Sistemi di gestione dell’AI: recepimento europeo della ISO/IEC 42001

Sistemi di gestione dell’AI: recepimento europeo della ISO/IEC 42001

Il CEN e il CENELEC recepiscono lo standard ISO/IEC 42001. Requisiti, gestione dei rischi algoritmici ex D.Lgs. 81/2008 e raccordo integrato con l'AI Act e i Modelli 231 per la tutela della salute e sicurezza sul lavoro.

L’integrazione dei sistemi di Intelligenza Artificiale (IA) nei processi aziendali rappresenta una delle trasformazioni organizzative più rilevanti degli ultimi anni. Accanto alle opportunità in termini di automazione e supporto decisionale, l'adozione dell'IA introduce complessi profili di rischio che impattano direttamente sulla sicurezza nei luoghi di lavoro, sulla salute e sulla gestione dei dati. In questo contesto, la normazione tecnica internazionale ed europea fornisce gli strumenti necessari per governare la tecnologia in modo etico e conforme.

Un passaggio strategico è rappresentato dal recepimento a livello europeo, da parte dei comitati di normazione CEN e CENELEC, dello standard ISO/IEC 42001 (Information technology - Artificial intelligence - Management system), recepito in Italia dall'UNI come UNI EN ISO/IEC 42001. L'adozione nel corpus normativo europeo segna una tappa fondamentale verso una governance uniforme dei sistemi di intelligenza artificiale nel mercato unico.

Il quadro normativo: il raccordo tra AI Act e ISO 42001

La disciplina dell'IA in Europa trova il suo pilastro nel Regolamento (UE) 2024/1689 (AI Act), che adotta un approccio basato sul rischio (risk-based approach) per la classificazione e il controllo dei sistemi algoritmici. Se l'AI Act stabilisce i requisiti giuridici e gli obblighi di legge, la normazione tecnica del CEN-CENELEC fornisce le specifiche operative con cui le organizzazioni possono dimostrare la conformità.

Lo standard UNI EN ISO/IEC 42001 definisce i requisiti per strutturare, attuare e migliorare un Sistema di Gestione dell’Intelligenza Artificiale (AIMS). L'armonizzazione europea crea così un ponte diretto tra le prescrizioni dell'AI Act e l'operatività aziendale, offrendo alle imprese una struttura riconosciuta per dimostrare la diligenza organizzativa e il controllo dei rischi.

Struttura dello standard e integrazione nei sistemi esistenti

La ISO/IEC 42001 è sviluppata secondo la Harmonized Structure (HS) delle norme ISO, la medesima struttura ad alto livello su cui si basano la ISO 9001 (Qualità), la ISO 27001 (Sicurezza delle informazioni) e la ISO 45001 (Salute e sicurezza sul lavoro). Ciò consente una completa integrazione nei sistemi di gestione già presenti in azienda.

La norma si articola sul ciclo del Plan-Do-Check-Act (PDCA) e richiede all'organizzazione di:

• Analizzare il contesto e le parti interessate (Punto 4): individuare gli impatti interni ed esterni legati all'impiego dell'IA.

• Garantire Leadership e Politica aziendale (Punto 5): definire ruoli, responsabilità e principi per un uso etico e sicuro delle tecnologie.

• Pianificare la gestione del rischio (Punto 6): effettuare la valutazione dei rischi e delle opportunità derivanti dall'adozione dell'IA.

• Controllare i processi e le risorse (Punti 7 e 8): gestire la qualità dei dati di addestramento, la tracciabilità e le competenze del personale.

• Valutare e migliorare le prestazioni (Punti 9 e 10): condurre audit interni e riesami periodici per garantire l'adeguamento continuo del sistema.

Valutazione dei rischi ed effetti sulla sicurezza sul lavoro (D.Lgs. 81/2008)

L'introduzione dell'IA nei contesti lavorativi – per il monitoraggio dei processi, la manutenzione predittiva o la gestione algoritmica dei compiti – si interseca direttamente con gli obblighi previsti dal D.Lgs. 81/2008.

Ai sensi dell'art. 28 del D.Lgs. 81/2008, il Datore di Lavoro è tenuto a valutare tutti i rischi per la salute e la sicurezza. L'adozione di un sistema di gestione conforme alla UNI EN ISO/IEC 42001 supporta l'azienda nell'individuazione di fattori di rischio specifici, tra cui:

1. Rischi ergonomici e psicosociali: correlati a ritmi di lavoro dettati da algoritmi o allo stress da sorveglianza digitale.

2. Rischi di infortunio: derivanti da malfunzionamenti di macchine autonome o robot collaborativi (cobot) gestiti da modelli di Machine Learning.

3. Trasparenza e supervisione umana (Human Oversight): necessità di garantire che l'operatore umano possa sempre comprendere, correggere o interrompere le decisioni automatizzate.

La norma ISO/IEC 42001 richiede l'esecuzione di una valutazione d'impatto specifica (AI Impact Assessment), che si affianca alla valutazione dei rischi lavorativi e alla DPIA privacy (ex art. 35 GDPR), garantendo un'analisi multidisciplinare delle nuove tecnologie.

Prospettive per le imprese e i professionisti della sicurezza

L'adozione dello standard UNI EN ISO/IEC 42001, pur essendo su base volontaria, offre vantaggi operativi e di compliance essenziali per RSPP, HSE Manager e consulenti:

• Presunzione di conformità: costituisce un elemento probatorio di rilievo per attestare l'adozione di un idoneo modello organizzativo, con risvolti positivi anche in ambito di responsabilità amministrativa degli enti ex D.Lgs. 231/2001.

• Compliance integrata: semplifica l'adeguamento ai requisiti dell'AI Act per i sistemi ad alto rischio, riducendo oneri e sovrapposizioni burocratiche.

• Evoluzione delle competenze prevenzionali: spinge le figure della sicurezza a collaborare con i responsabili IT e i DPO per una gestione integrata della prevenzione digitale.

Il recepimento della ISO/IEC 42001 da parte del CEN-CENELEC rappresenta quindi un passo decisivo verso la regolamentazione dell'IA basata su standard tecnici condivisi, consentendo alle aziende di guidare l'innovazione tecnologica nel rispetto della salute e della sicurezza dei lavoratori.