«Se ci certifichiamo ISO 42001 siamo a posto con l'AI Act?» È la domanda che arriva più spesso da chi guida una PMI. La risposta breve è no: la ISO/IEC 42001 non dà alcuna presunzione di conformità al Regolamento UE 2024/1689. La risposta lunga è più utile: è oggi lo strumento più maturo per organizzare la governance dell'AI, e per una PMI vale spesso più come metodo che come certificato.
Cos'è la ISO/IEC 42001 (e cosa non è)
Pubblicata nel dicembre 2023, la ISO/IEC 42001 è la prima norma internazionale certificabile per un sistema di gestione dell'intelligenza artificiale (AIMS). Usa la stessa struttura armonizzata di ISO 9001 e ISO/IEC 27001: le clausole da 4 a 10 (contesto, leadership, pianificazione, supporto, attività operative, valutazione delle prestazioni, miglioramento) e un Allegato A con 38 controlli raggruppati in nove obiettivi, da A.2 ad A.10: politiche sull'AI, organizzazione interna, risorse, valutazione d'impatto, ciclo di vita, dati, informazioni per le parti interessate, uso dei sistemi, rapporti con terze parti e clienti. L'Allegato B spiega come attuare i controlli, l'Allegato C elenca le fonti di rischio tipiche dell'AI, l'Allegato D guida l'integrazione con altri sistemi di gestione. Come nella 27001, le scelte si documentano in una Dichiarazione di applicabilità (clausola 6.1.3).
Si applica a qualsiasi organizzazione, di qualsiasi dimensione, che fornisca o utilizzi sistemi di AI. In Italia è stata recepita come UNI CEI ISO/IEC 42001:2024, disponibile in italiano da gennaio 2025, e sostituita dal 30 luglio 2026 dalla UNI CEI EN ISO/IEC 42001:2026 dopo l'adozione europea da parte di CEN-CENELEC.
Cosa non è: non è una norma armonizzata dell'AI Act, e non è il sistema di gestione della qualità che l'art. 17 richiede ai fornitori di sistemi ad alto rischio.
Il punto che conta: nessuna presunzione di conformità
L'art. 40(1) del Regolamento è netto: la presunzione di conformità scatta solo per le norme armonizzate i cui riferimenti sono pubblicati nella Gazzetta ufficiale dell'UE. La ISO/IEC 42001 non rientra in quel meccanismo, e la sigla EN acquisita nel 2026 non cambia nulla: ciò che conta è la citazione in Gazzetta a seguito di una richiesta di normazione della Commissione, non l'adozione europea in sé.
La norma pensata per l'art. 17 è un'altra: la EN 18286:2026 «Artificial intelligence – Quality management system for EU AI Act regulatory purposes», pubblicata da CEN-CENELEC a luglio 2026, la prima delle norme del JTC 21 ad arrivare al traguardo. Nel momento in cui scriviamo non risulta ancora citata in Gazzetta. Finché non lo sarà, nessuna norma dà presunzione di conformità e l'onere di dimostrare il rispetto del Regolamento resta interamente sull'operatore, certificato o no.
C'è però un ponte: la EN 18286 include un allegato che mappa i propri requisiti sui controlli dell'Allegato A della ISO/IEC 42001 (e un altro sulla ISO 9001). Chi ha già un AIMS strutturato non ricomincia da zero.
Dove la ISO 42001 aiuta davvero una PMI
La forza della norma è che costringe a rispondere per iscritto alle stesse domande che pone l'AI Act. Una mappatura pratica:
| Obbligo AI Act | Dove lo copre la ISO/IEC 42001 |
|---|---|
| Alfabetizzazione AI del personale (art. 4, dal 2 febbraio 2025) | Competenza e risorse: clausola 7.2 e obiettivo A.4 |
| Sistema di gestione dei rischi (art. 9) | Valutazione e trattamento dei rischi (clausola 6.1) e fonti di rischio dell'Allegato C |
| Obblighi del deployer: uso secondo le istruzioni, sorveglianza umana competente, monitoraggio, log conservati almeno sei mesi (art. 26) | Uso dei sistemi (A.9) e ciclo di vita (A.6) |
| Valutazione d'impatto sui diritti fondamentali (art. 27, dove dovuta) e DPIA | Valutazione d'impatto (A.5), con la guida ISO/IEC 42005:2025 |
| Trasparenza verso utenti e persone (art. 50) | Informazioni per le parti interessate (A.8) |
| Fornitori e componenti di terzi | Rapporti con terze parti e clienti (A.10) |
Per un deployer — la grande maggioranza delle PMI, che compra software con l'AI dentro — questa è la parte che serve: la norma dà una struttura all'inventario, alla classificazione del rischio e alla catena di responsabilità verso i fornitori. Per un fornitore di sistemi ad alto rischio è una base organizzativa solida, ma il sistema di qualità dell'art. 17 va costruito sulla EN 18286.
Certificarsi o no: tre domande
- Sei fornitore di un sistema ad alto rischio? Gli obblighi per i sistemi dell'Allegato III si applicano dal 2 dicembre 2027, quelli dell'Allegato I dal 2 agosto 2028 (Regolamento UE 2026/1744). Lo stesso Digital Omnibus ha esteso a tutte le PMI, comprese le start-up, la facoltà di attuare alcuni elementi del sistema di qualità in modo semplificato (art. 63), purché senza imprese associate o collegate, e ha previsto una documentazione tecnica semplificata per PMI e piccole mid-cap. La ISO 42001 è un buon punto di partenza, non il traguardo.
- Sei un deployer che usa AI di terzi? Il certificato serve raramente. Serve il metodo: gap analysis rispetto all'Allegato A, Dichiarazione di applicabilità, poche procedure vive. Ci si certifica se lo chiedono clienti, gare o il gruppo.
- Devi dare garanzie a clienti, banche o capitolati? Allora la certificazione vale, ma solo se accreditata. In Italia Accredia ha avviato l'accreditamento degli organismi con la circolare DC 08/2026, sulla base della ISO/IEC 17021-1 integrata con la ISO/IEC 42006:2025, che fissa i requisiti di competenza degli auditor. Un certificato non accreditato pesa poco.
Tre errori da evitare: scambiare il certificato per la conformità; una Dichiarazione di applicabilità copiata invece che ragionata sui sistemi realmente in uso, compresi quelli che i dipendenti adottano senza autorizzazione; tenere l'AIMS separato dalla 27001 e dal GDPR invece di integrarli.
Da dove partire
Prima di decidere se certificarsi conviene sapere dove si è: quali sistemi AI sono in uso, con quale ruolo (fornitore o deployer), con quali obblighi e da quando. Un gap assessment indipendente, condotto con l'Allegato A come griglia e l'AI Act come metro, restituisce un piano con priorità, responsabili e date. La certificazione, se serve, viene dopo.