L’intelligenza artificiale è entrata nei processi aziendali più in fretta di quanto le organizzazioni siano riuscite a governarla, e la domanda che arriva da clienti, investitori e committenti pubblici non riguarda più quali strumenti si utilizzano ma come vengono controllati. Su questo terreno esiste un solo riferimento certificabile, la ISO/IEC 42001, e il 30 luglio 2026 il suo recepimento italiano è cambiato. La UNI CEI ISO/IEC 42001:2024 risulta ritirata dal catalogo UNI e sostituita dalla UNI CEI EN ISO/IEC 42001:2026, la nuova versione del riferimento italiano.

Che cosa chiede la ISO/IEC 42001 alle imprese

La ISO/IEC 42001:2023, pubblicata il 18 dicembre 2023 con il titolo “Information technology, Artificial intelligence, Management system”, è il primo standard internazionale dedicato ai sistemi di gestione per l’intelligenza artificiale ed è tuttora l’unica norma della sua famiglia rispetto alla quale un’organizzazione può ottenere un certificato. Il documento, di 51 pagine, definisce i requisiti per stabilire, attuare, mantenere e migliorare nel tempo quello che la norma chiama AIMS, cioè il sistema di gestione dell’intelligenza artificiale.

L’impostazione è organizzativa e non tecnica. La norma non entra nel merito degli algoritmi e non misura le prestazioni di un singolo modello, definisce invece il modo in cui l’organizzazione governa l’intero ciclo, dalla decisione di adottare un sistema di intelligenza artificiale alla valutazione dei rischi e delle opportunità, dalla definizione di ruoli e responsabilità al monitoraggio degli esiti, secondo il ciclo di pianificazione, attuazione, verifica e miglioramento comune a tutti gli standard di sistema.

Il perimetro di applicazione è ampio per scelta. La norma si rivolge a organizzazioni di qualsiasi dimensione che sviluppano, forniscono o utilizzano prodotti e servizi basati su intelligenza artificiale, in tutti i settori, comprese le pubbliche amministrazioni e gli enti non profit. Rientra quindi anche l’impresa che non produce tecnologia ma la impiega, per esempio nella selezione del personale, nella manutenzione predittiva, nel controllo qualità o nella relazione con il cliente.

Che cosa cambia con la nuova versione della norma

Il contenuto tecnico non cambia. La UNI CEI EN ISO/IEC 42001:2026 riprende la stessa ISO/IEC 42001:2023, con gli stessi requisiti e la stessa struttura, e la sostituzione è avvenuta negli stessi mesi anche presso gli enti di normazione olandese, sloveno e spagnolo. Chi ha costruito il proprio sistema di gestione sull’edizione precedente non deve rifare il lavoro.

Cambia il riferimento da citare, e non è un dettaglio formale. Lo stesso testo viene ora adottato in forma identica dagli enti di normazione di tutti i paesi che partecipano al sistema di normazione continentale, con il ritiro delle edizioni nazionali precedenti. Per un’impresa che lavora con clienti esteri, o che deve qualificarsi presso una capofila di filiera straniera, un certificato emesso a fronte di un testo comune è più facile da far valere di uno legato a un recepimento nazionale.

La verifica da fare è breve. Occorre controllare quale edizione compare sul certificato e nei documenti del sistema di gestione, e concordare con l’organismo l’allineamento del riferimento in occasione della prima verifica già programmata, senza aprire un percorso separato.

Gli altri documenti della famiglia e a cosa servono

Accanto alla norma certificabile esistono documenti che orientano il lavoro senza essere certificabili. La ISO/IEC 23894:2023, pubblicata il 6 febbraio 2023, declina sull’intelligenza artificiale i principi generali di gestione del rischio, mentre il documento dedicato alla valutazione dell’impatto dei sistemi di intelligenza artificiale su persone, gruppi e società, la ISO/IEC 42005, è disponibile dal 28 maggio 2025 ed è il riferimento più vicino alle valutazioni d’impatto richieste in ambito europeo.

Un quarto documento non riguarda le imprese ma gli organismi di certificazione. La ISO/IEC 42006:2025, pubblicata il 7 luglio 2025, fissa i requisiti che un organismo deve rispettare per certificare un sistema di gestione dell’intelligenza artificiale, dalle competenze degli auditor alle regole di conduzione delle verifiche. È la ragione per cui, al momento di scegliere l’organismo, conviene verificare su quale base sia accreditato, perché è questo che rende il certificato comparabile con quelli emessi altrove.

Il rapporto con le regole europee sull’intelligenza artificiale

La ISO/IEC 42001 resta uno standard volontario e la certificazione non produce una presunzione di conformità al Regolamento (UE) 2024/1689, perché quella presunzione discende soltanto dalle norme armonizzate i cui riferimenti sono pubblicati nella Gazzetta ufficiale dell’Unione europea, e per la disciplina sull’intelligenza artificiale non ne risulta ancora citata alcuna. Il rapporto fra i due piani è però di complementarietà operativa, perché gestione del rischio, qualità dei dati, documentazione tecnica, sorveglianza umana e trasparenza verso chi utilizza il sistema sono elementi che il regolamento pretende e che la norma organizza in un impianto già strutturato. Considerato che gli obblighi sui sistemi classificati ad alto rischio decorrono dal 2 dicembre 2027, il sistema di gestione è l’infrastruttura documentale e procedurale su cui quegli adempimenti potranno poggiare.

Quali organizzazioni hanno interesse a certificarsi

L’interesse non è limitato alle imprese tecnologiche. Le situazioni in cui la certificazione produce un ritorno riconoscibile sono principalmente tre.

• Le organizzazioni che sviluppano o distribuiscono soluzioni basate su intelligenza artificiale e devono dimostrare affidabilità a clienti, investitori e committenti pubblici.
• Le imprese che utilizzano sistemi di intelligenza artificiale in processi sensibili, dalla gestione del personale al credito, dalla sicurezza sul lavoro al controllo qualità, e che devono poter documentare come tali strumenti sono governati.
• I fornitori inseriti in filiere strutturate, ai quali la qualifica richiede sempre più spesso evidenze sulla governance degli strumenti digitali impiegati.

A queste si aggiungono le organizzazioni che rientrano, o prevedono di rientrare, fra i fornitori di sistemi classificati ad alto rischio, per le quali il sistema di gestione è il modo di arrivare alla scadenza con il rischio mappato, le responsabilità assegnate e la documentazione tecnica già impostata.

Come si costruisce il sistema di gestione

Il punto di partenza non è la scelta dell’organismo di certificazione ma la definizione del campo di applicazione. Occorre stabilire quali processi, quali sistemi e quali sedi rientrano nel perimetro, distinguendo ciò che l’organizzazione sviluppa da ciò che si limita a utilizzare, perché ruoli e responsabilità cambiano in modo sostanziale nei due casi.

Seguono l’inventario dei sistemi in uso, la valutazione dei rischi e degli impatti associati a ciascuno di essi, la definizione della politica e degli obiettivi, l’attribuzione formale delle responsabilità e la costruzione del corpo documentale, che comprende le procedure sulla qualità e sulla provenienza dei dati, i criteri di sorveglianza umana, la registrazione degli eventi e le informazioni fornite a chi utilizza il sistema. Il percorso si chiude con un ciclo completo di audit interno e riesame della direzione, che deve precedere la verifica di certificazione.

Per le organizzazioni già certificate ISO 9001 o ISO/IEC 27001 il lavoro è più contenuto, perché la norma adotta la struttura armonizzata comune agli standard di sistema e permette di estendere politica, gestione documentale, audit interni, riesame della direzione e trattamento delle non conformità anziché duplicarli. In questi casi conviene programmare l’estensione in occasione di una verifica già pianificata, così da concentrare in un’unica sessione l’impegno delle funzioni coinvolte.

Governare l’intelligenza artificiale finché resta una scelta

L’aggiornamento della norma consolida un riferimento che fino a poco tempo fa molte imprese consideravano un tema da grandi gruppi tecnologici. Le organizzazioni che lo affrontano adesso lo fanno in una condizione favorevole, perché possono costruire la governance dei propri sistemi con i tempi della progettazione anziché con quelli della scadenza. Il primo passo, il censimento dei sistemi di intelligenza artificiale effettivamente in uso, restituisce quasi sempre un quadro più ampio di quello che il vertice aziendale immaginava, perché molte funzioni hanno introdotto strumenti in autonomia senza una valutazione preventiva.

Affianchiamo le organizzazioni nella definizione del campo di applicazione, nell’inventario e nella valutazione dei sistemi di intelligenza artificiale in uso, nella costruzione del sistema di gestione e nella preparazione alla verifica di certificazione, integrando la ISO/IEC 42001 con gli altri standard già presenti in azienda, perché la governance dell’intelligenza artificiale produce valore quando diventa parte del sistema di gestione e non un adempimento separato.