Il percorso parte da un inventario, non da un consulente. Prima di qualunque audit, la ISO/IEC 42001 chiede di sapere quali sistemi di intelligenza artificiale l’azienda usa o sviluppa, per farne che cosa e con quali dati. In una PMI questo censimento è spesso la vera scoperta: strumenti adottati da singoli uffici, funzioni IA accese dentro software già in casa, servizi esterni usati senza una decisione formale.
Le tappe del percorso
La sequenza tipica ha 6 tappe. Uno: inventario dei sistemi di IA e dei loro usi. Due: analisi del contesto e delle parti interessate, clienti e fornitori compresi. Tre: valutazione dei rischi e degli impatti per ciascun sistema censito. Quattro: scelta dei controlli applicabili e scrittura delle politiche. Cinque: formazione delle persone e messa in esercizio dei processi. Sei: audit interno, riesame di direzione e, se si vuole il certificato, audit di un organismo indipendente.
Nessuna di queste tappe richiede una grande struttura. Richiedono un responsabile con mandato vero, tempo dedicato e la disciplina di scrivere le decisioni.
Quanto pesa, in proporzione
Il peso dipende da quanti sistemi si usano e da quanto sono delicati, non dal fatturato. Una PMI che usa 3 strumenti di IA generativa per attività interne ha un perimetro piccolo e controlli semplici. Una software house che vende un sistema di selezione del personale ha un perimetro piccolo ma delicatissimo, perché tocca una delle aree che il Regolamento europeo tratta come alto rischio. La differenza la fa il perimetro dichiarato, che in un sistema di gestione si può scegliere e motivare.
I documenti minimi, senza fotocopie
Il fascicolo essenziale di una PMI che adotta la norma sta in pochi pezzi, tutti scritti sul proprio caso concreto:
- l’inventario dei sistemi di IA, con uso, dati trattati e responsabile di ciascuno;
- la politica sull’IA: 2 o 3 pagine che dicono che cosa l’azienda si permette e che cosa no;
- la valutazione dei rischi per sistema, con le misure decise e chi le attua;
- il registro della formazione: chi è stato formato, quando, su che cosa, con quale prova;
- le regole verso i fornitori: che cosa si chiede a chi vende software con IA dentro;
- il verbale del riesame periodico: che cosa la direzione ha guardato e deciso.
Tutto il resto, moduli compresi, discende da questi. Un fascicolo più grosso non è un fascicolo migliore: è solo più difficile da tenere vero.
Quanto tempo prevedere
Il tempo lo detta il perimetro, non il calendario del consulente. L’inventario di partenza in una PMI si chiude in settimane, non mesi, se chi lo fa ha accesso vero agli uffici. La scrittura di politiche e valutazioni segue a ruota, perché lavora su ciò che l’inventario ha trovato. La parte lunga è l’esercizio: i processi devono girare abbastanza da produrre registrazioni vere prima che un audit abbia qualcosa da guardare. Chi promette il certificato in poche settimane sta descrivendo un audit su carta appena stampata, e un auditor serio se ne accorge.
Gli errori che si vedono più spesso
Il primo è comprare un pacchetto di documenti fotocopiati: politiche scritte per un’altra azienda non superano un audit serio e non aiutano nessuno. Il secondo è saltare la formazione: i controlli li applicano le persone, e il personale che usa l’IA va comunque formato per l’obbligo di alfabetizzazione dell’articolo 4 dell’AI Act, in vigore dal 2 febbraio 2025, come spieghiamo nella pagina sull’AI literacy per le aziende. Il terzo è confondere il certificato con la conformità di legge: il rapporto giusto fra i due lo abbiamo messo in fila nella guida all’AI Act.
Se il certificato non serve subito
Molte PMI si fermano, legittimamente, alla tappa 5: sistema in esercizio senza audit esterno. È una scelta difendibile quando nessun cliente chiede il certificato. L’inventario, le politiche e la formazione restano comunque, e sono la parte che produce valore. Quando un capitolato chiederà il certificato, la strada sarà già fatta a metà.
Chi vuole invece arrivare all’audit sceglie l’organismo di certificazione verificando che sia accreditato: in Italia l’accreditamento lo rilascia Accredia, che pubblica una banca dati consultabile degli organismi e dei certificati.
Il ruolo delle persone nel percorso
Un sistema di gestione lo scrivono e lo fanno vivere le persone, e in una PMI le persone sono poche e già occupate. Per questo la formazione non è un capitolo accessorio del percorso: è la condizione perché il resto non diventi carta. Chi usa gli strumenti deve saper riconoscere un output inaffidabile, chi valida deve sapere che cosa sta validando, chi decide deve conoscere i limiti di ciò che ha comprato. Una formazione tracciata, con prove individuali conservate, serve due volte: fa funzionare il sistema di gestione e copre l’obbligo di legge sull’alfabetizzazione, che esiste a prescindere dalla norma volontaria.
Fonti
- UNI CEI ISO/IEC 42001:2024, catalogo UNI
- Accredia, banche dati di accreditamenti e certificazioni
- Regolamento (UE) 2024/1689 (AI Act), EUR-Lex
Ultimo aggiornamento: 27 agosto 2026.
