Valutazione d'impatto dell'IA: guida pratica ISO 42001 con esempi
Imparerai cosa richiede il punto 6.1.4, come strutturare un processo documentato di valutazione d'impatto che consideri uso previsto e abuso prevedibile, e come collegare i risultati alla valutazione dei rischi del punto 6.1.2.
Cosa prevede il punto 6.1.4
Questa guida pratica alla ISO 42001 spiega il punto 6.1.4: processo documentato di valutazione d'impatto dei sistemi di IA su individui e società, in sviluppo e a intervalli pianificati.
Il processo considera tre dimensioni: l'uso previsto (effetti a sistema funzionante come dichiarato), l'abuso prevedibile (uso oltre le finalità o su persone non previste) e il contesto tecnico-sociale (utenti, culture, giurisdizioni, norme locali).
Ogni impatto rilevante alimenta il registro rischi 6.1.2 e orienta il trattamento 6.1.3. I controlli A.5 dell'Annex A danno il riferimento: questa guida pratica mostra il documento che l'auditor si aspetta.
In sintesi, la norma vuole vedere:
- Processo documentato e riesami pianificati
- Analisi di uso previsto e abuso prevedibile
- Contesto tecnico-sociale e giurisdizioni
- Impatti tracciati nel registro rischi 6.1.2
- Collegamenti ad A.5 e trattamento 6.1.3
Esempio di controllo tecnico per il punto 6.1.4
Azienda Italiana S.p.A. usa un chatbot per l'assistenza clienti: prima del rilascio il team compila la scheda d'impatto su clienti che ricevono risposte errate, clienti con disabilità e operatori il cui lavoro cambia. Ogni effetto ha gravità e misura: disclaimer, canale con operatore, monitoraggio delle conversazioni. Scheda aggiornata a ogni modifica del modello.
Controllo tecnico collegato: per lo screening CV la valutazione misura il tasso di selezione per genere, età e area geografica su campione storico; oltre la soglia dei criteri di rischio il sistema non va in produzione e il caso passa al registro 6.1.2 come impatto alto. Il verbale del test è l'evidenza che questa guida pratica consiglia di conservare.
Esempio: scheda di impatto del chatbot clienti
| Dimensione | Analisi condotta | Esito |
|---|---|---|
| Uso previsto | Risposte automatiche a richieste standard, escalation a operatore | Impatto medio: rischio di risposte errate non rilevate |
| Abuso prevedibile | Uso del chatbot per reclami complessi o dati sanitari | Impatto alto: aggiunto filtro e avviso di reindirizzamento |
| Contesto sociale | Clientela italiana, fascia 55+ con bassa alfabetizzazione digitale | Canale telefonico mantenuto come alternativa |
| Giurisdizioni | Solo Italia; GDPR e normativa AGCOM applicabili | Nessuna variante per altri Paesi richiesta |
| Gruppi vulnerabili | Utenti con disabilità visive | Test accessibilità WCAG superato, revisione annuale |
Nota: ogni riga rimanda a un ID del registro rischi 6.1.2: tracciabilità dimostrabile in audit.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto 6.1.4
Procedura di Azienda Italiana S.p.A. per la valutazione d'impatto dei sistemi di IA: chatbot assistenza clienti e screening CV.
Procedura di valutazione d'impatto dei sistemi di IA su individui e società
Metodo
Scheda al rilascio; aggiornamento a modifica sostanziale o ogni 12 mesi. Analisi: uso previsto, abuso, contesto, giurisdizioni. Impatti medi/alti in registro 6.1.2; gli alti approvati dalla Direzione.
Estratto — matrice di valutazione
| Sistema | Scenario | Soggetti coinvolti | Gravità | Rif. rischio |
|---|---|---|---|---|
| Chatbot clienti | Risposta errata su diritto di recesso | Cliente finale | Media | RSK-041 |
| Chatbot clienti | Raccolta involontaria di dati sanitari | Cliente, titolare trattamento | Alta | RSK-042 |
| Screening CV | Esclusione sistematica per fascia d'età | Candidati, gruppo protetto | Alta | RSK-043 |
| Screening CV | Uso del punteggio oltre la prima selezione | Candidati | Media | RSK-044 |
| Screening CV | Percezione sociale di selezione automatizzata | Società, reputazione | Media | RSK-045 |
Ruoli e responsabilità
| Ruolo | Responsabilità nel processo 6.1.4 |
|---|---|
| Team di prodotto | Compila e aggiorna la scheda MOD-AI-07 |
| Responsabile AI Governance | Verifica completezza e tracciabilità verso REG-AI-01 |
| Direzione Generale | Approva gli impatti classificati alti |
| Internal Audit | Verifica riesami ed evidenze una volta l'anno |
Esito
In produzione con correttive: filtro dati sensibili e canale umano (chatbot); test equità trimestrale e revisione umana (screening CV). Riesame: marzo 2027.
Checklist operativa
| Passo | Azione |
|---|---|
| 1. Identifica | Sistemi di IA e soggetti impattati |
| 2. Analizza | Uso previsto, abuso, contesto, gravità |
| 3. Traccia | Impatti medi/alti nel registro 6.1.2 |
| 4. Riesamina | Ogni 12 mesi o a modifica del sistema |
Evidenze attese in audit
| Documento | Cosa controlla l'auditor |
|---|---|
| PRC-AI-04 | Processo documentato, cadenza, responsabili |
| MOD-AI-07 | Scheda compilata e firmata per ogni sistema |
| REG-AI-01 | Tracciabilità impatti-rischi 6.1.2 |
| Verbali e report equità | Date, firme, test trimestrali superati |
Le domande dell'audit interno sul punto 6.1.4
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto 6.1.4
Dott. Valerio Bellini
«Il consiglio è strategico: partite dagli scenari di abuso, non dall'uso previsto. Gli usi impropri e i gruppi non considerati generano gli impatti più gravi; chi li ignora non regge l'audit.»
«In verifica chiedo: procedura con cadenza e responsabili, schede per sistema, tracciabilità verso il registro 6.1.2. Il collegamento con i controlli A.5 deve essere esplicito.»
Gli errori più comuni che incontro:
- Valutare solo i rischi aziendali: Riguarda individui e società, non i danni aziendali.
- Ignorare l'abuso prevedibile: Solo l'uso previsto lascia scoperti i casi critici.
- Saltare il contesto sociale e le giurisdizioni: Senza norme e culture locali la valutazione è parziale.
- Tenere i risultati fuori dal registro rischi: Senza registro 6.1.2 manca la tracciabilità in audit.
- Fare la valutazione una volta sola: Senza riesame periodico il requisito non è mantenuto.