In uno scenario in cui l’adozione di sistemi di intelligenza artificiale nei processi aziendali si accompagna a un quadro regolatorio europeo in via di consolidamento, la governance documentata di questi strumenti diventa una variabile strutturale per la competitività e per la fiducia degli stakeholder. Il 19 febbraio 2026, con la Circolare tecnica DC n. 08/2026, protocollo DC2026SPM050, Accredia ha definito le regole per l’accreditamento degli organismi che certificano i sistemi di gestione per l’intelligenza artificiale a fronte della UNI CEI ISO/IEC 42001. Il 15 luglio 2026 il primo organismo italiano ha comunicato di aver ottenuto l’accreditamento, aprendo di fatto il mercato della certificazione accreditata su questo schema.

Che cosa richiede la ISO/IEC 42001

La ISO/IEC 42001:2023, dal titolo “Information technology, Artificial intelligence, Management system”, è stata pubblicata il 18 dicembre 2023 ed è il primo standard internazionale dedicato ai sistemi di gestione per l’intelligenza artificiale. Il documento, di 51 pagine, definisce i requisiti per stabilire, attuare, mantenere e migliorare in modo continuo un sistema di gestione dell’intelligenza artificiale, indicato con l’acronimo AIMS.

L’impostazione non è tecnica ma organizzativa. La norma non entra nel merito degli algoritmi né valuta le prestazioni di un singolo modello. Definisce invece il modo in cui l’organizzazione governa l’intero ciclo, dalla decisione di adottare un sistema di intelligenza artificiale alla valutazione dei rischi e delle opportunità, dalla definizione di ruoli e responsabilità al monitoraggio degli esiti, secondo il ciclo di pianificazione, attuazione, verifica e miglioramento comune a tutti gli standard di sistema.

Il campo di applicazione è volutamente ampio. La norma si rivolge a organizzazioni di qualsiasi dimensione che sviluppano, forniscono o utilizzano prodotti e servizi basati su intelligenza artificiale, in tutti i settori, comprese le pubbliche amministrazioni e gli enti non profit. Questo significa che rientra nel perimetro anche l’impresa che non produce tecnologia ma la impiega, ad esempio nella selezione del personale, nella manutenzione predittiva, nel controllo qualità o nella relazione con il cliente.

La versione italiana: UNI CEI ISO/IEC 42001:2024

Il recepimento nazionale è avvenuto con la UNI CEI ISO/IEC 42001:2024, dal titolo “Tecnologie informatiche, Intelligenza artificiale, Sistema di gestione”, disponibile in lingua italiana dal 29 gennaio 2025. La disponibilità del testo in italiano è un elemento pratico rilevante, perché rende accessibile la norma anche alle organizzazioni che non dispongono di funzioni interne abituate a lavorare su documenti tecnici in inglese.

La norma adotta la struttura armonizzata comune agli altri standard di sistema, il che consente di integrarla con un sistema di gestione già esistente anziché costruirne uno parallelo. Per un’impresa già certificata ISO 9001 o ISO/IEC 27001 questo si traduce in un risparmio consistente, perché politica, gestione documentale, audit interni, riesame della direzione e gestione delle non conformità possono essere estesi anziché duplicati.

Perché l’accreditamento cambia il valore del certificato

Fino all’apertura dello schema di accreditamento, un certificato ISO/IEC 42001 poteva essere emesso solo in regime non accreditato. La differenza non è formale. L’accreditamento è la verifica, condotta dall’ente unico nazionale, che l’organismo di certificazione possieda le competenze, l’imparzialità e le procedure necessarie per valutare quello specifico schema, e che le proprie verifiche siano condotte con durate e modalità coerenti.

Per l’impresa che investe in un percorso di certificazione la conseguenza è diretta. Un certificato accreditato è riconoscibile e verificabile presso la banca dati dell’ente di accreditamento, ha valore nei rapporti con clienti e committenti pubblici e regge il confronto in sede di qualifica fornitori. Un certificato non accreditato, pur potendo attestare un lavoro serio, non offre le stesse garanzie di terzietà.

Il percorso definito da Accredia per gli organismi di certificazione

La Circolare tecnica DC n. 08/2026 stabilisce che l’accreditamento è rilasciato a fronte della UNI CEI EN ISO/IEC 17021-1:2015, integrata dalla ISO/IEC 42006 con specifico riferimento agli allegati A e B. La ISO/IEC 42006:2025, dal titolo “Information technology, Artificial intelligence, Requirements for bodies providing audit and certification of artificial intelligence management systems”, è stata pubblicata il 7 luglio 2025 ed è qualificata come norma di livello 4 secondo EA 1/06.

Il percorso di accreditamento è modulato in funzione della posizione di partenza dell’organismo. Per gli organismi già accreditati sono previsti un esame documentale di una giornata uomo, una verifica ispettiva presso la sede di due giornate uomo e una verifica in accompagnamento. Per gli organismi accreditati su schemi diversi la verifica ispettiva sale a tre giornate uomo, mentre per gli organismi non ancora accreditati arriva a quattro. Il mantenimento prevede almeno una verifica annuale presso la sede dell’organismo e una verifica in accompagnamento nel ciclo di accreditamento.

Questa scansione spiega perché fra la pubblicazione della circolare e il primo accreditamento italiano siano trascorsi alcuni mesi, e perché l’offerta di organismi accreditati sia destinata ad ampliarsi progressivamente. È un elemento da considerare nella pianificazione, perché nella fase iniziale la disponibilità di gruppi di audit qualificati resta limitata.

Il rapporto con il Regolamento (UE) 2024/1689

La ISO/IEC 42001 è uno standard volontario e non sostituisce gli obblighi previsti dal Regolamento (UE) 2024/1689, il cosiddetto AI Act. La distinzione va tenuta ferma, perché la certificazione non produce di per sé una presunzione di conformità al regolamento europeo.

Il rapporto tra i due strumenti è però di forte complementarietà sul piano operativo. Molti degli elementi richiesti dal regolamento, come la gestione del rischio, la qualità dei dati, la documentazione tecnica, la sorveglianza umana, la registrazione degli eventi e la trasparenza verso gli utilizzatori, trovano nella norma un impianto organizzativo già strutturato. Un’impresa che implementa un sistema di gestione conforme alla ISO/IEC 42001 costruisce quindi l’infrastruttura documentale e procedurale su cui poggeranno gli adempimenti regolatori, in particolare per i sistemi che ricadranno nella categoria ad alto rischio. Considerato che gli obblighi per l’alto rischio sono stati differiti al 2 dicembre 2027, il tempo disponibile consente di procedere per gradi anziché in emergenza.

Quali organizzazioni hanno interesse a certificarsi

L’interesse non è limitato alle imprese tecnologiche. Le situazioni in cui la certificazione produce un ritorno concreto sono principalmente tre.

• Le organizzazioni che sviluppano o distribuiscono soluzioni basate su intelligenza artificiale e devono dimostrare affidabilità a clienti, investitori e committenti pubblici.
• Le imprese che utilizzano sistemi di intelligenza artificiale in processi sensibili, dalla gestione del personale al credito, dalla sicurezza sul lavoro alla qualità di prodotto, e che devono poter documentare come tali strumenti sono governati.
• I fornitori inseriti in filiere strutturate, ai quali la qualifica richiede sempre più spesso evidenze sulla governance degli strumenti digitali impiegati.

Va aggiunto che la certificazione produce un effetto interno spesso sottovalutato. Il censimento dei sistemi di intelligenza artificiale effettivamente in uso, che è il primo passo del percorso, restituisce quasi sempre un quadro più ampio di quello che il vertice aziendale immaginava, perché molte funzioni hanno introdotto strumenti in autonomia senza una valutazione preventiva.

Come avviare il percorso in azienda

Il punto di partenza non è la scelta dell’organismo di certificazione ma la definizione del campo di applicazione. Occorre stabilire quali processi, quali sistemi e quali sedi rientrano nel perimetro, distinguendo tra ciò che l’organizzazione sviluppa e ciò che si limita a utilizzare, perché ruoli e responsabilità cambiano in modo sostanziale nei due casi.

Seguono l’inventario dei sistemi in uso, la valutazione dei rischi e degli impatti associati a ciascuno di essi, la definizione della politica e degli obiettivi, l’attribuzione formale delle responsabilità e la costruzione del corpo documentale. Il percorso si chiude con un ciclo completo di audit interno e riesame della direzione, che deve precedere la verifica di certificazione. Per le organizzazioni che dispongono già di un sistema di gestione certificato conviene programmare l’estensione in occasione di una verifica già pianificata, contenendo i costi e l’impegno delle funzioni coinvolte.

Governare l’intelligenza artificiale prima che diventi un obbligo

L’apertura dell’accreditamento segna il passaggio della ISO/IEC 42001 da riferimento teorico a strumento verificabile. Le organizzazioni che stanno affrontando il tema oggi lo fanno in una condizione favorevole, perché possono costruire il proprio sistema di governance con i tempi della progettazione anziché con quelli della scadenza regolatoria, e possono utilizzare il percorso per ordinare un ambito che nella maggior parte delle imprese è cresciuto in modo disordinato.

Affianchiamo le organizzazioni nella definizione del campo di applicazione, nell’inventario e nella valutazione dei sistemi di intelligenza artificiale in uso, nella costruzione del sistema di gestione e nella preparazione alla verifica di certificazione, integrando la ISO/IEC 42001 con gli altri standard già presenti in azienda, perché la governance dell’intelligenza artificiale produce valore quando diventa parte del sistema di gestione e non un adempimento separato.