Intelligenza artificiale, la governance diventa prova organizzativa

La ISO/IEC 42001 porta i sistemi di IA dentro procedure, controlli e responsabilità documentabili.

La ISO/IEC 42001:2023 segna un passaggio operativo nella regolazione dell’intelligenza artificiale. Non introduce un divieto né sostituisce la normativa europea, ma offre un sistema di gestione attraverso il quale l’organizzazione può dimostrare come sviluppa, utilizza, controlla e corregge i propri sistemi di IA. La governance smette così di essere un’affermazione di principio e diventa un insieme di procedure verificabili.

Lo standard richiede di istituire, mantenere e migliorare un sistema di gestione dell’intelligenza artificiale, con ruoli, responsabilità, valutazioni dei rischi, controlli e tracciabilità delle decisioni. La logica è quella del ciclo Plan-Do-Check-Act: pianificare l’uso dell’IA, implementare misure coerenti, verificare gli effetti e correggere le criticità. In ambito societario, questo approccio incide direttamente sui doveri degli amministratori, perché la gestione del rischio tecnologico entra nelle scelte organizzative e nei presidi di controllo interno.

Il raccordo con il Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, 13 giugno 2024, è evidente. L’AI Act costruisce un sistema fondato sul rischio, con obblighi più intensi per i sistemi ad alto impatto su sicurezza, diritti fondamentali, lavoro, credito, istruzione e servizi essenziali. La ISO 42001 può diventare uno strumento di accountability, utile a dimostrare che l’impresa ha valutato i rischi, definito responsabilità, presidiato i dati e assicurato supervisione umana.

Per professionisti, imprese e organi di controllo, il tema non è solo tecnico. La mancata mappatura degli usi di IA, l’assenza di registri, la carenza di istruzioni interne e l’opacità dei processi decisionali possono tradursi in responsabilità contrattuale, regolatoria e organizzativa. La certificazione non garantisce automaticamente la conformità a ogni norma, ma rafforza la posizione probatoria dell’ente che deve dimostrare di avere governato l’innovazione secondo criteri misurabili, aggiornati e coerenti con i rischi effettivi.