Valutazione del rischio IA (8.2): guida pratica ISO 42001 con esempi
Il punto 8.2 trasforma la valutazione del rischio IA in un'attività viva: rieseguirla a intervalli pianificati, ripeterla a fronte di cambiamenti significativi e conservarne le evidenze. Ecco come farlo in pratica.
Cosa prevede il punto 8.2
Questa guida pratica alla ISO 42001 spiega con esempi come attuare il punto 8.2: la valutazione del rischio IA non è un esercizio una tantum ma un'attività da rieseguire a intervalli pianificati e ogni volta che intervengono cambiamenti significativi su sistemi, dati o contesto d'uso.
Mentre il punto 6.1.2 definisce il metodo, qui la norma chiede di eseguirlo davvero e di ripeterlo nel tempo: l'organizzazione deve dimostrare con informazioni documentate che le rivalutazioni avvengono secondo il calendario previsto e quando un evento rilevante lo richiede, senza affidarsi alla memoria dei singoli: date, partecipanti, esiti e scostamenti rispetto alla valutazione precedente devono restare tracciati e recuperabili.
Vedremo come Azienda Italiana S.p.A. ha organizzato il riesame della valutazione del rischio IA per il chatbot di assistenza clienti e per il sistema di screening dei CV, con trigger di cambiamento, evidenze conservate e domande tipiche dell'auditor: una guida pratica da applicare da subito.
In sintesi, la norma vuole vedere:
- Rivalutazioni a intervalli pianificati
- Rivalutazione dopo cambiamenti significativi
- Informazioni documentate conservate
- Criteri e metodo applicati in modo coerente
- Esiti confrontabili tra un riesame e l'altro
Esempio di controllo tecnico per il punto 8.2
Un controllo operativo efficace è il calendario delle rivalutazioni: ogni sistema IA ha una scadenza pianificata (per il chatbot, ogni sei mesi; per lo screening CV, ogni trimestre, vista la maggiore sensibilità del trattamento) registrata con responsabile e stato di avanzamento. Allo scadere, il Risk Manager IA riesegue la valutazione del rischio IA con il metodo già definito, registra l'esito nel registro e lo confronta con il riesame precedente. Questa guida pratica mostra come il calendario, da solo, non basta: serve un secondo presidio sugli eventi.
Controllo tecnico collegato: il monitoraggio automatico dei cambiamenti. Per il chatbot, ogni aggiornamento del modello linguistico o nuova integrazione genera un ticket che impone la rivalutazione prima del rilascio; per lo screening CV, la modifica dei criteri di ranking o l'ingresso di una nuova fonte dati blocca la messa in produzione finché la scheda di rivalutazione non è approvata dalla Direzione HR.
Matrice dei trigger di rivalutazione
| Trigger | Esempio reale | Azione richiesta |
|---|---|---|
| Intervallo pianificato | Scadenza semestrale del chatbot | Riesame completo della valutazione |
| Cambio di modello | Nuova versione del LLM del chatbot | Rivalutazione prima del rilascio |
| Nuovo uso dei dati | Screening CV esteso a nuove mansioni | Scheda di rivalutazione e approvazione |
| Incidente o reclamo | Risposte discriminatorie segnalate | Rivalutazione straordinaria immediata |
| Contesto esterno | Nuovi obblighi da AI Act | Verifica di criteri e soglie di rischio |
La matrice è un'informazione documentata: ogni trigger attivato lascia traccia nel registro REG-AI-05, con data, esito e responsabile del riesame.
Cosa scriverebbe "Azienda Italiana S.p.A." sul punto 8.2
Esempio di procedura operativa adottata da Azienda Italiana S.p.A. per rieseguire, ripetere e documentare la valutazione del rischio IA sui due sistemi in produzione, con registro degli esiti e trigger di cambiamento.
Procedura di riesame operativo della valutazione del rischio IA
Metodo
Calendario semestrale e trimestrale; trigger di cambiamento censiti; riesame con i criteri aziendali; registrazione degli esiti; conservazione delle evidenze per almeno tre anni; confronto obbligatorio con l'esito precedente e motivazione degli scostamenti.
Estratto
| Sistema IA | Ultimo riesame | Prossimo | Trigger | Esito |
|---|---|---|---|---|
| Chatbot assistenza clienti | 01/2026 | 07/2026 | Nessuno | Rischio invariato |
| Screening CV | 02/2026 | 05/2026 | Nuovo criterio di ranking | Rivalutazione avviata |
| Chatbot assistenza clienti | 11/2025 | 01/2026 | Upgrade del LLM | Due rischi alzati |
| Screening CV | 08/2025 | 11/2025 | Reclamo di una candidata | Nuovo controllo bias |
| Chatbot assistenza clienti | 05/2025 | 11/2025 | Programmata | Invariato |
Ruoli e responsabilità
| Ruolo | Responsabilità |
|---|---|
| Risk Manager IA | Esegue la rivalutazione e registra gli esiti |
| Product Owner chatbot | Segnala cambiamenti di modello e integrazioni |
| Direzione HR | Approva le rivalutazioni dello screening CV |
| Comitato AIMS | Riesamina i risultati e delibera gli interventi |
Checklist operativa
| Passo | Verifica |
|---|---|
| 1 | Scadenza pianificata rispettata per ogni sistema IA |
| 2 | Cambiamenti significativi censiti dal registro modifiche |
| 3 | Valutazione rieseguita con criteri e metodo coerenti |
| 4 | Esito documentato e archiviato in REG-AI-05 |
Esito
Evidenze complete e confrontabili: l'auditor ricostruisce la storia delle rivalutazioni senza bisogno di integrazioni orali, e ogni scostamento di rischio è motivato e tracciato.
Le domande dell'audit interno sul punto 8.2
Domande di audit interno su questo punto, con risposte coerenti ed evidenze.
I consigli del Dott. Valerio Bellini sul punto 8.2
Dott. Valerio Bellini
«Il consiglio strategico di questa guida pratica: trattare il punto 8.2 come un motore a eventi, non come una scadenza di calendario. Chi collega la rivalutazione a rilasci e reclami non si fa sorprendere.»
«L'auditor chiede le evidenze, non le promesse: vuole date, esiti e differenze tra una valutazione e la successiva.»
Gli errori più comuni che incontro:
- Valutazione fatta una volta sola: Il rischio IA va riesaminato nel tempo, sempre.
- Nessun trigger per i cambiamenti: Manca un criterio che definisca cosa è significativo.
- Evidenze non conservate: Senza informazioni documentate il controllo non esiste.
- Riesame solo formale: Copiare l'ultima valutazione non è rivalutare.
- Metodo diverso a ogni riesame: Criteri incoerenti rendono gli esiti non confrontabili.