Sono due strumenti diversi: l’AI Act è legge, la ISO/IEC 42001 è una norma volontaria. Il Regolamento europeo 2024/1689 impone obblighi a chi sviluppa e usa sistemi di IA nel mercato europeo. La norma ISO descrive un sistema di gestione che un’organizzazione può adottare e far certificare, se vuole.
La confusione nasce perché i due testi parlano delle stesse cose: rischi, trasparenza, supervisione umana, gestione dei dati. Ma il rapporto è di aiuto, non di equivalenza.
Dove la norma aiuta davvero
Il sistema di gestione obbliga a censire i sistemi di IA in uso, ad assegnarli a un responsabile e a valutarne i rischi. È esattamente il lavoro preliminare che serve per capire quali obblighi dell’AI Act si applicano: senza inventario non si sa nemmeno se in casa c’è un sistema che ricade nelle categorie regolate.
La documentazione richiesta dal sistema di gestione produce inoltre le evidenze che un controllo può chiedere: politiche scritte, registri delle decisioni, verifiche periodiche. Chi arriva da un percorso 42001 trova già pronte molte delle carte che l’applicazione del Regolamento presuppone. Il quadro degli obblighi e delle scadenze sta nella nostra guida all’AI Act, aggiornata al calendario vigente.
Dove la norma non basta
Nessun certificato volontario sostituisce un obbligo di legge. I divieti sulle pratiche inaccettabili valgono dal 2 febbraio 2025 per chiunque, certificato o no. Lo stesso vale per l’obbligo di alfabetizzazione all’IA dell’articolo 4, che riguarda il personale di chi fornisce e di chi usa sistemi di IA: si assolve con misure di formazione proporzionate e documentabili, come raccontiamo nella pagina sull’AI literacy per le aziende.
Per i sistemi ad alto rischio il Regolamento fissa requisiti puntuali, con l’applicazione riorganizzata dal calendario vigente. Un sistema di gestione certificato può incorporare quei requisiti, ma la conformità andrà dimostrata sul singolo sistema, non sul certificato aziendale.
Il confronto in una tabella
| Aspetto | AI Act | ISO/IEC 42001 |
|---|---|---|
| Natura | Legge europea, obbligatoria nel suo campo di applicazione | Norma tecnica volontaria |
| Chi la applica | Fornitori e utilizzatori di sistemi di IA nel mercato UE | Qualunque organizzazione che scelga di adottarla |
| Che cosa produce | Obblighi, divieti e sanzioni | Un sistema di gestione, eventualmente certificato |
| Chi verifica | Autorità di vigilanza e di mercato | Un organismo di certificazione scelto dall’azienda |
| Se manca | Violazione di legge | Nessuna conseguenza giuridica diretta |
La tabella dice una cosa sola in cinque modi: uno dei due strumenti si sceglie, l’altro no. Ogni ragionamento serio su tempi e priorità parte da qui.
La frase da diffidare
«Con la ISO/IEC 42001 sei a posto con l’AI Act» è una promessa che nessun consulente serio può firmare. La norma è nata prima che il Regolamento fosse completato, copre un perimetro suo e lascia fuori valutazioni che la legge chiede caso per caso. Chi la presenta come conformità chiavi in mano sta vendendo una scorciatoia che non esiste.
La formula onesta è un’altra: la 42001 organizza la casa, l’AI Act dice che cosa la legge esige da quella casa. Fare la prima aiuta la seconda, non la sostituisce.
Un test rapido per riconoscere le promesse gonfiate: chiedere al proponente quale articolo del Regolamento verrebbe soddisfatto dal certificato, e da quale evidenza. Se la risposta resta generica, il certificato è venduto come talismano. Se la risposta indica documenti precisi che l’audit produce, il percorso ha un contenuto vero e lo si può valutare nel merito.
Da dove cominciare
Se l’obiettivo è la conformità, la sequenza sensata parte dagli obblighi già vigenti: censimento dei sistemi, formazione documentata del personale, verifica delle pratiche vietate. Se l’obiettivo è anche commerciale, perché i clienti chiedono garanzie sulla governance dell’IA, il percorso di certificazione può correre in parallelo. In entrambi i casi le persone vanno formate prima: un sistema di gestione firmato da personale che non sa leggere i rischi dell’IA resta un raccoglitore.
Domande frequenti
La certificazione ISO/IEC 42001 dimostra la conformità all’AI Act?
No: la certificazione dimostra che l’organizzazione ha un sistema di gestione dell’IA verificato da un organismo indipendente, mentre la conformità all’AI Act va dimostrata rispetto ai singoli obblighi del Regolamento 2024/1689, che si applicano per legge con o senza certificato e secondo il calendario vigente. La norma aiuta a organizzare le evidenze, non a sostituirle.
L’AI Act rende obbligatoria qualche certificazione ISO?
No, il Regolamento europeo non impone la certificazione ISO/IEC 42001 né altre certificazioni volontarie di sistema: prevede procedure proprie di valutazione della conformità per i sistemi ad alto rischio e obblighi diretti come l’alfabetizzazione all’IA dell’articolo 4, in vigore dal 2 febbraio 2025. Le norme tecniche restano strumenti di supporto volontari.
Ha senso iniziare dalla ISO/IEC 42001 se siamo una piccola azienda?
Dipende dall’obiettivo: se i clienti chiedono garanzie formali sulla governance dell’IA il percorso ha un ritorno commerciale, ma per la sola conformità di legge conviene partire dagli obblighi già vigenti, cioè censimento dei sistemi in uso, verifica delle pratiche vietate e formazione documentata del personale. L’audit di certificazione può arrivare dopo, su fondamenta vere.
{“@context”: “https://schema.org”, “@type”: “FAQPage”, “mainEntity”: [{“@type”: “Question”, “name”: “La certificazione ISO/IEC 42001 dimostra la conformità all’AI Act?”, “acceptedAnswer”: {“@type”: “Answer”, “text”: “No: la certificazione dimostra che l’organizzazione ha un sistema di gestione dell’IA verificato da un organismo indipendente, mentre la conformità all’AI Act va dimostrata rispetto ai singoli obblighi del Regolamento 2024/1689, che si applicano per legge con o senza certificato e secondo il calendario vigente. La norma aiuta a organizzare le evidenze, non a sostituirle.”}}, {“@type”: “Question”, “name”: “L’AI Act rende obbligatoria qualche certificazione ISO?”, “acceptedAnswer”: {“@type”: “Answer”, “text”: “No, il Regolamento europeo non impone la certificazione ISO/IEC 42001 né altre certificazioni volontarie di sistema: prevede procedure proprie di valutazione della conformità per i sistemi ad alto rischio e obblighi diretti come l’alfabetizzazione all’IA dell’articolo 4, in vigore dal 2 febbraio 2025. Le norme tecniche restano strumenti di supporto volontari.”}}, {“@type”: “Question”, “name”: “Ha senso iniziare dalla ISO/IEC 42001 se siamo una piccola azienda?”, “acceptedAnswer”: {“@type”: “Answer”, “text”: “Dipende dall’obiettivo: se i clienti chiedono garanzie formali sulla governance dell’IA il percorso ha un ritorno commerciale, ma per la sola conformità di legge conviene partire dagli obblighi già vigenti, cioè censimento dei sistemi in uso, verifica delle pratiche vietate e formazione documentata del personale. L’audit di certificazione può arrivare dopo, su fondamenta vere.”}}]}
Fonti
Ultimo aggiornamento: 27 agosto 2026.
