La rilasciano gli organismi di certificazione, non ISO e non i consulenti. ISO e IEC scrivono la norma; l’audit e il certificato sono il mestiere di organismi indipendenti, che a loro volta possono farsi accreditare per dimostrare la propria competenza a certificare quel tipo di sistema di gestione.
La catena della fiducia
La catena ha 3 anelli. In cima sta l’ente di accreditamento: in Italia è Accredia, designato come ente unico nazionale. Nel mezzo stanno gli organismi di certificazione, che Accredia valuta e sorveglia. In fondo stanno le organizzazioni certificate, che l’organismo verifica con audit iniziali e di mantenimento.
Ogni anello risponde a quello sopra. Per questo un certificato accreditato pesa più di uno non accreditato: dietro c’è una sorveglianza che non dipende dal rapporto commerciale fra azienda e certificatore. La catena, peraltro, è la stessa che regge da anni le certificazioni di qualità e di sicurezza delle informazioni: per l’IA cambia lo schema, non l’architettura della fiducia.
Accreditato o no: la differenza pratica
Emettere certificati ISO/IEC 42001 senza accreditamento specifico non è vietato. Ma un certificato non accreditato vale quanto la reputazione di chi lo firma, mentre uno accreditato porta con sé il controllo dell’ente nazionale. Nei capitolati la differenza si vede: la formula ricorrente chiede certificati «rilasciati da organismi accreditati», e chi si presenta con altro resta fuori dal requisito.
Al momento della scelta conviene quindi fare all’organismo una domanda semplice: l’accreditamento copre proprio questo schema? Un organismo può essere accreditato per la ISO 9001 e non per la 42001, e la copertura si controlla, non si presume.
Come si verifica un certificato
La strada maestra è la banca dati pubblica di Accredia, che permette di cercare organismi accreditati e certificazioni. La verifica sensata controlla 4 cose: che il certificato esista, che sia in corso di validità, che il perimetro dichiarato copra le attività che interessano, e che l’organismo emittente sia accreditato per quello schema.
Il perimetro è il punto che sfugge più spesso. Un certificato può coprire una sola sede o una sola linea di servizi: leggere il campo di applicazione evita di attribuire all’intera azienda una verifica che riguarda un suo pezzo.
Le domande da fare prima di firmare
Chi sta scegliendo l’organismo per il proprio audit può usare 5 domande come filtro. L’accreditamento copre lo schema dei sistemi di gestione per l’IA, o solo altri schemi? Quanti audit su questo schema avete già condotto, e in quali settori? Chi sarà l’auditor, e con quali competenze specifiche sull’IA? Che cosa succede se l’audit trova non conformità maggiori? Quanto costa il ciclo completo, sorveglianze comprese, e non solo il primo anno? Le risposte scritte a queste domande valgono più di qualunque brochure.
Il mercato che si sta formando
La ISO/IEC 42001 è giovane: la norma è del 2023, l’adozione italiana UNI CEI è del 2024, e gli schemi di accreditamento dedicati si stanno consolidando. È il momento in cui l’attenzione paga: i primi certificati emessi sono anche quelli su cui vale la pena fare le domande più precise.
Vale qui la stessa igiene che raccontiamo per i titoli delle persone nella pagina su attestati, credenziali e certificazioni: il valore di un documento sta in chi lo rilascia e in come si verifica, non nella parola usata per nominarlo. E come per le organizzazioni, anche per i professionisti la verifica dovrebbe essere un gesto di un minuto: per le credenziali digitali dei percorsi AIPIA esiste una pagina di verifica pubblica che chiunque può usare.
Chi vuole capire dove la certificazione di sistema tocca gli obblighi di legge trova il quadro nella guida all’AI Act: i due piani si aiutano, ma non si sostituiscono.
Domande frequenti
Un consulente può rilasciare la certificazione ISO/IEC 42001?
No: il consulente può accompagnare l’azienda nel costruire il sistema di gestione, ma il certificato lo emette solo un organismo di certificazione indipendente dopo un audit, e le regole di imparzialità impediscono che chi ha progettato il sistema sia lo stesso soggetto che lo certifica. Diffidare di offerte che promettono consulenza e certificato dalla stessa mano.
Come controllo se un certificato ISO/IEC 42001 è accreditato?
Si parte dalla banca dati pubblica di Accredia, cercando l’organismo emittente e verificando che il suo accreditamento copra lo schema dei sistemi di gestione per l’intelligenza artificiale, poi si controlla il certificato stesso: validità temporale, organizzazione intestataria e perimetro delle attività coperte. Se l’organismo non compare, il certificato non è accreditato in Italia.
Un certificato ISO/IEC 42001 scade?
Sì, i certificati dei sistemi di gestione hanno una validità limitata nel tempo e si mantengono con audit periodici di sorveglianza dell’organismo emittente, tipicamente su ciclo triennale con verifiche intermedie: un certificato mostrato senza data o mai sottoposto a sorveglianza è un segnale da approfondire prima di dargli peso in una selezione o in una gara.
Fonti
Ultimo aggiornamento: 27 agosto 2026.
