Trattamento del rischio IA: guida pratica ISO 42001 con esempi
Come la norma chiede di selezionare le misure di trattamento, confrontarle con l'Appendice A e documentarle nella Dichiarazione di Applicabilità e nel piano di trattamento.
Cosa prevede il punto 6.1.3
Questa guida pratica alla ISO 42001 spiega con esempi come trattare i rischi individuati in 6.1.2. Il punto 6.1.3 richiede di selezionare le opzioni di trattamento del rischio — mitigare, evitare, trasferire, accettare — e determinare i controlli necessari.
Passaggio distintivo: il confronto obbligatorio con l'Appendice A — i controlli vanno verificati contro i 38 di riferimento, per non ometterne di necessari, con la guida dell'Appendice B. L'esito confluisce in due documenti cardine del sistema.
Il primo è la Dichiarazione di Applicabilità (SoA): i controlli necessari con la giustificazione di ogni inclusione ed esclusione. Il secondo è il piano di trattamento del rischio, approvato dalla direzione con accettazione formale dei rischi residui. Tutto resta tracciato come informazione documentata.
In sintesi, la norma vuole vedere:
- Opzioni di trattamento selezionate in modo ragionato per ogni rischio non accettabile.
- Confronto documentato dei controlli con l'Appendice A — nessun controllo necessario omesso.
- Dichiarazione di Applicabilità completa di giustificazioni per inclusioni ed esclusioni.
- Piano di trattamento approvato dalla direzione, con rischio residuo accettato formalmente.
- Informazioni documentate conservate e collegate al registro dei rischi.
Esempio di controllo tecnico per il punto 6.1.3
La guida pratica continua con due esempi pratici di controllo tecnico per il trattamento del rischio.
Matrice di confronto con l'Appendice A. Un foglio di lavoro che affianca i rischi del registro ai 38 controlli dell'Appendice A: per ogni controllo si segna se è necessario, a quale rischio risponde e con quale giustificazione viene incluso o escluso. È l'evidenza diretta del confronto richiesto dalla norma.
| Opzione | Significato | Esempio |
|---|---|---|
| Mitigare | Ridurre probabilità o impatto | Test di bias pre-rilascio |
| Evitare | Eliminare l'attività rischiosa | Nessun dato biometrico |
| Trasferire | Condividere il rischio con terzi | Clausole contrattuali |
| Accettare | Tollerare entro i criteri | Rischio sotto soglia |
Controllo tecnico collegato: una regola di workflow per cui nessun sistema di IA può passare in produzione se la sua voce nella Dichiarazione di Applicabilità non è completa e approvata. Il rilascio è subordinato alla firma del risk owner sulla SoA aggiornata.
Così il trattamento è ripetibile e verificabile, come la norma richiede.
Tracciamento opzioni di trattamento (esempio)
| Rischio | Opzione | Controllo App. A |
|---|---|---|
| Risposte discriminatorie chatbot | Mitigare | A.6.2.6 — Verifica e validazione |
| Bias nei dati CV | Mitigare | A.7.4 — Qualità dei dati |
| Uso improprio da terzi | Trasferire | A.10.2 — Responsabilità fornitori |
| Obsolescenza modello | Evitare | A.6.2.7 — Deployment controllato |
| Downtime servizio interno | Accettare | Rischio sotto soglia |
Ogni riga del registro dei rischi è collegata a un'opzione e al controllo che la attua: la corrispondenza è verificabile uno-a-uno.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto 6.1.3
Un estratto realistico della Dichiarazione di Applicabilità e del piano di trattamento di un'azienda fittizia. Questi due esempi documentali sono il cuore delle evidenze che l'auditor chiede sul punto 6.1.3.
Dichiarazione di Applicabilità dei controlli (estratto)
Metodo
Controlli determinati dal piano di trattamento e confrontati con l'Appendice A (procedura PR-AI-03). Per ciascuno: applicabilità, giustificazione, stato.
Estratto della Dichiarazione
| Controllo | Applicabile | Giustificazione | Stato |
|---|---|---|---|
| A.2.2 — Politica per l'IA | Sì | Richiesta per indirizzare tutti i trattamenti | Attuato |
| A.5.2 — Valutazioni d'impatto documentate | Sì | Rischio bias screening CV (REG-AI-01 #3) | Attuato |
| A.6.2.6 — Verifica e validazione | Sì | Rischio risposte errate chatbot (#1) | Attuato |
| A.7.4 — Qualità dei dati | Sì | Rischio bias nei dati storici (#3) | In corso |
| A.8.2 — Reporting esterno impatti | No | Sistema interno senza utenti esterni; obblighi coperti da A.8.4 | Escluso motivato |
Estratto del piano di trattamento (PT-AI-01)
| Azione | Controllo | Responsabile | Scadenza | Stato |
|---|---|---|---|---|
| Test di bias trimestrali sul chatbot | A.6.2.6 | R. Verdi — QA | 30/09/2026 | Pianificato |
| Ribilanciamento dataset CV | A.7.4 | M. Bianchi — HR Tech | 31/07/2026 | In corso |
| Clausole di responsabilità fornitore LLM | A.10.2 | Ufficio Legale | 15/08/2026 | Completato |
Esito
Il piano è stato approvato dalla Direzione Generale in data 02/06/2026; i rischi residui sono stati accettati formalmente con verbale VR-2026-04. L'efficacia delle azioni sarà verificata al prossimo audit interno.
Le domande dell'audit interno sul punto 6.1.3
In questa guida pratica: esempi di domande di audit interno sul trattamento del rischio, con le risposte coerenti di un'organizzazione preparata.
I consigli del Dott. Valerio Bellini sul punto 6.1.3
Dott. Valerio Bellini
«In questa guida pratica lo ripeto spesso: il punto 6.1.3 si gioca tutto sulla credibilità della Dichiarazione di Applicabilità. Il mio consiglio: non riciclate la SoA della ISO 27001. I controlli dell'Appendice A della 42001 rispondono a rischi diversi — dati, bias, ciclo di vita dei modelli — e ogni inclusione deve richiamare un rischio reale del vostro registro.»
«In audit leggo sempre le esclusioni, una per una. Una giustificazione come "non applicabile" senza motivo è una non conformità quasi certa. Se escludete un controllo, scrivete perché il vostro contesto lo rende inutile o come il rischio è coperto altrove.»
Gli errori più comuni che incontro:
- SoA da template: dichiarazioni copiate, con giustificazioni generiche identiche per tutti i controlli.
- Esclusioni immotivate: controlli scartati senza una ragione documentata e difendibile.
- Piano scollegato dal registro: azioni di trattamento che non rispondono a nessun rischio valutato in 6.1.2.
- Approvazione informale: piano "condiviso via email" senza firma della direzione né accettazione del residuo.
- Nessuna verifica di efficacia: azioni segnate come completate senza evidenza che il rischio sia davvero sceso.