L’Intelligenza Artificiale sta entrando sempre più nei processi aziendali. E con la sua diffusione arrivano anche nuove regole, nuovi obblighi e nuovi strumenti per gestire i rischi.

In questo scenario, due sigle stanno diventando sempre più importanti: AI Act e ISO/IEC 42001.

Spesso vengono confuse o considerate equivalenti. Ma non lo sono.

Il primo è un regolamento europeo, quindi un obbligo di legge per i soggetti che rientrano nel suo perimetro.

La seconda è uno standard internazionale volontario che aiuta le organizzazioni a costruire un sistema strutturato per governare l’Intelligenza Artificiale.

Capire questa differenza è fondamentale per evitare un errore molto comune: pensare che ottenere una certificazione ISO 42001 significhi automaticamente essere conformi all’AI Act.

AI Act: cosa significa per le aziende?

L’AI Act, ovvero il Regolamento europeo sull’Intelligenza Artificiale, introduce un quadro normativo specifico per lo sviluppo, la commercializzazione e l’utilizzo dei sistemi di AI.

Il regolamento adotta un approccio basato sul livello di rischio associato ai diversi sistemi di Intelligenza Artificiale.

In base alla tipologia di utilizzo, possono quindi applicarsi obblighi differenti, dalla trasparenza fino a requisiti molto più stringenti per i sistemi considerati ad alto rischio.

Per le organizzazioni questo significa una cosa molto semplice: quando un determinato obbligo previsto dall’AI Act si applica alla propria attività, non si tratta di una scelta.

L’azienda deve adeguarsi alla normativa e rispettare gli adempimenti previsti.

L’obiettivo dell’AI Act è infatti quello di garantire che l’AI venga sviluppata e utilizzata in modo sicuro, trasparente e rispettoso dei diritti fondamentali.

ISO 42001: cos’è invece?

La ISO/IEC 42001 segue una logica diversa.

Si tratta dello standard internazionale dedicato ai Sistemi di Gestione dell’Intelligenza Artificiale (AIMS – Artificial Intelligence Management System).

La norma fornisce un framework attraverso cui un’organizzazione può strutturare il modo in cui gestisce l’AI, definendo processi, responsabilità, valutazione dei rischi, controlli e attività di miglioramento continuo.

La certificazione secondo ISO 42001 è volontaria.

Un’organizzazione può quindi scegliere di adottarla per dimostrare di aver costruito un sistema strutturato di governance dell’AI.

Ed è proprio qui che emerge la prima grande differenza:

AI Act = obbligo normativo.
ISO 42001 = scelta organizzativa e strategica.

La certificazione ISO 42001 sostituisce l’AI Act?

No. Questo è probabilmente il punto più importante da chiarire.

Avere una certificazione ISO 42001 non significa automaticamente essere conformi all’AI Act.

L’AI Act stabilisce quali obblighi devono essere rispettati quando il regolamento si applica all’organizzazione e ai suoi sistemi di AI.

La ISO 42001, invece, fornisce un sistema di gestione attraverso il quale l’organizzazione può governare in maniera strutturata i propri processi legati all’AI.

La certificazione, quindi, non può essere considerata una sorta di “patente AI Act”.

L’azienda deve comunque analizzare quali disposizioni del regolamento si applicano alle proprie attività e gestire gli specifici adempimenti richiesti.

Perché allora certificarsi secondo ISO 42001?

Se la certificazione non sostituisce gli obblighi di legge, perché un’organizzazione dovrebbe scegliere di ottenerla?

La risposta sta soprattutto nella governance.

Utilizzare l’AI in modo responsabile non significa soltanto acquistare un software o utilizzare uno strumento già disponibile sul mercato. Significa sapere:

• quali sistemi di AI vengono utilizzati;

• per quali finalità;

• quali rischi possono comportare;

• chi è responsabile della loro gestione;

• quali dati vengono utilizzati;

• come vengono monitorati i sistemi;

• come vengono gestiti eventuali incidenti o non conformità;

• come vengono aggiornati e migliorati i processi.

La ISO 42001 aiuta l’organizzazione a trasformare questi aspetti in un sistema strutturato e documentato.

Non si limita quindi a chiedere attenzione all’AI, ma introduce un approccio organizzativo alla sua gestione.

ISO 42001 e AI Act: due strumenti che possono lavorare insieme

AI Act e ISO 42001 non devono essere necessariamente visti come alternativi. Al contrario, possono essere complementari.

Da una parte, l’organizzazione deve identificare e rispettare gli obblighi normativi applicabili.

Dall’altra, può adottare un sistema di gestione come quello previsto dalla ISO 42001 per strutturare processi, responsabilità e controlli relativi all’AI.

In questo modo, la gestione dell’Intelligenza Artificiale può diventare meno frammentata e più integrata nei processi aziendali.

La certificazione può inoltre rappresentare un elemento utile nei rapporti con clienti, partner, investitori e altri stakeholder, soprattutto in un mercato nel quale la capacità di dimostrare una governance responsabile dell’AI sta diventando sempre più rilevante.

Un vantaggio anche nei rapporti commerciali

La governance dell’AI sta diventando anche una questione di mercato.

Le grandi organizzazioni stanno prestando sempre maggiore attenzione ai rischi legati ai propri fornitori e alla propria supply chain.

Per questo motivo, nei processi di qualifica o nei questionari rivolti ai fornitori, potrebbero comparire domande relative all’utilizzo dell’AI, alle modalità di gestione dei rischi e ai sistemi adottati per garantire una governance adeguata.

In questo contesto, poter dimostrare di avere un sistema di gestione strutturato e certificato secondo ISO 42001 può rappresentare un elemento distintivo.

Non perché la certificazione sostituisca la conformità normativa, ma perché può comunicare al mercato che l’organizzazione ha scelto di affrontare la gestione dell’AI attraverso un approccio strutturato.

AI Act o ISO 42001? La vera risposta è: dipende

La domanda corretta, quindi, non è quale dei due scegliere. AI Act e ISO 42001 rispondono a esigenze diverse.

L’AI Act definisce il quadro normativo europeo e stabilisce obblighi che, quando applicabili, devono essere rispettati.

La ISO 42001 offre invece un modello organizzativo volontario per gestire in modo strutturato l’Intelligenza Artificiale.

Una buona strategia consiste quindi prima di tutto nel capire quali obblighi dell’AI Act riguardano la propria organizzazione e, parallelamente, valutare se un sistema di gestione ISO 42001 possa aiutare a strutturare e rendere più efficace la governance dell’AI.

Conclusione

Confondere AI Act e ISO 42001 può portare a una falsa sensazione di sicurezza.

La certificazione ISO 42001 non “mette automaticamente in regola” un’organizzazione rispetto all’AI Act.

Ma questo non significa che i due strumenti siano scollegati.

Al contrario, possono rappresentare due componenti di una strategia più ampia: da un lato il rispetto degli obblighi normativi, dall’altro un sistema strutturato per governare l’AI nel tempo.

Per le aziende che utilizzano o sviluppano sistemi di Intelligenza Artificiale, iniziare a occuparsi oggi di questi aspetti significa costruire maggiore affidabilità e trasparenza nei confronti del mercato.

Perché nell’era dell’AI non basta chiedersi “possiamo utilizzare questa tecnologia?”. Diventa sempre più importante sapere anche “come la stiamo governando?”.

Per saperne di più e avere ulteriori informazioni:
 Scrivici per info: info@icdq.it  Contattaci: 0883.612196