La 27001 protegge le informazioni, la 42001 governa l’intelligenza artificiale. Sono entrambe norme ISO/IEC certificabili sui sistemi di gestione, condividono la stessa struttura a capitoli e spesso vivranno nella stessa azienda. Ma rispondono a domande diverse.
Oggetti diversi, rischi diversi
La ISO/IEC 27001 gestisce la sicurezza delle informazioni: riservatezza, integrità e disponibilità dei dati, qualunque sia la tecnologia. Il suo rischio tipico è l’accesso non autorizzato, la perdita, la manomissione. In Italia la versione vigente è adottata come UNI CEI EN ISO/IEC 27001:2024, e per molte aziende è già un requisito contrattuale consolidato.
La ISO/IEC 42001 gestisce i rischi propri dell’IA, che esistono anche quando la sicurezza è perfetta: un modello che discrimina, un output sbagliato preso per buono, una decisione automatica senza supervisione, un uso dei dati corretto sul piano della sicurezza ma opaco verso le persone. In Italia la norma è adottata come UNI CEI ISO/IEC 42001:2024.
Dove si sovrappongono
La parte gestionale è quasi identica: analisi del contesto, leadership, gestione documentale, audit interni, riesame di direzione, miglioramento. Chi ha già la 27001 riusa registri, procedure di audit e abitudini organizzative. Anche alcuni controlli si toccano: la gestione dei fornitori e la classificazione dei dati servono a entrambe.
Per questo l’integrazione conviene: un solo sistema documentale, un solo calendario di audit, due prospettive di rischio. Le aziende che tengono i due sistemi separati finiscono per scrivere due volte le stesse procedure.
C’è anche una sovrapposizione di persone: il responsabile del sistema di gestione è spesso lo stesso, e gli audit interni si possono pianificare in un’unica finestra annuale. Il risparmio non è solo di carta: ogni processo duplicato è un processo che prima o poi diverge, e due verità sulla stessa azienda sono il difetto che gli auditor trovano per primo.
Dove la 42001 aggiunge lavoro vero
La valutazione d’impatto dei sistemi di IA non ha equivalenti nella 27001: chiede di guardare gli effetti su persone e gruppi, non solo sull’azienda. Il censimento dei sistemi di IA è un inventario nuovo, distinto da quello degli asset informativi. E la supervisione umana è un controllo che la sicurezza delle informazioni non contempla.
Anche le competenze richieste cambiano: l’auditor di sicurezza ragiona su minacce e contromisure, chi valuta un sistema di IA deve capire dati di addestramento, limiti del modello e contesto d’uso. Non è un dettaglio da organigramma: senza queste competenze la valutazione d’impatto diventa un modulo compilato a intuito, e il sistema di gestione perde proprio il pezzo che lo distingue. Le figure professionali dell’IA hanno dal 2026 una mappa normativa italiana, la UNI 11621-8, di cui parliamo nella guida alla certificazione UNI 11621-8.
Le differenze in tabella
| Aspetto | ISO/IEC 27001 | ISO/IEC 42001 |
|---|---|---|
| Oggetto | Sicurezza delle informazioni | Governo dei sistemi di IA |
| Rischio tipico | Accesso non autorizzato, perdita, manomissione | Discriminazione, output errati, decisioni senza supervisione |
| Inventario | Asset informativi | Sistemi di IA e loro usi |
| Valutazione d’impatto | Non prevista come tale | Prevista, con effetti su persone e gruppi |
| Chi la chiede | Clienti e capitolati, da anni | Capitolati recenti, in crescita |
Le righe che pesano sono le ultime due: la valutazione d’impatto è lavoro nuovo, e la domanda commerciale sulla 42001 è giovane ma reale.
Tre situazioni tipiche
Azienda con la 27001 che usa IA solo per attività interne: conviene estendere il sistema esistente con l’inventario dei sistemi di IA e i controlli essenziali, senza correre verso il secondo certificato. Software house che vende prodotti con IA: la 42001 diventa un argomento di vendita e prima o poi un requisito di capitolato, quindi il percorso pieno ha senso. Organizzazione senza nessun sistema di gestione: partire dai fondamentali, perché impiantare due sistemi insieme senza abitudini documentali è il modo migliore per produrre carta morta.
Quale fare prima
Un’avvertenza sul lessico dei fornitori. Nei preventivi le due norme arrivano spesso impacchettate insieme, con la formula del sistema di gestione integrato. L’integrazione è sensata, ma il prezzo unico non deve nascondere il lavoro specifico: se nel progetto non compaiono l’inventario dei sistemi di IA, la valutazione d’impatto e la formazione delle persone sull’IA, quello che viene venduto è una 27001 con un’etichetta nuova. Le domande da fare sono le stesse dei capitolati: quali documenti produrrete, chi li verificherà, su quali sistemi concreti.
Se l’azienda tratta dati e non ha nessun sistema di gestione, la 27001 resta la base: molti clienti la chiedono e copre rischi che ogni organizzazione ha. Se l’IA è il prodotto, o entra in processi che toccano persone, la 42001 merita il percorso pieno. In tutti i casi vale l’ordine dei fondamentali: prima le persone formate, poi i processi, poi il certificato. L’obbligo di formazione del personale sull’IA, peraltro, non aspetta nessun audit: vale dal 2 febbraio 2025 per chi fornisce e per chi usa sistemi di IA, come spieghiamo nella pagina sull’AI literacy per le aziende.
Fonti
Ultimo aggiornamento: 27 agosto 2026.
