Le norme ISO/IEC sull’IA sono una famiglia, non un documento solo. Il comitato congiunto di ISO e IEC dedicato all’intelligenza artificiale ha prodotto un corpo di norme che copre terminologia, gestione dei rischi e sistemi di gestione. Conoscere la mappa evita di comprare la norma sbagliata o di citarla a sproposito in un capitolato.
La mappa serve anche a leggere le offerte dei fornitori: quando un preventivo cita una sigla ISO, la prima verifica è capire se parla di un vocabolario, di una guida metodologica o di un sistema certificabile. Sono tre oggetti diversi, con tre prezzi e tre verificabilità diverse.
Le tre da conoscere
ISO/IEC 22989: concetti e terminologia. Definisce il vocabolario dell’IA, dai tipi di apprendimento ai ruoli nel ciclo di vita. È la norma da cui partire quando due fornitori usano le stesse parole per dire cose diverse. Un esempio pratico: capire chi è il provider e chi il deployer di un sistema cambia gli obblighi, e la terminologia condivisa evita contratti scritti su definizioni improvvisate.
ISO/IEC 23894: gestione del rischio. Applica ai sistemi di IA l’impianto della gestione dei rischi aziendali, con esempi specifici su fonti di rischio come dati di addestramento, opacità dei modelli e automazione delle decisioni. Non è certificabile: è una guida, e proprio per questo si può adottare subito, anche senza alcun progetto di certificazione all’orizzonte.
ISO/IEC 42001: il sistema di gestione, certificabile, adottato in Italia come UNI CEI ISO/IEC 42001:2024. È la norma che le altre due alimentano: la terminologia della 22989 e il metodo di rischio della 23894 entrano nei processi che la 42001 chiede di governare.
Come si combinano con le regole europee
Le norme ISO sono volontarie e internazionali; l’AI Act è legge europea. Il Regolamento 2024/1689 prevede che norme tecniche armonizzate possano dare presunzione di conformità su requisiti specifici, ma quel processo riguarda le norme europee richieste dalla Commissione agli enti di normazione europei. Una certificazione ISO volontaria resta utile come evidenza organizzativa, non come conformità automatica: la distinzione la trattiamo nella guida all’AI Act.
E le persone?
La famiglia ISO/IEC sull’IA guarda alle organizzazioni e ai sistemi. Le competenze delle persone che con l’IA lavorano hanno in Italia una norma dedicata: la UNI 11621-8, pubblicata il 30 aprile 2026, che definisce 12 profili professionali dell’intelligenza artificiale dentro la serie dei profili ICT. Su quella base operano le certificazioni di terza parte rilasciate da organismi accreditati, un mondo diverso dalle norme di sistema: lo raccontiamo nella guida alla certificazione UNI 11621-8.
Come si citano in un capitolato
Chi scrive un capitolato o risponde a una gara dovrebbe citare le norme per quello che sono. Chiedere «conformità alla ISO/IEC 42001» a un fornitore significa chiedere un sistema di gestione, ed è verificabile solo con un certificato o con un audit di seconda parte. Chiedere «personale qualificato secondo UNI 11621-8» significa chiedere profili professionali definiti, ed è verificabile con certificazioni di terza parte della persona o con evidenze di competenza equivalenti. Mischiare i piani produce requisiti che nessuno può soddisfare alla lettera, e gare che si decidono sulle autodichiarazioni.
Chi deve scegliere da dove cominciare può usare una regola semplice. Serve un vocabolario comune: 22989. Serve un metodo per valutare i rischi di un progetto: 23894. Serve dimostrare a terzi una governance verificata: 42001. Servono competenze dimostrabili delle persone: profili UNI 11621-8 e, sul piano dei titoli individuali, gli strumenti che confrontiamo nella pagina su attestati, credenziali e certificazioni.
Domande frequenti
Qual è la differenza fra ISO/IEC 42001 e ISO/IEC 23894?
La ISO/IEC 42001 è la norma certificabile sul sistema di gestione dell’intelligenza artificiale, quindi descrive processi, ruoli e controlli che un organismo indipendente può verificare, mentre la ISO/IEC 23894 è una linea guida non certificabile sulla gestione del rischio dei sistemi di IA, utile come metodo dentro quel sistema. La prima si certifica, la seconda si applica.
Le norme ISO sull’IA danno presunzione di conformità all’AI Act?
No di per sé: la presunzione di conformità prevista dal Regolamento europeo 2024/1689 riguarda soltanto le norme armonizzate europee, sviluppate su richiesta della Commissione dagli enti di normazione europei e citate nella Gazzetta ufficiale dell’Unione, non le norme internazionali ISO volontarie in quanto tali. Una certificazione ISO resta un’evidenza organizzativa utile durante un controllo, ma non chiude da sola la partita legale.
Esiste una norma per certificare le competenze delle persone sull’IA?
Sì, in Italia la UNI 11621-8, pubblicata il 30 aprile 2026, definisce 12 profili professionali dell’intelligenza artificiale nella serie dei profili ICT: su quella base gli organismi accreditati possono certificare la persona con esami indipendenti, un meccanismo diverso dalle norme di sistema come la ISO/IEC 42001, che riguardano l’organizzazione. I due piani si completano.
Fonti
- ISO/IEC 22989:2022, catalogo UNI
- ISO/IEC 23894:2023, catalogo UNI
- UNI CEI ISO/IEC 42001:2024, catalogo UNI
- UNI 11621-8:2026, catalogo UNI
Ultimo aggiornamento: 27 agosto 2026.
