EU AI Act e ISO 42001: Guida alla conformità normativa

Per le organizzazioni che utilizzano, sviluppano o distribuiscono l’intelligenza artificiale in qualsiasi modo significativo, l’EU AI Act, ovvero la legge europea sull’IA, non può più essere una preoccupazione lontana. Si tratta del primo quadro normativo completo al mondo per l’IA e si applica a qualsiasi azienda che operi, venda o fornisca servizi nell’Unione Europea. Ciò include aziende dal resto del mondo come fornitori SaaS, società di consulenza tecnologica o produttori che servono clienti europei.

Perché l’EU AI Act sta ‘costringendo’ le aziende ad agire subito

Il regolamento assegna categorie di rischio ai sistemi di IA, da un rischio minimo fino a un livello di rischio inaccettabile, e associa obblighi concreti a ciascuna categoria.

I sistemi di IA ad alto rischio, che possono ad esempio includere l’IA utilizzata nell’assunzione del personale, nella valutazione del credito, nelle infrastrutture critiche e nei dispositivi medici, devono soddisfare requisiti rigorosi in materia di trasparenza, governance dei dati, sorveglianza umana e documentazione. La mancata conformità comporta sanzioni fino a 30 milioni di euro o al 6% del fatturato annuo globale, a seconda di quale sia l’importo più alto.

La domanda che le organizzazioni si pongono in questo momento è: da dove iniziare?

La risposta, sempre più spesso, è dalla norma ISO 42001, lo standard internazionale per i Sistemi di Gestione dell’intelligenza artificiale.

La norma non sostituisce l’EU AI Act e non garantisce un’esenzione legale, ma fornisce una struttura definita e sottoponibile ad audit che si sovrappone in modo preciso e ciò che la regolamentazione richiede.

Che cos’è concretamente la ISO 42001?

Lo standard ISO/IEC 42001 è stato pubblicato nel dicembre 2023. È il primo standard di sistema di gestione riconosciuto a livello internazionale progettato specificamente per l’intelligenza artificiale.

Analogamente alla ISO 27001 per la sicurezza delle informazioni o ISO 9001 per la qualità, offre alle organizzazioni un metodo strutturato per governare le proprie attività di IA, gestire i rischi e dimostrare la propria responsabilità nei confronti di terzi.

Lo standard si applica a qualsiasi organizzazione che sviluppi sistemi di IA, li utilizzi nelle proprie operazioni o fornisca prodotti e servizi legati all’IA. Copre l’intero ciclo di vita dell’IA, dalla progettazione e dallo sviluppo fino al deployment, al monitoraggio e all’eventuale dismissione.

Fondamentalmente, ISO 42001 richiede di:

• Definire l’ambito del proprio sistema di gestione dell’IA;
• Comprendere il contesto in cui opera la propria IA, comprese le aspettative degli stakeholders;
• Identificare e gestire i rischi associati ai propri sistemi di IA;
• Stabilire politiche, obiettivi e controlli per un uso responsabile dell’IA;
• Mantenere una documentazione che dimostri che la governance è reale e non solo sulla carta;
• Migliorare continuamente il proprio approccio sulla base di monitoraggi, audit e riesami.

Per le organizzazioni già esperte con ISO 27001 o ISO 9001, gran parte di questa infrastruttura risulterà familiare. Lo standard ISO 42001 segue la stessa High Level Structure (HLS) utilizzata nella maggior parte degli standard ISO dei sistemi di gestione moderni, il che rende più semplice l’integrazione con le certificazioni ISO già in possesso.

Come si allineano EU AI ACT e ISO 42001

EU AI Act e ISO 42001 sono stati sviluppati in parallelo e la loro sovrapposizione non è una coincidenza. I legislatori europei hanno esplicitamente riconosciuto che standard come ISO 42001 possono aiutare le organizzazioni a dimostrare la conformità al regolamento. Il quadro normativo sull’IA della Commissione Europea prevede che gli standard armonizzati svolgeranno un ruolo centrale nel modo in cui le imprese dimostreranno la conformità, in particolare per i sistemi di IA ad alto rischio.

Di seguito i principali punti con maggiore allineamento:

1.      Gestione del rischio

EU AI Act richiede ai fornitori di sistemi di IA ad alto rischio di istituire, attuare, documentare e mantenere un sistema di gestione del rischio durante l’intero ciclo di vita del sistema di IA. Si tratta di un processo continuo e non di una valutazione del rischio una tantum.

Il punto 6 della ISO 42001 tratta la pianificazione e richiede alle organizzazioni di identificare rischi e opportunità legati ai propri sistemi di IA e di intraprendere azioni per affrontarli. L’allegato A dello standard include controlli specifici sulla valutazione dei rischi dell’IA, compresi i controlli per identificare i potenziali danni ai singoli e alla società.

All’atto pratico, l’attuazione dei requisiti di gestione del rischio della ISO 42001 fornisce l’approccio documentato e sistematico richiesto dall’EU AI Act. Il registro dei rischi, i piani di trattamento dei rischi e i verbali di riesame supportano direttamente le evidenze da mostrare a un’autorità di regolamentazione o a un organismo di valutazione della conformità.

2.      Data governance

EU AI Act attribuisce un peso significativo alla qualità e alla governance dei dati utilizzati per l’addestramento, la convalida e il test dei sistemi di IA. Per l’IA ad alto rischio, i fornitori devono applicare pratiche di data governance che coprano il processo di raccolta dati, le operazioni di preparazione dei dati e le eventuali limitazioni note dei dati stessi.

ISO 42001 affronta la data governance attraverso i suoi controlli sugli input dei sistemi di IA. L’allegato A include requisiti relativi alla qualità dei dati, alla loro provenienza e ai processi utilizzati per gestire i dati di addestramento. L’implementazione di questi controlli crea la traccia documentale di data governance richiesta proprio dalla conformità all’EU AI Act.

3.      Trasparenza e documentazione

Uno degli aspetti più impegnativi dell’EU AI Act per i sistemi di IA ad alto rischio è il requisito della documentazione tecnica. I fornitori devono mantenere una documentazione dettagliata che consenta alle autorità di regolamentazione di valutare se il sistema è conforme al regolamento. Questa documentazione deve coprire lo scopo del sistema, la logica di progettazione, i dati di addestramento, le metriche di prestazione e altro ancora.

La ISO 42001 è strutturata attorno alle informazioni documentate. Il Punto 7.5 richiede alle organizzazioni di conservare e mantenere informazioni documentate come prova che il sistema di gestione dell’IA stia funzionando come previsto. I controlli nell’Allegato A affrontano nello specifico la documentazione delle decisioni di progettazione del sistema di IA, l’uso previsto e le limitazioni note.

Strutturando le proprie pratiche documentali sulla ISO 42001, si costruisce contemporaneamente gran parte del fascicolo di documentazione tecnica che l’EU AI Act richiede per i sistemi ad alto rischio.

4. Sorveglianza umana

L’EU AI Act richiede che i sistemi di IA ad alto rischio siano progettati e sviluppati in modo da consentire un’efficace sorveglianza umana. Ciò significa che le persone devono essere in grado di monitorare il sistema, intervenire quando necessario e comprendere cosa stia facendo il sistema.

La ISO 42001 include controlli relativi alla sorveglianza umana sui sistemi di IA, inclusi i requisiti per definire ruoli e responsabilità per la supervisione dell’IA, stabilire processi per il monitoraggio del comportamento dei sistemi e intraprendere azioni correttive quando i sistemi non funzionano come previsto.

Questi controlli corrispondono direttamente agli obblighi di sorveglianza umana previsti dal regolamento.

5. Accountability e Governance

Sia l’EU AI Act sia la ISO 42001 attribuiscono grande importanza alla responsabilità organizzativa (accountability). Il regolamento richiede che i fornitori di sistemi di IA ad alto rischio dispongano di strutture di governance interna.

Il Punto 5 della ISO 42001 relativo alla leadership richiede all’alta direzione di dimostrare l’impegno nei confronti del sistema di gestione dell’IA, assegnare le responsabilità e stabilire una politica per l’IA.

Questa struttura di responsabilità top-down è esattamente ciò che le autorità cercano quando valutano se un’organizzazione abbia realmente integrato pratiche di IA responsabile, anziché limitarsi a spuntare delle caselle.

Dove la ISO 42001 non copre completamente l’EU AI Act

Sarebbe fuorviante suggerire che la certificazione ISO 42001 equivalga alla completa conformità all’EU AI Act. Vi sono alcune aree in cui la regolamentazione va oltre lo standard, ed è necessario comprendere queste lacune prima di fare affidamento sulla ISO 42001 come strumento principale di conformità:

• Valutazione della conformità per l’IA ad alto rischio: Per alcune categorie di sistemi di IA ad alto rischio, l’EU AI Act richiede una valutazione della conformità da parte di terzi prima che il sistema possa essere immesso sul mercato UE. Si tratta di un requisito di legge esterno al processo di certificazione ISO. La certificazione ISO 42001 dimostra che il sistema di gestione è solido, ma non sostituisce le specifiche procedure di valutazione della conformità previste dal regolamento per particolari categorie ad alto rischio, come l’IA utilizzata nell’identificazione biometrica o nei componenti di sicurezza delle infrastrutture critiche.

• Registrazione nella banca dati dell’UE: L’EU AI Act richiede ai fornitori di sistemi di IA ad alto rischio di registrare i propri sistemi in una banca dati pubblica dell’UE prima del deployment. La ISO 42001 non prevede alcun requisito equivalente. Si tratta di un obbligo puramente normativo da gestire separatamente.

• Pratiche di IA proibite: Il regolamento vieta tassativamente alcune applicazioni di IA, compresi i sistemi che utilizzano tecniche subliminali per manipolare il comportamento, sfruttano le vulnerabilità di gruppi specifici o consentono il punteggio sociale (social scoring) da parte delle autorità pubbliche. La ISO 42001 non elenca le pratiche vietate nello stesso modo; si affida alla valutazione dei rischi e ai principi etici dell’IA per guidare le decisioni. Non ci si può basare sulla conformità alla ISO 42001 per stabilire se una specifica applicazione di IA sia legalmente consentita ai sensi dell’EU AI Act.

• Monitoraggio post-commercializzazione: L’EU AI Act prevede requisiti dettagliati per il monitoraggio post-commercializzazione dei sistemi di IA ad alto rischio, compresi obblighi specifici di segnalazione degli incidenti alle autorità nazionali. Sebbene la ISO 42001 includa requisiti di monitoraggio e miglioramento continuo, non replica le tempistiche e i formati di rendicontazione normativa specifici prescritti dall’EU AI Act.

Un approccio pratico: usare la ISO 42001 come base per la conformità

L’approccio più sensato per la maggior parte delle organizzazioni consiste nel trattare la ISO 42001 come base di governance per poi costruire sopra di essa gli obblighi specifici dell’EU AI Act.

Ecco come si potrebbe tradurre in pratica:

Classificare i propri sistemi di IA secondo l’EU AI Act: Prima di fare qualsiasi altra cosa, è necessario sapere in quale categoria di rischio rientrano i propri sistemi di IA. I sistemi a rischio minimo non hanno quasi alcun obbligo. I sistemi ad alto rischio devono affrontare l’intero peso del regolamento. Si consiglia di iniziare mappando i sistemi rispetto ai criteri di classificazione del rischio previsti dalla legge. Questo esercizio indicherà dove concentrare gli sforzi di conformità.

Implementare la ISO 42001 come framework principale: Una volta definita la situazione, occorre implementare la ISO 42001 in tutte le attività legate all’IA. Ciò fornisce l’infrastruttura del sistema di gestione, le politiche documentate, i processi di gestione del rischio e le strutture di governance che supportano tutto il resto.

Mappare i controlli ISO 42001 sui requisiti dell’EU AI Act: È opportuno analizzare i requisiti specifici dell’EU AI Act per la propria categoria di rischio e identificare quali controlli ISO 42001 li soddisfano già. Documentare questa mappatura crea la traccia delle prove di conformità, rendendo molto più semplice dimostrare la conformità a un ente regolatore o a un cliente che richieda verifiche.

Colmare le lacune: Identificare gli obblighi dell’EU AI Act non coperti dalla ISO 42001, in particolare quelli relativi alla valutazione della conformità, alla registrazione e ai formati specifici della documentazione tecnica. È necessario assegnare le responsabilità, stabilire le tempistiche e trattarli come controlli aggiuntivi all’interno del proprio sistema di gestione.

Perseguire la certificazione ISO 42001: La certificazione formale tramite un organismo di certificazione accreditato invia un segnale indipendente e verificato da terzi che la governance dell’IA è reale. Questo è fondamentale nelle relazioni con clienti UE, team di procurement o enti regolatori. Vale la pena notare che l’EU AI Act prevede esplicitamente l’uso di standard armonizzati per dimostrare la conformità, pertanto la certificazione crea una forte presunzione di conformità per i requisiti che copre.

Chi deve prestare attenzione fin da ora

L’EU AI Act viene introdotto gradualmente nel tempo:

• Le disposizioni che vietano i sistemi di IA a rischio inaccettabile sono applicate da agosto 2024.
• Le regole per i modelli di IA per scopi generali (general-purpose AI) si applicano da agosto 2025.
• Gli obblighi per i sistemi di IA ad alto rischio di cui all’Allegato III si applicano da agosto 2026.
• L’intero regolamento entrerà pienamente in vigore entro il 2027 per la maggior parte delle restanti categorie.

Se la propria azienda rientra in una di queste categorie, è opportuno agire ora anziché attendere che sia una scadenza a imporre un intervento:

• Aziende tecnologiche che vendono prodotti o servizi basati sull’IA nel mercato UE.
• Aziende extra-UE con controllate, partner o clienti nell’UE.
• Organizzazioni che utilizzano l’IA nelle assunzioni, nella gestione delle prestazioni o nell’accesso a servizi essenziali.
• Operatori del settore sanitario, finanziario e delle infrastrutture critiche che utilizzano l’IA per decisioni operative.
• Qualsiasi azienda che elabori dati personali utilizzando l’IA con modalità che incidono sui residenti nell’UE.

Le aziende che iniziano a costruire il proprio sistema di gestione ISO 42001 ora si troveranno in una posizione molto più solida rispetto a quelle che cercheranno di adeguare la conformità all’ultimo minuto.

Il valore complessivo oltre la conformità

È utile allontanarsi per un momento dalla sola prospettiva della conformità normativa.

La ISO 42001 non è soltanto un modo per evitare sanzioni. Le organizzazioni che la implementano correttamente notano che essa migliora i processi di sviluppo dell’IA, riduce gli incidenti e costruisce una reale fiducia con clienti e partner.

Si consideri cosa significa per i clienti poter dimostrare che i propri sistemi di IA sono stati sottoposti ad audit indipendente rispetto a uno standard internazionale. In mercati competitivi, questo tipo di responsabilità verificata rappresenta un reale elemento di differenziazione. Risponde alle domande che i team di procurement e i comitati di rischio pongono sempre più di frequente: Come viene governata l’IA? Chi ne è responsabile? Cosa succede quando qualcosa va storto?

La ISO 42001 fornisce una risposta credibile e strutturata a queste domande. Il beneficio in termini di conformità all’EU AI Act è significativo, ma rappresenta solo una parte di un quadro più ampio.