La certificazione ISO/IEC 42001 riguarda il sistema di gestione dell’intelligenza artificiale di un’organizzazione, entro un perimetro definito. Da sola non dimostra che un singolo sistema di IA sia conforme all’AI Act: gli obblighi dipendono anche dalla classificazione del sistema e dal ruolo dell’organizzazione.
Il certificato riguarda la gestione dell’IA nell’organizzazione; la conformità va valutata per ciascun sistema e per gli obblighi che gli si applicano.
Che cosa certifica ISO/IEC 42001
ISO/IEC 42001 è uno standard volontario e certificabile per un sistema di gestione dell’IA, spesso indicato con la sigla AIMS. La certificazione valuta quel sistema di gestione entro il suo ambito definito; non certifica né approva il singolo modello o prodotto. Questa distinzione è riportata da FinTech Global.
Anche la presunzione di conformità dell’articolo 40 dell’AI Act segue un percorso diverso: secondo le analisi di FinTech Global e Legal247, ISO/IEC 42001 non è uno standard armonizzato ai sensi del regolamento e non conferisce quella presunzione.
Quali sistemi seguono le scadenze del 2027 e del 2028
Il Regolamento (UE) 2026/1744 stabilisce due date per l’applicazione del capo III, sezioni 1–3, ai sistemi classificati ad alto rischio secondo percorsi diversi. Il testo consolidato dell’articolo 113 chiarisce che queste date non valgono per tutti gli obblighi dell’AI Act.
| Classificazione del sistema | Base giuridica | Disposizioni | Applicazione dal |
| Sistema ad alto rischio ai sensi dell’articolo 6, paragrafo 2, e dell’allegato III | Articolo 6, paragrafo 2; allegato III | Capo III, sezioni 1–3, con l’eccezione prevista dal regolamento | 2 dicembre 2027 |
| Sistema ad alto rischio ai sensi dell’articolo 6, paragrafo 1, e dell’allegato I | Articolo 6, paragrafo 1; allegato I | Capo III, sezioni 1–3 | 2 agosto 2028 |
L’articolo 113 mantiene date distinte anche per altre parti del regolamento: la data generale di applicazione è il 2 agosto 2026, mentre le disposizioni sull’alfabetizzazione in materia di IA si applicano dal 2 febbraio 2025. Le scadenze del 2027 e del 2028 riguardano quindi il perimetro indicato nella tabella, non un rinvio generale dell’AI Act.
Dove aiuta il sistema di gestione e che cosa resta da valutare
Un AIMS può organizzare attività che si sovrappongono ad alcuni temi dell’AI Act. FinTech Global indica, tra gli esempi, la gestione dei rischi, la governance dei dati e la supervisione umana. L’articolo riferisce inoltre che l’allegato A di ISO/IEC 42001 comprende 38 controlli distribuiti in nove obiettivi; una dichiarazione di applicabilità registra i controlli adottati o esclusi e le ragioni delle esclusioni.
FinTech Global segnala anche una valutazione d’impatto dei sistemi di IA, collegata alle clausole 6.1.4 e 8.4: considera le conseguenze per individui, gruppi e società e va ripetuta a intervalli pianificati e dopo cambiamenti significativi.
Questi processi non sostituiscono gli adempimenti specifici previsti dall’AI Act per i sistemi e i ruoli a cui si applicano. Tra gli esempi indicati da FinTech Global figurano la valutazione di conformità, la marcatura CE, la registrazione nella banca dati europea, la documentazione tecnica prevista dall’allegato IV e gli obblighi di segnalazione degli incidenti gravi.
Per ogni sistema, il passaggio pratico è quindi individuare la classificazione e il ruolo dell’organizzazione, poi confrontare il caso con gli obblighi pertinenti. FinTech Global raccomanda di affiancare al sistema di gestione un’analisi delle lacune per ciascun sistema ad alto rischio rispetto all’AI Act.
