Garanzia AI con DQS: governance, sicurezza e qualità — allineate.
Da oltre 40 anni DQS verifica i sistemi di gestione in più di 60 paesi. In qualità di ente di certificazione accreditato a livello globale, DQS estende questa stessa esperienza alla norma ISO/IEC 42001 per i sistemi di gestione dell’IA, insieme alle norme ISO/IEC 27001 e ISO 9001, in cui la governance dell’IA si integra con i quadri normativi esistenti in materia di sicurezza delle informazioni e qualità — offrendo alle organizzazioni un percorso coordinato verso una maturità dimostrabile nella governance dell’IA.
Riconosciuto secondo la norma ISO/IEC 42001
Organismo di certificazione per i sistemi di gestione dell’IA
Audit allineati alla norma ISO/IEC 27001
Integrazione della sicurezza delle informazioni per le organizzazioni che trattano dati relativi all’IA
Integrazione con la norma ISO 9001
Informazioni documentate e linee guida sulla tracciabilità
Eseguimento flessibile degli audit
Audit da remoto, ibridi o in loco — effettuati ovunque si trovi il vostro team di governance dell’IA.
DQS COME PARTNER DI FIDUCIA
Accreditato, globale e indipendente: le basi per una certificazione AI credibile.
ISO/IEC 42001 è un nuovo standard. L’accreditamento, l’infrastruttura e l’indipendenza alla base di un certificato DQS non lo sono. Ecco come si traduce tutto questo in cifre.
Oltre 3.100 auditor in tutto il mondo
A supporto di standard globali come ISO/IEC 42001, ISO/IEC 27001, ISO 9001 e altri ancora.
Oltre 65.000 sedi certificate
Per tutti gli standard DQS, compreso il portafoglio di garanzia AI.
Oltre 60 paesi
Presenza locale di auditor nei principali mercati: Europa, Asia-Pacifico, Americhe.
Oltre 40 anni di esperienza
Fondata nel 1985 da DGQ e DIN — il primo ente di certificazione dei sistemi di gestione in Germania.
Le regole per i sistemi di IA sono cambiate. La maggior parte delle strutture di governance, invece, no.
Si stanno verificando tre cambiamenti contemporaneamente. È arrivata la regolamentazione: l’AI Act dell’UE stabilisce obblighi vincolanti per i sistemi di IA ad alto rischio e in tutto il mondo si stanno sviluppando quadri normativi simili. I sistemi di IA stessi si comportano in modo diverso dal software convenzionale, richiedendo approcci di governance che corrispondano al loro effettivo funzionamento. E la norma ISO/IEC 42001 è diventata lo standard di riferimento che le autorità di regolamentazione e i clienti si aspettano sempre più spesso di vedere — non tra cinque anni, ma adesso.
La governance dell’IA è ormai un requisito normativo, non una semplice best practice interna.
Laddove si applica la legge dell’UE sull’IA, i sistemi di IA ad alto rischio richiedono una gestione documentata dei rischi, documentazione tecnica e supervisione umana — e ciò viene sempre più valutato in relazione agli ambiti esistenti delle norme ISO 9001 e ISO/IEC 27001 piuttosto che come esercizio a sé stante.
Responsabilità frammentata, documentazione incoerente, audit falliti.
Senza un sistema strutturato di gestione dell’IA, le organizzazioni rischiano una frammentazione delle responsabilità tra le diverse unità aziendali, una documentazione incoerente e difficoltà nel dimostrare la maturità della governance alle autorità di regolamentazione o ai clienti. Se sottoposte a audit in modo isolato, le stesse prove vengono prodotte — e messe in discussione — più volte in diverse parti dell’azienda.
Un unico programma di audit che copre la governance, la sicurezza e la qualità dell’IA — coordinato, calibrato e pronto per l’audit.
- Un unico ente di certificazione per le norme ISO/IEC 42001, ISO/IEC 27001 e ISO 9001
- Cicli di audit allineati, prove condivise, interpretazione coerente tra standard e sedi
- Indipendente dall’attività di consulenza: la separazione che rende il certificato credibile agli occhi delle autorità di regolamentazione e dei clienti
Implementazione della governance dell’IA: mettere in pratica la norma ISO 42001
Prospettive pratiche sull’integrazione della governance dell’IA nei sistemi di gestione operativa.
La governance dell’IA non è circoscritta a un unico standard — né a un unico team.
Gli standard che regolano la governance dell’IA si sovrappongono a quelli relativi alla sicurezza delle informazioni, alla gestione della qualità e alle normative specifiche di settore — non perché i quadri normativi siano ridondanti, ma perché i sistemi di IA toccano tutti questi aspetti contemporaneamente. La combinazione applicabile dipende da ciò che si sviluppa, da ciò che si implementa e dai mercati in cui si opera.
- ISO/IEC 42001 — Sistema di gestione dell’IA; riguarda la classificazione dei rischi, la responsabilità e il monitoraggio continuo
- ISO/IEC 27001 — Sicurezza delle informazioni; riguarda i dati su cui vengono addestrati e che vengono elaborati dai sistemi di IA
- ISO 9001 — Informazioni documentate e controllo dei processi; il fondamento di tracciabilità su cui si basa la maggior parte delle governance dell’IA
- MDR UE 2017/745 — nei casi in cui la funzionalità di IA sia integrata in un dispositivo medico
- Obblighi relativi ai livelli di rischio previsti dalla legge UE sull’IA — fattore trainante normativo; tuttavia, per far fronte a tali obblighi si ricorre più comunemente allo standard ISO/IEC 42001
QUALI REQUISITI SI APPLICANO AL TUO CASO
Il tuo ruolo nella catena del valore dell’IA determina da dove iniziare.
I tuoi requisiti di governance dell’IA dipendono dal tuo ruolo nella catena del valore: che tu sviluppi sistemi di IA, li implementi a livello operativo, li distribuisca o li integri in prodotti regolamentati. Ecco a cosa corrisponde tipicamente ciascun ruolo.
La fiducia nell’IA non si costruisce più solo attraverso la tecnologia. Le organizzazioni richiedono sempre più spesso strutture di governance che rimangano trasparenti, scalabili e verificabili in tutte le operazioni internazionali e in tutti i contesti normativi.
Quattro livelli certificabili: cosa copre ciascuno di essi e perché è importante.
Ogni standard risponde a una domanda diversa: sulla governance, sui dati, sul controllo dei processi o sulla conformità specifica del settore.
Ecco come si integrano i livelli tra loro.
Ogni livello è certificabile in modo indipendente e può essere valutato singolarmente o come parte di un programma coordinato. Insieme, coprono ciò che le autorità di regolamentazione, i clienti e i vostri stessi team chiederanno quando esamineranno il vostro programma di IA.
La norma ISO/IEC 42001 definisce il sistema di gestione per la governance dell’IA: gestione dei rischi, informazioni documentate, ruoli e responsabilità e monitoraggio continuo lungo l’intero ciclo di vita dell’IA.
La certificazione ISO/IEC 42001 — Sistema di gestione dell’IA copre la classificazione dei rischi, la responsabilità in materia di governance, la supervisione della gestione dei dati e i requisiti di monitoraggio lungo l’intero ciclo di vita dell’IA. Applicabile alle organizzazioni che sviluppano, implementano o modificano in modo sostanziale sistemi di IA.
Il tuo vantaggio: dimostrare la maturità della governance dell’IA alle autorità di regolamentazione, ai clienti e ai partner — con uno standard di riferimento internazionale riconosciuto.
Come vengono protetti i dati di addestramento dell’IA, i risultati dei modelli e i dati operativi.
Certificazione ISO/IEC 27001 — La gestione della sicurezza delle informazioni riguarda i controlli di sicurezza dei dati relativi ai dati di addestramento dell’IA, agli input e agli output dei modelli e all’accesso al sistema. È comunemente ottenuta insieme alla certificazione ISO/IEC 42001 nei casi in cui i sistemi di IA trattino dati sensibili o personali.
Il vostro vantaggio: dimostrare una gestione sicura dei dati da cui dipendono i vostri sistemi di IA.
La base di documentazione e tracciabilità su cui si fondano la maggior parte dei requisiti di governance dell’IA.
Certificazione ISO 9001 — La gestione della qualità fornisce le informazioni documentate, il controllo dei processi e la struttura di miglioramento continuo su cui si basa la norma ISO/IEC 42001 per le organizzazioni che dispongono già di un sistema di gestione della qualità (QMS).
Il vostro vantaggio: integrate la governance dell’IA in una struttura che potreste già utilizzare, anziché creare un sistema parallelo.
Valutazione di conformità al MDR UE 2017/745
Laddove la funzionalità di IA sia integrata in un dispositivo medico, la valutazione di conformità ai sensi del MDR UE si applica in aggiunta alla governance specifica per l’IA. Rilevante per i produttori di dispositivi diagnostici, di monitoraggio o di supporto decisionale basati sull’IA.
Il vostro vantaggio: allineare la governance dell’IA agli obblighi di conformità esistenti per i prodotti regolamentati, anziché gestirli separatamente.
Regolamentazione dell’IA ai sensi del Regolamento UE MDR: garantire conformità e innovazione
In che modo la governance dell’IA si intreccia con i requisiti normativi in ambito medico e in contesti operativi altamente regolamentati.
Ogni parte interessata pone una domanda diversa sui vostri sistemi di IA.
Un'autorità di regolamentazione vuole sapere se i vostri sistemi di IA sono sotto controllo. Un cliente vuole sapere se i propri dati sono protetti. I vostri team vogliono sapere chi è responsabile quando qualcosa cambia. Non si tratta delle stesse domande — e non esiste un unico standard in grado di rispondere a tutte. Ecco perché il giusto programma di governance dell'IA copre più di un livello.
La certificazione ISO/IEC 42001 copre la gestione dei rischi, le informazioni documentate e la responsabilità lungo l’intero ciclo di vita dell’IA.
La certificazione ISO/IEC 27001 copre i controlli di sicurezza dei dati; la norma ISO/IEC 42001 aggiunge a ciò requisiti di gestione dei dati specifici per l’IA.
I requisiti relativi alle informazioni documentate delle norme ISO 9001 e ISO/IEC 42001, considerati congiuntamente, soddisfano le aspettative in materia di documentazione tecnica sempre più richieste dalle autorità di regolamentazione.
Le clausole relative ai ruoli e alle responsabilità della norma ISO/IEC 42001 stabiliscono la responsabilità per la supervisione dei sistemi di IA.
I processi di miglioramento continuo previsti dalla norma ISO/IEC 42001 prevedono una revisione costante man mano che i modelli, i dati e le condizioni operative cambiano.
Oltre alla governance specifica per l’IA, ove pertinente, si applicano il regolamento UE MDR 2017/745 e altri quadri normativi settoriali.
La norma ISO/IEC 42001 viene sempre più utilizzata come base operativa comune a cui fanno riferimento l’AI Act dell’UE, l’AI RMF del NIST statunitense e i quadri normativi emergenti in Cina, Giappone, Corea del Sud e Brasile.
Governance dell’IA nel settore FinTech in un mercato regolamentato
In che modo le organizzazioni stanno affrontando le aspettative in materia di responsabilità, supervisione e governance nei quadri normativi internazionali sull’IA in continua evoluzione.
Perché la regolamentazione sta stimolando la domanda di un livello di gestione dell’IA
I quattro livelli di rischio
La classificazione dei sistemi di IA determina il livello di governance, documentazione e supervisione richiesto. Sebbene il modello fornisca una struttura di alto livello, le organizzazioni devono tradurre queste categorie in misure operative concrete.
Rischio inaccettabile (vietato)
I sistemi di IA in questa categoria sono considerati incompatibili con i diritti fondamentali e le tutele sociali previsti dalla legge dell’UE sull’IA. Queste applicazioni sono vietate perché presentano un livello inaccettabile di rischio per le persone, la sicurezza pubblica o i valori democratici. Le organizzazioni devono quindi garantire che i casi d’uso vietati siano identificati ed esclusi attraverso adeguati meccanismi di governance e revisione.
Rischio elevato (Requisiti normativi rigorosi)
I sistemi di IA ad alto rischio sono soggetti agli obblighi normativi più estesi a causa del loro potenziale impatto sulla salute, sulla sicurezza e sui diritti fondamentali. Questi sistemi richiedono in genere una gestione strutturata del rischio, documentazione tecnica, meccanismi di monitoraggio e una supervisione umana chiaramente definita durante l’intero ciclo di vita dell’IA per garantire la conformità continua e il controllo operativo.
Rischio limitato (Requisiti di trasparenza)
I sistemi di IA a rischio limitato sono soggetti principalmente a requisiti di trasparenza volti a garantire che gli utenti siano consapevoli quando interagiscono con l’intelligenza artificiale. Le organizzazioni devono attuare pratiche chiare di comunicazione e divulgazione, in particolare laddove i contenuti generati dall’IA o le interazioni automatizzate potrebbero altrimenti creare confusione o ridurre la trasparenza per gli utenti.
Rischio minimo (misure volontarie)
La maggior parte delle applicazioni di IA rientra nella categoria a rischio minimo e non è soggetta a obblighi specifici ai sensi della legge UE sull’IA. Tuttavia, le organizzazioni riconoscono sempre più il valore dell’attuazione di misure di governance volontarie che sostengano la responsabilità, la coerenza operativa e la preparazione a lungo termine, poiché le aspettative normative continuano ad evolversi a livello globale.
Un’unica struttura di governance, adattabile a ogni mercato in cui operate.
Per le organizzazioni multinazionali, la governance dell’IA raramente si limita a un unico quadro giuridico o a una singola regione operativa: i sistemi possono essere sviluppati in un paese, implementati in diverse giurisdizioni e integrati in processi distribuiti a livello globale. Sebbene la legge UE sull’IA rimanga il quadro più completo e il punto di riferimento globale più comune, le giurisdizioni di tutto il mondo condividono sempre più principi di governance quali trasparenza, responsabilità, gestione del rischio e supervisione umana — anche laddove la struttura giuridica e l’attuazione differiscano. La sfida non consiste nel comprendere ogni quadro normativo singolarmente, ma nel costruire un sistema di governance sufficientemente standardizzato da garantire la coerenza a livello globale, ma al contempo sufficientemente adattabile alle aspettative normative locali.
Legge dell’UE sull’IA
La legge dell’UE sull’IA istituisce il primo quadro normativo intersettoriale completo per l’IA, con una classificazione basata sul rischio, requisiti di trasparenza e obblighi di conformità per i sistemi ad alto rischio. Viene sempre più utilizzata come punto di riferimento globale per la struttura di governance dell’IA.
Gli Stati Uniti adottano un approccio più decentralizzato: il quadro volontario di gestione dei rischi dell’IA del NIST, i decreti esecutivi federali e un mosaico sempre più ampio di normative statali in materia di IA. L’accento è posto sulla responsabilità, sulla sicurezza informatica e sulla gestione dei rischi operativi piuttosto che su un’unica legge intersettoriale vincolante.
La Cina ha introdotto diversi quadri normativi che coprono i servizi di IA generativa, gli algoritmi di raccomandazione e la governance algoritmica, ponendo forte enfasi sulla responsabilità dei fornitori e sulla governance dei contenuti.
L’approccio del Giappone pone l’accento su quadri di governance volontari e interoperabili a livello internazionale, incentrati sull’affidabilità operativa e sull’innovazione industriale.
Il quadro normativo della Corea del Sud bilancia l’innovazione con gli obblighi di trasparenza e responsabilità, ponendo un’enfasi crescente sulla gestione dei rischi in linea con il dibattito internazionale sull’IA affidabile.
Entrambi i mercati continuano a sviluppare la governance dell’IA attraverso quadri normativi in evoluzione piuttosto che una singola legge onnicomprensiva. Il Brasile sta portando avanti proposte di governance dell’IA basate sul rischio parallelamente a iniziative più ampie di governance digitale, con un’attenzione attuale alla responsabilità e alla supervisione dei sistemi ad alto impatto. L’India si affida a un mix di leggi esistenti — la Legge sull’IT, l’emendamento del 2026 alle Regole sull’IT che riguarda i contenuti generati dall’IA, e la legge sulla protezione dei dati personali digitali — insieme alle Linee guida per la governance dell’IA, volontarie e basate su principi, emanate nel 2026, mentre le autorità di regolamentazione settoriali, quali la RBI e la SEBI, sviluppano autonomamente le proprie aspettative di vigilanza specifiche per l’IA.
Cinque passaggi per passare da requisiti frammentati a un unico programma coordinato.
Sapere da dove iniziare — e in quale ordine — è solitamente la parte più difficile. I passaggi riportati di seguito vi aiutano a raggiungere l’obiettivo senza inutili rielaborazioni.
Identificate i vostri requisiti.
Esamina quali sistemi di IA rientrano nell’ambito di applicazione, la loro classificazione di rischio ai sensi della legge UE sull’IA e in che modo si integrano con i sistemi di gestione ISO 9001 o ISO/IEC 27001 esistenti.
Valutate la vostra configurazione attuale.
Esamina i sistemi di gestione esistenti, i cicli di audit e le responsabilità interne relative alla governance dell’IA.
Allineare e consolidare.
Ove possibile, integrate la governance dell’IA nei sistemi di gestione certificati esistenti anziché creare una struttura autonoma.
Prepararsi ai requisiti emergenti.
Le scadenze per l’introduzione graduale dell’EU AI Act e i quadri normativi in continua evoluzione negli Stati Uniti, in Cina, in Giappone, in Corea del Sud e in Brasile continuano a evolversi.
Pianificate per tempo la capacità di audit.
Assicuratevi gli slot per gli audit ISO/IEC 42001 presso il vostro ente di certificazione, in linea con le vostre scadenze normative e commerciali.
Cosa ottenete quando vi certificate con DQS.
Ogni incarico segue la stessa struttura: dalla prima revisione della documentazione fino al rilascio del certificato e alla sorveglianza continua. Che si tratti di certificare uno o più standard, il processo è sempre lo stesso.
PERCHÉ DQS
Un unico partner di audit per la governance dell’IA, la sicurezza dei dati e la qualità.
Gestire gli obblighi di governance dell’IA secondo standard diversi non significa necessariamente dover gestire più enti di certificazione. DQS copre l’intero ambito in un unico programma: in questo modo i cicli di audit sono allineati, le prove vengono condivise e i risultati sono coerenti tra i vari standard.
Pronti a iniziare?
- Raccontaci cosa sviluppi, implementi o distribuisci
- Identifichiamo quali standard si applicano al tuo ruolo e ne definiamo l’ambito
- Riceverai un unico piano di audit, un unico referente e un approccio coerente
Domande frequenti.
La certificazione ISO/IEC 42001 è obbligatoria ai sensi della legge UE sull’IA?
No. La legge UE sull’IA non indica la certificazione ISO/IEC 42001 come requisito legale. Tuttavia, quando si tratta di sistemi di IA ad alto rischio, la norma ISO/IEC 42001 è ampiamente citata come metodo strutturato per dimostrare la gestione dei rischi, la documentazione e la supervisione umana previste dalla legge.
Sono necessarie sia la certificazione ISO/IEC 42001 che quella ISO/IEC 27001?
Molte organizzazioni possiedono entrambe le certificazioni, poiché coprono livelli diversi. La norma ISO/IEC 42001 riguarda la governance specifica dell’IA — classificazione dei rischi, monitoraggio, supervisione umana. La norma ISO/IEC 27001 riguarda la sicurezza delle informazioni in senso lato, compresi i dati su cui i sistemi di IA vengono addestrati e che elaborano. Laddove i dati di sviluppo siano sensibili, entrambe le certificazioni vengono comunemente ottenute insieme.
Cosa si intende per sistema di IA ad alto rischio ai sensi della legge dell’UE sull’IA?
La legge classifica i sistemi di IA in livelli di rischio: inaccettabile, elevato, limitato e minimo. I sistemi ad alto rischio sono quelli che incidono sulla salute, sulla sicurezza, sui diritti fondamentali o sulle infrastrutture critiche, come determinati sistemi di reclutamento, di valutazione del merito creditizio o di identificazione biometrica. La classificazione esatta dipende dal caso d’uso specifico definito negli allegati della legge.
In che modo la legge UE sull’IA si confronta con l’AI RMF del NIST statunitense?
La legge UE sull’IA è una normativa vincolante e intersettoriale che prevede obblighi giuridici suddivisi per livelli di rischio. Il quadro di riferimento per la gestione dei rischi dell’IA del NIST è un quadro volontario ampiamente utilizzato negli Stati Uniti, spesso in combinazione con norme settoriali e a livello statale. Le organizzazioni che operano in entrambi i mercati in genere allineano la propria governance interna — spesso attraverso la norma ISO/IEC 42001 — per soddisfare entrambe le normative in modo coerente.
È possibile ottenere le certificazioni ISO/IEC 42001, ISO/IEC 27001 e ISO 9001 tramite un unico ente di certificazione?
Sì. Laddove i sistemi di gestione condividano la struttura di alto livello (High-Level Structure) comune a tutte le moderne norme ISO, gli audit possono essere coordinati e, se del caso, combinati in cicli di audit integrati con un unico ente di certificazione.
La norma ISO/IEC 42001 riguarda specificamente i sistemi di IA generativa?
La norma ISO/IEC 42001 si applica ai sistemi di gestione dell’IA in generale e non si limita a una tecnica specifica di IA. Regola la struttura relativa a qualsiasi sistema di IA che un’organizzazione sviluppi, implementi o utilizzi — compresa l’IA generativa — piuttosto che prescrivere controlli tecnici specifici per una determinata tecnica.
Gli obblighi di governance dell’IA si applicano se utilizziamo strumenti di IA di terze parti anziché svilupparne di propri?
Gli obblighi previsti dalla legge dell’UE sull’IA ricadono in modo diverso sui fornitori e su chi implementa i sistemi, e gli obblighi di chi implementa possono comunque applicarsi anche quando il modello di IA sottostante proviene da una terza parte. Laddove un’organizzazione implementi uno strumento di IA ad alto rischio, i propri obblighi di governance ai sensi della legge e delle norme di supporto possono applicarsi indipendentemente da chi abbia sviluppato il modello.
È possibile gestire la governance dell’IA in contesti multigiurisdizionali attraverso un unico programma di certificazione?
Per molte organizzazioni, sì. Sebbene la legge UE sull’IA, l’AI RMF del NIST statunitense e i quadri normativi emergenti in Cina, Giappone, Corea del Sud e Brasile differiscano nella struttura giuridica, condividono principi di governance comuni: trasparenza, responsabilità, gestione del rischio, supervisione umana. La norma ISO/IEC 42001 viene sempre più utilizzata come base operativa comune a cui fanno riferimento tutti questi quadri normativi, con le specificità regionali affrontate all’interno del sistema di governance piuttosto che attraverso certificazioni separate.