un piano risorse verificabile: ruoli assegnati in organigramma, ambienti cloud dimensionati sui carichi reali, dataset adeguati per volume, copertura e aggiornamento, e una voce di bilancio approvata dalla Direzione Generale con una delibera annuale.
Vedremo come impostare un piano delle risorse documentato e aggiornato, con quali controlli tecnici dimostrarne l'adeguatezza nel tempo e quali errori l'auditor segnala più spesso durante la certificazione. La guida pratica è pensata per consulenti, IT manager e responsabili qualità che preparano l'azienda alla certificazione del sistema di gestione per l'intelligenza artificiale.
In sintesi, la norma vuole vedere:
- Piano risorse AIMS approvato
- Risorse umane, tecniche e dati
- Budget IA tracciato in bilancio
- Monitoraggio periodico adeguatezza
- Evidenze di allocazione reale
Esempio di controllo tecnico per il punto 7.1
Un primo controllo tecnico è il monitoraggio della capacità: per il chatbot di assistenza clienti, Azienda Italiana S.p.A. misura ogni mese utilizzo di CPU, GPU e storage degli ambienti cloud e lo confronta con i picchi previsti nel piano risorse. Se la saturazione supera la soglia definita, scatta automaticamente la richiesta di ampliamento verso l'IT Manager, prima che il servizio degradi per gli utenti finali e che l'adeguatezza delle risorse venga meno.
Controllo tecnico collegato: il controllo di completezza dei dati. Per lo screening dei CV, un job automatico verifica ogni settimana che i dataset di addestramento e test rispettino volumi minimi, copertura delle categorie e data di aggiornamento dichiarati nel piano: una carenza di dati è trattata a tutti gli effetti come una risorsa mancante e registrata come non conformità, con azione correttiva assegnata al data owner del processo di selezione.
Monitoraggio capacità e adeguatezza risorse
| Parametro monitorato | Soglia di allerta | Frequenza | Evidenza |
|---|---|---|---|
| Utilizzo GPU chatbot | >80% per 7 giorni | Mensile | Report capacità |
| Saturazione storage dataset | >75% | Mensile | Report capacità |
| Copertura dataset CV | <95% categorie | Settimanale | Log job dati |
| Disponibilità servizio chatbot | <99,5% | Continua | Dashboard uptime |
| Budget IA consumato | Scostamento >10% | Trimestrale | Rendiconto finanziario |
La matrice è allegata al piano risorse e riesaminata a ogni riesame di direzione.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto 7.1
Estratto del piano delle risorse AIMS adottato da Azienda Italiana S.p.A.: un esempio concreto di come documentare il fabbisogno di persone, infrastrutture, dati e budget in modo verificabile in audit. Il documento collega ogni risorsa ai due sistemi IA in scope e prevede il riesame annuale da parte della Direzione Generale.
Piano delle risorse per l'AIMS
Metodo
Fabbisogno stimato per ogni sistema IA (chatbot assistenza clienti, screening CV) a partire da carichi previsti, volumi di dati e ruoli necessari; consolidamento in piano annuale; approvazione della Direzione Generale; allocazione tracciata su centri di costo e organigramma; monitoraggio trimestrale degli scostamenti con azioni correttive.
Estratto
| Risorsa | Fabbisogno | Assegnato | Scostamento |
|---|---|---|---|
| Data scientist dedicati | 2 FTE | 2 FTE | In linea |
| Infrastruttura GPU cloud | 4 nodi | 3 nodi | Ampliamento approvato |
| Dataset CV aggiornati | 4 release/anno | 3 release | Recupero a Q3 |
| Budget annuale IA | € 380.000 | € 380.000 | In linea |
| Formazione team AIMS | 40 ore/persona | 32 ore | Piano in corso |
| Strumenti di monitoraggio | 2 piattaforme | 2 piattaforme | In linea |
Ruoli e responsabilità
| Ruolo | Responsabilità |
|---|---|
| Direzione Generale | Approva piano e budget annuale |
| Responsabile AIMS | Determina il fabbisogno e monitora gli scostamenti |
| IT Manager | Fornisce infrastrutture e strumenti tecnici |
| Responsabile HR | Copre ruoli, formazione e ricambi del personale |
Checklist operativa
| Verifica | Esito |
|---|---|
| Piano risorse approvato e datato | Conforme |
| Evidenze di allocazione su budget e organigramma | Conforme |
| Monitoraggio trimestrale registrato | Conforme |
| Azioni sugli scostamenti aperte e tracciate | In corso |
Esito
Cinque voci su sei in linea con il fabbisogno; l'ampliamento dell'infrastruttura GPU è approvato dalla Direzione Generale e pianificato per il trimestre successivo, con verifica al monitoraggio di fine periodo.
Le domande dell'audit interno sul punto 7.1
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto 7.1
Dott. Valerio Bellini
«Leghi le risorse ai rischi: per ogni rischio IA alto mostri quale risorsa concreta lo mitiga, così il piano smette di essere una lista della spesa e diventa uno strumento di governo del sistema.»
«L'auditor non chiede quanto spende, ma evidenze che le risorse siano davvero assegnate: contratti cloud, organigramma aggiornato, delibere di budget e report di utilizzo firmati.»
Gli errori più comuni che incontro:
- Nessun piano documentato: Risorse decise a voce, senza evidenze in audit
- Budget non tracciato: Spese IA disperse nei centri di costo IT
- Solo persone, niente dati: Dati e infrastrutture dimenticati nel fabbisogno
- Nessun monitoraggio: Il piano non è mai confrontato con il reale
- Risorse scollegate dai rischi: Allocazione senza legame con la valutazione rischi