La ISO 42001, formalmente ISO/IEC 42001:2023, è la norma internazionale sul sistema di gestione dell'intelligenza artificiale (AIMS). Pubblicata nel dicembre 2023, stabilisce come un'organizzazione governa l'IA che sviluppa, fornisce o usa: politica, ruoli, valutazione di rischi e impatti, controlli sul ciclo di vita e miglioramento continuo. È volontaria e certificabile da organismi accreditati.
In sintesi
- È una norma sui sistemi di gestione, come la ISO/IEC 27001 per la sicurezza delle informazioni, ma dedicata allo sviluppo e all'uso responsabile dell'IA.
- I punti da 4 a 10 seguono la struttura comune delle norme ISO, quindi si integra con 27001, 27701 e 9001.
- L'allegato A contiene i controlli di riferimento, di solito contati in 38 su nove obiettivi.
- La certificazione passa per un audit in due fasi e audit di sorveglianza annuali in un ciclo triennale.
- Essere certificati non equivale a essere conformi all'AI Act, ma costruisce buona parte della governance che il regolamento si aspetta.
Cos'è la ISO/IEC 42001
La norma è stata sviluppata dal sottocomitato congiunto ISO e IEC sull'intelligenza artificiale, ISO/IEC JTC 1/SC 42, e pubblicata da ISO a dicembre 2023 come prima norma certificabile per un sistema di gestione dell'IA. Il titolo completo è «Information technology — Artificial intelligence — Management system». In Italia la si cerca come «ISO 42001» o «ISO/IEC 42001»: è la stessa norma.
Un sistema di gestione è l'insieme di politiche, processi, ruoli e registrazioni con cui un'organizzazione raggiunge i propri obiettivi in modo controllato. La ISO 42001 applica questa logica all'IA. Non dice quale modello usare né fissa soglie di accuratezza. Chiede invece di decidere cosa significa IA responsabile per voi, valutare rischi e impatti dei vostri sistemi, applicare controlli adeguati, misurare se funzionano e migliorarli.
Si rivolge a qualsiasi organizzazione che fornisce o usa prodotti e servizi basati sull'IA, di qualsiasi dimensione e settore, pubblica o privata. Quindi non solo a chi sviluppa modelli, ma anche alla software house che integra l'IA nel gestionale e all'azienda che usa uno strumento di selezione del personale o distribuisce Copilot ai dipendenti. Se partite da zero, la valutazione gratuita della governance AI di Opsio mostra a che punto siete su dieci ambiti e scrive il vostro framework di governance AI.
Hai bisogno di aiuto con cloud?
Prenota un incontro gratuito di 30 minuti con uno dei nostri specialisti in cloud. Analizziamo le tue esigenze e forniamo raccomandazioni concrete — nessun obbligo.
Come è strutturata la norma
La ISO 42001 usa la struttura armonizzata comune a tutte le norme sui sistemi di gestione. I punti da 1 a 3 trattano scopo, riferimenti e termini; i requisiti sono nei punti da 4 a 10.
| Punto | Tema | Cosa chiede per l'IA |
|---|---|---|
| 4 | Contesto dell'organizzazione | Fattori interni ed esterni, il vostro ruolo rispetto ai sistemi di IA (sviluppatore, fornitore, utilizzatore), parti interessate, campo di applicazione dell'AIMS |
| 5 | Leadership | Impegno della direzione, una politica per l'IA, ruoli e responsabilità assegnati |
| 6 | Pianificazione | Valutazione e trattamento dei rischi legati all'IA con dichiarazione di applicabilità, valutazione d'impatto dei sistemi di IA, obiettivi misurabili |
| 7 | Supporto | Risorse, competenze, consapevolezza, comunicazione, informazioni documentate |
| 8 | Attività operative | Eseguire valutazioni dei rischi, trattamenti e valutazioni d'impatto a intervalli pianificati e a ogni cambiamento significativo |
| 9 | Valutazione delle prestazioni | Monitoraggio, misurazione, audit interno, riesame della direzione |
| 10 | Miglioramento | Non conformità, azioni correttive, miglioramento continuo |
Il cuore specifico per l'IA sta nel punto 6. A differenza della ISO 27001, la 42001 chiede una valutazione d'impatto dei sistemi di IA: le possibili conseguenze per individui, gruppi e società. È la parte che guarda oltre il rischio per l'azienda e considera le persone coinvolte. Un buon punto di partenza è un modello di valutazione dei rischi dell'IA che copra entrambi gli aspetti.
Gli allegati
- Allegato A, obiettivi di controllo e controlli di riferimento. Nove aree, da A.2 a A.10: politiche sull'IA, organizzazione interna, risorse, valutazione degli impatti, ciclo di vita, dati, informazioni alle parti interessate, uso dei sistemi, rapporti con terze parti e clienti. Il totale citato è di solito 38 controlli. Come per la 27001, scegliete quali applicare e motivate le esclusioni nella dichiarazione di applicabilità.
- Allegato B, guida all'attuazione di ciascun controllo.
- Allegato C, possibili obiettivi organizzativi e fonti di rischio legati all'IA, come equità, sicurezza, privacy, trasparenza, robustezza e livello di automazione.
- Allegato D, uso del sistema di gestione nei diversi settori e integrazione con altre norme.
Per la formulazione esatta e lo stato normativo di ogni allegato fate riferimento alla norma acquistata: i riassunti variano, in audit conta solo il testo.
Le norme collegate
- ISO/IEC 22989: concetti e terminologia dell'IA.
- ISO/IEC 23894: linee guida sulla gestione del rischio dell'IA, basate sulla ISO 31000.
- ISO/IEC 42005: linee guida sulla valutazione d'impatto dei sistemi di IA, pubblicata nel 2025.
- ISO/IEC 42006: requisiti per gli organismi che certificano i sistemi di gestione dell'IA, pubblicata a luglio 2025, in aggiunta alla ISO/IEC 17021-1.
A chi conviene la ISO 42001
Tre tipi di organizzazioni ci arrivano per prime. Le software house e i fornitori SaaS con funzioni di IA, a cui i grandi clienti chiedono prove di un uso responsabile nelle gare e nei questionari fornitori: il certificato accorcia le verifiche. Le aziende già certificate ISO 27001 o 27701, che possono estendere il sistema esistente con uno sforzo contenuto, perché la struttura dei punti è identica. Le organizzazioni regolate che usano l'IA su larga scala, come banche, assicurazioni, sanità e PA, che vogliono un quadro difendibile mentre gli obblighi dell'AI Act entrano in vigore.
Le PMI che usano pochi strumenti di IA standard spesso ricavano più valore introducendo prima le pratiche di base (AI policy, inventario, valutazione dei rischi, controlli sui fornitori) e decidendo poi se la certificazione vale l'investimento.
Come si ottiene la certificazione ISO 42001
La certificazione è rilasciata da un organismo di certificazione indipendente. In Italia conviene scegliere un organismo accreditato per la ISO/IEC 42001 da Accredia, l'ente nazionale di accreditamento, o da un ente firmatario degli accordi di mutuo riconoscimento. Gli organismi accreditati sono valutati rispetto alla ISO/IEC 17021-1 e alla ISO/IEC 42006. Esistono certificati non accreditati, ma pesano meno nelle gare e negli acquisti.
- Campo di applicazione. Definite unità organizzative, sistemi di IA e ruoli inclusi. Un perimetro stretto e chiaro è più facile da certificare e difendere.
- Analisi delle lacune. Confrontate le pratiche attuali con i punti 4–10 e l'allegato A.
- Attuazione. Scrivete la politica per l'IA, definite i ruoli, eseguite valutazioni di rischi e impatti, scegliete i controlli, redigete la dichiarazione di applicabilità, formate il personale e iniziate a produrre registrazioni.
- Audit interno e riesame della direzione. Entrambi obbligatori prima della certificazione, e devono essere stati fatti davvero.
- Audit di fase 1. L'auditor esamina documentazione, perimetro e prontezza.
- Audit di fase 2. L'auditor verifica che il sistema sia attuato ed efficace con interviste, registrazioni e campionamenti. Le non conformità vanno chiuse prima del rilascio.
- Sorveglianza e rinnovo. Audit annuali nel secondo e terzo anno, poi ricertificazione prima della scadenza triennale.
Tempi e impegno: da cosa dipendono
Non esiste un prezzo o una durata standard, e chi ne indica uno senza conoscere il vostro perimetro tira a indovinare. I fattori principali:
| Fattore | Perché cambia l'impegno |
|---|---|
| Sistemi di gestione esistenti | Chi è certificato 27001 o 27701 ha già controllo documentale, audit interni, riesame e metodo di rischio |
| Perimetro e numero di sistemi | Ogni sistema incluso richiede valutazione di rischi e impatti e controlli sul ciclo di vita |
| Ruolo | Chi sviluppa e fornisce IA ha molti più controlli da dimostrare di chi usa soluzioni di terzi |
| Persone e sedi | I giorni di audit dipendono anche dal numero di persone e di siti inclusi |
| Maturità della governance | Senza inventario e policy, il lavoro di base viene prima di tutto |
ISO 42001 e ISO 27001 a confronto
| Aspetto | ISO/IEC 27001 | ISO/IEC 42001 |
|---|---|---|
| Oggetto | Sicurezza delle informazioni | Sviluppo, fornitura e uso responsabile dell'IA |
| Struttura | Struttura armonizzata, punti 4–10 | Struttura armonizzata, punti 4–10 |
| Allegato A | 93 controlli (edizione 2022) | Controlli di riferimento in nove obiettivi, di solito 38 |
| Focus del rischio | Riservatezza, integrità, disponibilità | Rischi per l'organizzazione e impatti su persone, gruppi e società |
| Requisito distintivo | Trattamento del rischio per la sicurezza | Valutazione d'impatto dei sistemi di IA |
Le due norme si completano: la sicurezza dell'IA (prompt injection, catena di fornitura dei modelli, fuga di dati) poggia comunque sui controlli di sicurezza delle informazioni. Per trasparenza: le attività di Opsio in India sono certificate ISO/IEC 27001 e ISO/IEC 27701; Opsio non è certificata ISO/IEC 42001.
ISO 42001 e AI Act: cosa copre e cosa no
L'AI Act è legge vincolante, con obblighi legati a ruolo e classe di rischio, per esempio sistema di gestione dei rischi e della qualità per i fornitori di IA ad alto rischio. La ISO 42001 è un sistema di gestione volontario per tutta l'organizzazione. La certificazione non dà presunzione di conformità al regolamento: quella deriva solo dalle norme armonizzate pubblicate nella Gazzetta ufficiale dell'UE ai sensi dell'articolo 40 del regolamento (UE) 2024/1689, ancora in preparazione presso CEN-CENELEC a ottobre 2026. Anche il d.lgs. 160/2026 lo conferma indirettamente: la conformità certificata non esclude da sola la responsabilità civile.
Detto questo, un AIMS vi dà la governance, i processi di rischio e le registrazioni che servono anche per l'AI Act: inventario, ruoli, valutazioni, formazione, controllo dei fornitori. Per pianificare insieme norma e regolamento, partite da una gap analysis per l'AI Act; per gli aspetti di sicurezza, la nostra pagina su sicurezza e compliance dell'IA.
Domande frequenti
Cos'è la ISO 42001 in parole semplici?
È una norma internazionale che descrive come organizzare la gestione dell'intelligenza artificiale in azienda: chi decide, come si valutano rischi e impatti, quali controlli si applicano, come si verifica che funzionino. Funziona come la ISO 27001 per la sicurezza o la ISO 9001 per la qualità, ma è dedicata all'IA, e si può certificare.
La certificazione ISO 42001 è obbligatoria?
No. È volontaria, in Italia come nel resto d'Europa. Nessuna legge la impone, nemmeno l'AI Act o la legge 132/2025. Può però essere richiesta da clienti e committenti, soprattutto nelle gare e negli acquisti di grandi aziende e PA, come prova di una governance dell'IA strutturata.
Chi rilascia la certificazione ISO 42001 in Italia?
Organismi di certificazione indipendenti. Per un certificato con valore pieno conviene scegliere un organismo accreditato per la ISO/IEC 42001 da Accredia o da un altro ente di accreditamento firmatario degli accordi internazionali. Opsio non rilascia certificazioni e non è un organismo di certificazione.
La ISO 42001 basta per essere conformi all'AI Act?
No. La certificazione non crea una presunzione di conformità al regolamento, che deriva solo dalle norme armonizzate pubblicate nella Gazzetta ufficiale dell'UE. Copre però molte basi utili: governance, rischi, impatti, formazione e fornitori. Gli obblighi specifici, come la trasparenza dell'articolo 50 o la documentazione tecnica dell'alto rischio, vanno verificati a parte.
Quanto tempo serve per certificarsi?
Dipende da perimetro, numero di sistemi, ruolo e maturità di partenza. Un'organizzazione già certificata ISO 27001 riutilizza audit interni, riesame e metodo di rischio e si concentra sui punti specifici dell'IA. Chi parte senza inventario né policy deve prima costruire le basi. Diffidate da tempi e prezzi dati senza analisi.
Costruite le basi prima della certificazione
Inventario, policy, valutazione dei rischi e controllo dei fornitori sono il primo passo sia per la ISO 42001 sia per l'AI Act. L'assessment gratuito di Opsio con modelli di AI policy e governance vi chiede circa 40 minuti, in 14 passi e in italiano, e scrive quattro documenti sulle vostre risposte: un framework di governance AI pensato tenendo conto della ISO/IEC 42001, un'AI policy sull'uso accettabile, una checklist per i fornitori AI e un modello di valutazione dei rischi. Sono consegnati in inglese come file Word modificabili. Non è una certificazione, ma un punto di partenza concreto.
Questo articolo è un'informazione generale e non costituisce consulenza legale. Per gli obblighi di legge verificate il testo consolidato del regolamento (UE) 2024/1689, come modificato dal regolamento (UE) 2026/1744; per i requisiti della norma, il testo ufficiale della ISO/IEC 42001. Situazione aggiornata a ottobre 2026.
Scritto da
Country Manager, Svezia
Johan guida le operazioni di Opsio in Svezia, promuovendo l'adozione dell'IA, la trasformazione DevOps, la strategia di sicurezza e le soluzioni cloud per le aziende nordiche. Con oltre 12 anni di esperienza nell'infrastruttura cloud, ha realizzato più di 200 progetti su AWS, Azure e GCP — specializzandosi in revisioni Well-Architected, progettazione di landing zone e strategia multi-cloud.
Standard editoriali: Questo articolo è stato scritto da professionisti cloud e revisionato dal nostro team di ingegneria. Lo aggiorniamo quando cambiano la tecnologia o la normativa di cui tratta; le date in questa pagina indicano l'ultimo aggiornamento. Opsio è editorialmente indipendente.