Valutazione impatto operativa: guida pratica ISO 42001 con esempi
Il punto 8.4 chiede di rieseguire la valutazione di impatto quando il sistema di IA è già in esercizio: scadenze pianificate, trigger di cambiamento ed evidenze da conservare. Ecco come farlo in pratica.
Cosa prevede il punto 8.4
Questa guida pratica alla ISO 42001 spiega con esempi come eseguire la valutazione di impatto del sistema di IA quando è già in operazione: non la progettazione del processo, vista al punto 6.1.4, ma la sua riesecuzione a intervalli pianificati e a fronte di cambiamenti significativi, con evidenze conservate. Il risultato di ogni ciclo è un rapporto documentato, approvato e archiviato, che dimostra la sorveglianza continua del sistema.
Vedremo quando scatta una nuova valutazione di impatto: scadenze del piano annuale, aggiornamenti del modello, nuove categorie di dati, segnalazioni degli utenti o incidenti. Per Azienda Italiana S.p.A. questo significa rivalutare il chatbot di assistenza clienti e lo screening dei CV ogni sei mesi e a ogni release rilevante. Ogni trigger è scritto nero su bianco nella procedura, così la decisione di rieseguire non dipende dalla sensibilità del singolo.
Troverai un esempio di rapporto di valutazione compilato, le domande tipiche dell'auditor, gli errori più frequenti e il punto di vista del Dott. Valerio Bellini su come trasformare un adempimento periodico in uno strumento di governo reale del sistema di gestione per l'IA. L'obiettivo è un ciclo ripetibile, misurabile e difendibile in sede di audit di certificazione.
In sintesi, la norma vuole vedere:
- Intervalli pianificati definiti e rispettati
- Trigger per cambiamenti significativi
- Rapporti di valutazione conservati
- Confronto con la valutazione precedente
- Azioni correttive tracciate fino a chiusura
Esempio di controllo tecnico per il punto 8.4
Nella pratica, questa guida pratica consiglia un controllo di pianificazione: il calendario delle rivalutazioni vive nel sistema GRC o nel gestionale qualità, con attività generate automaticamente alla scadenza, assegnatario nominale e preavviso di trenta giorni. Se il ciclo non parte entro la data prevista, il responsabile AIMS riceve un'escalation e il ritardo viene registrato come deviazione da giustificare. La pianificazione distingue i sistemi per criticità: lo screening dei CV, ad alto impatto sulle persone, ha cadenza semestrale obbligatoria anche in assenza di modifiche.
Controllo tecnico collegato: un monitor sulla pipeline ML che rileva il rilascio di una nuova versione del modello, un cambio del dataset di addestramento o l'attivazione di nuove fonti dati, e apre in automatico la richiesta di valutazione di impatto fuori ciclo. Il trigger resta tracciato nel log, così l'auditor può verificare che nessun cambiamento significativo sia sfuggito alla riesecuzione. Quando il trigger scatta, il valutatore riceve un pacchetto precompilato con log, metriche e segnalazioni del periodo: la riesecuzione parte da dati completi, non da raccolte improvvisate.
Controlli per la riesecuzione operativa
| Ambito | Controllo applicato | Evidenza attesa |
|---|---|---|
| Pianificazione | Calendario rivalutazioni nel GRC | Piano PIA-AI-02 approvato |
| Trigger | Alert su cambio versione modello | Log pipeline ML |
| Esecuzione | Checklist guidata per il valutatore | Rapporto VAL-AI-08 |
| Conservazione | Archivio evidenze con retention | Pacchetto EVD-AI-12 |
| Follow-up | Ticket azioni correttive | Stato chiusura in CAPA |
In questa guida pratica i controlli coprono l'intero ciclo: dalla scadenza pianificata alla chiusura delle azioni, ogni passaggio lascia un'evidenza verificabile in audit e riduce il rischio di dimenticanze operative.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto 8.4
Esempio reale tratto da questa guida pratica: il rapporto del secondo ciclo di valutazione di impatto sul chatbot di assistenza clienti di Azienda Italiana S.p.A., redatto dopo sei mesi di esercizio e approvato in sede di riesame della Direzione.
Rapporto di valutazione di impatto operativa — Chatbot assistenza clienti
Metodo
Riesecuzione su checklist standard; confronto con il ciclo precedente; interviste a owner e utenti; test su campione di 200 conversazioni reali; verifica delle azioni aperte e delle segnalazioni ricevute nel semestre.
Estratto
| Voce | Ciclo precedente | Ciclo attuale |
|---|---|---|
| Impatto su utenti finali | Moderato | Invariato |
| Accuratezza risposte | 91% | 94% |
| Reclami per risposte errate | 7/trimestre | 3/trimestre |
| Dati personali trattati | Invariati | Invariati |
| Nuovi rischi emersi | Nessuno | 1 (deriva del tono) |
| Azioni aperte | 2 | 1 chiusa, 1 in corso |
Ruoli e responsabilità
| Ruolo | Responsabilità nel ciclo |
|---|---|
| AI Compliance Officer | Esegue la valutazione e redige il rapporto |
| Product Owner chatbot | Fornisce dati di esercizio e accessi |
| DPO | Valuta gli impatti sui dati personali |
| Direzione Generale | Approva il rapporto e recepisce le azioni |
Checklist operativa
| Passaggio | Stato |
|---|---|
| Verificare scadenza nel piano PIA-AI-02 | Fatto |
| Raccogliere log e metriche del semestre | Fatto |
| Confrontare esiti con il ciclo precedente | Fatto |
| Archiviare le evidenze in EVD-AI-12 | Fatto |
Esito
Valutazione superata con un'azione correttiva aperta: ricalibratura del tono entro trenta giorni, verifica di efficacia al ciclo successivo. Il prossimo riesame resta confermato per ottobre 2026, salvo trigger anticipati.
Le domande dell'audit interno sul punto 8.4
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto 8.4
Dott. Valerio Bellini
«Consiglio strategico: non trattate la riesecuzione come una fotocopia: il valore sta nel confronto tra cicli. Costruite il rapporto perché mostri il delta, non solo lo stato attuale.»
«L'auditor chiederà date dei cicli passati ed evidenze: se il piano dice semestrale e l'ultimo rapporto ha nove mesi, la non conformità è immediata.»
Gli errori più comuni che incontro:
- Solo la valutazione iniziale: Mai rieseguita dopo il rilascio in produzione.
- Nessun trigger definito: I cambiamenti rilevanti non riavviano la valutazione.
- Evidenze non conservate: Valutazione eseguita ma senza rapporto archiviato.
- Fotocopia del ciclo precedente: Rapporto identico, senza confronto né dati nuovi.
- Azioni mai chiuse: Rilievi aperti da cicli senza verifica di chiusura.