Consulenza ISO/IEC 42001
Progettiamo un AI Management System allineato a ISO/IEC 42001, complementare all'adeguamento AI Act e al GDPR.
Cos'è ISO/IEC 42001
ISO/IEC 42001 è lo standard per i Sistemi di Gestione dell'Intelligenza Artificiale (AIMS). È volontario: struttura governance, rischi e controlli AI ed è complementare all'AI Act e al GDPR, senza sostituirli.
Cosa comporta per le aziende
- Chi è coinvolto. Organizzazioni che sviluppano, forniscono o usano sistemi AI e vogliono un sistema di gestione documentabile verso clienti, partner e board.
- Cosa fare per certificarsi. Analisi degli scostamenti AIMS; policy, ruoli e controlli AI; gestione rischi e documentazione; audit interno; supporto all'ente di certificazione.
- Benefici di mercato. Credibilità verso clienti che chiedono governance AI strutturata; supporto pratico all'adeguamento AI Act senza confondere standard volontario e obbligo di legge.
Cose chiave
- StandardISO/IEC 42001 (AIMS)
- NaturaVolontario, non sostituisce l'AI Act
- SinergieAI Act, GDPR, ISO 27001
- CertificazioneEnte accreditato di terza parte
Cosa facciamo
Progettiamo un AI Management System allineato a ISO/IEC 42001, complementare all'adeguamento AI Act e al GDPR.
- Analisi degli scostamenti AIMS. Foto dello scostamento rispetto allo standard.
- Policy e ruoli. Governance AI e responsabilità chiare.
- Rischi e controlli. Gestione rischi AI e documentazione correlata.
- Audit e ente. Audit interno e supporto alla certificazione.
- Raccordo normativo. Coerenza con AI Act e GDPR.
AB Horizon fornisce consulenza di preparazione alla certificazione ISO/IEC 42001. Non è organismo di certificazione né di valutazione della conformità dei sistemi AI ai sensi dell'AI Act.
Prossimo passo
Valutiamo insieme preliminare: definiamo ambito, gap e piano di lavoro con tempi chiari.
Cosa ottieni
- Report analisi degli scostamenti AIMS
- Policy e governance AI
- Valutazione rischi AI e controlli
- Pack documentazione AIMS
- Piano audit interni
- Supporto audit di certificazione
A chi serve
ISO 42001 interessa chi vuole un AIMS dimostrabile verso direzione e clienti — non chi cerca un sostituto dell'AI Act.
- Chi usa o integra più sistemi AI. Serve perimetro, ruoli e rischi, non una policy unica «sull'intelligenza artificiale».
- Chi riceve questionari su governance AI. Un AIMS struttura inventario e controlli; non attesta la conformità al regolamento.
- Chi sta adeguandosi all'AI Act. La 42001 può correre in parallelo (literacy, fornitori, classificazione); l'obbligo, dove c'è, resta del regolamento.
- Chi tratta dati personali con l'AI. GDPR (base giuridica, informative, DPIA) e AIMS si allineano: non si sostituiscono.
Errori comuni
Questi errori producono un AIMS di facciata o un'equivalenza inesistente con l'AI Act.
- Trattare ISO 42001 come «conformità AI Act». Standard volontario: non dà presunzione di conformità. Per l'art. 17 (fornitori alto rischio) il riferimento europeo è EN 18286:2026, con presunzione solo se citato in GUUE.
- Partire dalle policy senza inventario. Quali sistemi, chi li fornisce, su quali dati, con quale ruolo: senza mappa le policy coprono un perimetro inesistente.
- Elenco di tool al posto dell'AIMS. Mancano ruoli, rischi, controlli e audit interno.
- Ignorare il GDPR sui dati. L'AIMS governa i sistemi; gli interessati restano sul regolamento privacy.
- Certificare per abitudine. Spesso basta un quadro dimostrabile; l'ente serve se un committente lo chiede.
Esperienza tipica
Contesto tipico: diversi tool AI in cloud e richiesta di «avere un sistema» senza voler equivalere l'AIMS all'AI Act.
PMI con tool AI di terzi — AIMS da inventario, non da policy
Un'organizzazione usava assistenti, ERP e un modello di terzi senza un perimetro AI. Abbiamo partito dall'inventario (sistemi, fornitore, dati, ruolo), definito chi sviluppa, chi usa e chi decide, e impostato rischi e controlli dell'AIMS. Literacy e fornitori sono stati raccordati al percorso AI Act, senza presentare la 42001 come attestato di conformità al regolamento. Dove circolavano dati personali abbiamo allineato informative e, dove serviva, DPIA.
Esito
AIMS utilizzabile verso direzione e clienti, sul perimetro concordato. La certificazione, se richiesta, resta dell'organismo; l'AI Act resta un quadro distinto.
Checklist operativa
Cosa avere prima di parlare di certificazione o di «governance AI» verso un cliente.
- InventarioSistemi in scope, fornitori, dati e finalità
- RuoliChi sviluppa, chi usa, chi decide, per ciascun uso
- Rischi e controlliValutazione AIMS, non un elenco di tool
- PolicyScritte dopo la mappa, non al posto della mappa
- AI Act / GDPRRaccordi espliciti, senza equivalenze
- Audit internoSe si punta all'ente: evidenze sul perimetro dichiarato
Domande frequenti
ISO 42001 sostituisce l'AI Act?
No. ISO/IEC 42001 è uno standard volontario di sistema di gestione (AIMS). Può strutturare inventario, ruoli e controlli in coerenza con l'AI Act, ma non è richiesto dal regolamento, non attesta la «conformità AI Act» e non dà presunzione di conformità.
Che rapporto ha con il GDPR?
Se i sistemi AI trattano dati personali restano base giuridica, informative, diritti e, dove serve, DPIA. L'AIMS copre governance e rischio dei sistemi AI; il GDPR copre gli interessati. Si allineano, non si sostituiscono.
Cos'è un AIMS in pratica?
Un sistema di gestione per l'AI: perimetro dei sistemi in scope, ruoli (chi sviluppa, chi usa, chi decide), rischi, policy, controlli e audit interno. Non è un elenco di tool né una policy unica «sull'intelligenza artificiale».
Ha senso senza certificazione?
Sì, se serve un quadro dimostrabile verso direzione e clienti (inventario, classificazione, literacy, fornitori). La certificazione è un passo successivo, utile se un committente la chiede. Valutiamo insieme se e quando conviene l'ente.
Si parte dall'inventario o dalle policy?
Dall'inventario: quali sistemi, chi li fornisce, su quali dati, con quale ruolo. Le policy senza mappa coprono un perimetro inesistente — lo stesso errore che si fa sull'AI Act.
ISO 42001 è obbligatoria per usare AI in azienda?
No. L'obbligo, dove c'è, arriva dall'AI Act (e dal GDPR sui dati). La 42001 resta una scelta di organizzazione, spesso in parallelo a un percorso AI Act, non al posto di quello.
Che differenza c'è tra ISO 42001 e EN 18286?
ISO/IEC 42001 è un AIMS organizzativo volontario. EN 18286:2026 è lo standard europeo sul sistema di gestione della qualità per fini AI Act (art. 17), rivolto in particolare ai fornitori di sistemi ad alto rischio. Non si equivalgono: la 42001 non copre da sola i requisiti dell'art. 17. La presunzione di conformità (art. 40) non nasce dalla 42001: arriva dallo standard armonizzato citato in Gazzetta ufficiale dell'UE.
Progetto tecnologico
Serve anche sviluppo IA? Il progetto è Next Be
Next Be traduce l’IA in strumenti operativi: sviluppo tecnologico, automazione dei processi e formazione applicata. Dal bisogno al risultato, senza restare sulla teoria.