La ISO/IEC 42001 è la norma sul sistema di gestione dell’intelligenza artificiale. Definisce come un’organizzazione governa lo sviluppo e l’uso dell’IA: politiche, ruoli, valutazione dei rischi, controlli e miglioramento continuo. In sigla il suo oggetto si chiama AIMS, Artificial Intelligence Management System.
La norma è stata pubblicata da ISO e IEC nel 2023. In Italia è stata adottata come UNI CEI ISO/IEC 42001:2024, ed è acquistabile nel catalogo UNI. È la prima norma certificabile al mondo dedicata alla gestione dell’IA.
Che cosa contiene la norma
La struttura ricalca quella degli altri sistemi di gestione ISO, con capitoli su contesto, leadership, pianificazione, supporto, attività operative, valutazione delle prestazioni e miglioramento. Chi conosce la ISO 9001 o la ISO/IEC 27001 ritrova la stessa ossatura.
La parte specifica sull’IA sta nei controlli degli allegati: censimento dei sistemi di IA in uso, valutazione d’impatto, gestione dei dati, trasparenza verso gli utenti, supervisione umana, gestione dei fornitori. L’organizzazione sceglie e motiva i controlli applicabili al proprio contesto.
Chi certifica un’organizzazione e come
La certificazione la rilascia un organismo di certificazione indipendente, dopo un audit sul sistema di gestione. In Italia gli organismi accreditati sono vigilati da Accredia, l’ente unico nazionale di accreditamento. Il certificato riguarda l’organizzazione e il suo perimetro dichiarato, non le singole persone.
Questa distinzione conta. La ISO/IEC 42001 dice che l’azienda ha un modo ordinato e verificato di gestire l’IA. Non dice nulla, da sola, sulle competenze del singolo professionista: per quelle esistono percorsi diversi, che abbiamo messo in fila nella pagina su attestati, credenziali e certificazioni.
Che cosa la norma non è
Non è una legge. L’adozione è volontaria e la certificazione non è richiesta da nessun obbligo generale. Non sostituisce il Regolamento europeo sull’IA: gli obblighi dell’AI Act valgono per chi rientra nel suo campo di applicazione, con o senza certificato. Il rapporto fra i due strumenti lo trattiamo nella guida all’AI Act.
Non è nemmeno un bollino sul prodotto. Certifica un sistema di gestione, cioè processi e responsabilità: un’organizzazione certificata può comunque mettere in produzione un sistema di IA difettoso, come un’azienda ISO 9001 può produrre un lotto sbagliato. Il valore sta nella capacità dimostrata di accorgersene e correggere.
Le domande a cui il sistema risponde
In pratica, un sistema di gestione conforme alla norma mette l’organizzazione in condizione di rispondere, con documenti alla mano, a domande come queste:
- Quali sistemi di IA usiamo o sviluppiamo, e chi ne risponde internamente?
- Che rischi abbiamo valutato per ciascuno, e con quale metodo?
- Chi controlla gli output, con quali soglie e con quale registro degli interventi?
- Che cosa abbiamo detto a utenti e clienti sull’uso dell’IA nei nostri servizi?
- Come scegliamo e sorvegliamo i fornitori di componenti e modelli?
- Che formazione hanno ricevuto le persone che usano questi strumenti, e quando?
Sono le stesse domande che un cliente strutturato, un auditor o un’autorità di controllo possono fare. Il sistema di gestione serve a non doverle ricostruire ogni volta da zero.
A chi conviene guardarla adesso
Alle organizzazioni che sviluppano sistemi di IA per clienti terzi, perché il certificato risponde a una domanda che i buyer hanno iniziato a fare nei capitolati. A chi usa l’IA in processi delicati, come selezione del personale o credito, perché la struttura dei controlli aiuta a prepararsi agli obblighi europei sui sistemi ad alto rischio. E a chi deve mettere ordine: il censimento dei sistemi in uso è spesso il primo risultato concreto del percorso.
Per una piccola impresa il punto di partenza realistico non è l’audit, ma l’inventario dei sistemi e la formazione delle persone che li usano. Su quest’ultimo fronte l’obbligo esiste già oggi, e lo spieghiamo nella pagina sull’AI literacy per le aziende.
Domande frequenti
La ISO/IEC 42001 è obbligatoria?
No, la ISO/IEC 42001 è una norma volontaria: nessuna legge europea o italiana impone oggi alle organizzazioni di certificarsi, e gli obblighi giuridici sull’intelligenza artificiale restano quelli del Regolamento europeo 2024/1689 e delle leggi nazionali, che valgono con o senza certificato. La norma serve a dimostrare un modo ordinato di gestire l’IA, non a soddisfare un obbligo.
La ISO/IEC 42001 certifica le persone o le aziende?
Certifica le organizzazioni: l’oggetto dell’audit è il sistema di gestione dell’intelligenza artificiale dell’azienda, nel perimetro dichiarato, e il certificato non attesta le competenze dei singoli professionisti, per le quali esistono strumenti diversi come le certificazioni di terza parte sulla persona e le credenziali digitali verificabili. Persona e organizzazione seguono binari distinti.
Quanto vale un certificato ISO/IEC 42001 in un bando o in un capitolato?
Vale come evidenza documentale di un sistema di gestione verificato da un organismo indipendente: sempre più capitolati privati lo chiedono o lo premiano, mentre nei bandi pubblici il peso dipende da come la stazione appaltante lo inserisce fra i requisiti o fra i criteri premiali. Non equivale a una conformità di legge dichiarata.
Fonti
- UNI CEI ISO/IEC 42001:2024, catalogo UNI (adozione italiana della ISO/IEC 42001:2023)
- Regolamento (UE) 2024/1689 (AI Act), EUR-Lex
- Accredia, ente unico nazionale di accreditamento
Ultimo aggiornamento: 27 agosto 2026.
