ISO 42001 e AI Act: cosa cambia per le aziende che usano l'intelligenza artificiale

Chatbot per l'assistenza clienti, strumenti che scrivono testi, software che analizzano curriculum o prevedono la domanda: l'intelligenza artificiale è già entrata in molte PMI italiane. Insieme all'AI arrivano domande da clienti e committenti (come la gestite? chi controlla i risultati?) e nuove regole europee. Due nomi tornano spesso: la certificazione ISO 42001 e l'AI Act. Non sono la stessa cosa, e confonderle è un errore.

Che cos'è la ISO/IEC 42001

La ISO/IEC 42001:2023 è la prima norma internazionale per i sistemi di gestione dell'intelligenza artificiale (AIMS). È una norma volontaria e certificabile. Vale per chi sviluppa, fornisce o semplicemente usa sistemi di AI, di qualsiasi dimensione e settore. Chiede all'azienda di definire una politica per l'AI, assegnare responsabilità, valutare rischi e impatti dei sistemi usati e tenerli sotto controllo lungo tutto il ciclo di vita: dai dati all'addestramento, fino al monitoraggio delle prestazioni e alla prevenzione degli usi impropri.

Ha la stessa struttura armonizzata di ISO 9001 e ISO/IEC 27001. Per questo si integra bene con un sistema di gestione già esistente.

Che cos'è l'AI Act

L'AI Act è il Regolamento (UE) 2024/1689, una legge direttamente applicabile in tutta l'Unione. È entrato in vigore il 1° agosto 2024 e si applica per fasi: i divieti sulle pratiche di AI inaccettabili e l'obbligo di alfabetizzazione del personale dal 2 febbraio 2025, le regole sui modelli di AI per finalità generali dal 2 agosto 2025, la generalità delle disposizioni dal 2 agosto 2026. Gli obblighi dipendono dal livello di rischio del sistema e dal ruolo dell'azienda (fornitore, deployer cioè utilizzatore, importatore, distributore).

Le scadenze aggiornate dall'Omnibus digitale

Il Regolamento (UE) 2026/1744 (il cosiddetto "Omnibus digitale sull'IA"), pubblicato nella Gazzetta ufficiale UE il 24 luglio 2026 e in vigore dal 27 luglio 2026, ha modificato il calendario:

• gli obblighi per i sistemi ad alto rischio dell'Allegato III (ad esempio occupazione e selezione del personale, istruzione, servizi essenziali, biometria) si applicano dal 2 dicembre 2027;
• per i sistemi ad alto rischio integrati in prodotti regolati dalla normativa di settore (Allegato I: dispositivi medici, macchine, ecc.) dal 2 agosto 2028;
• l'obbligo di alfabetizzazione sull'AI (art. 4) diventa un dovere di adottare misure per sostenere la formazione del personale;
• sono stati aggiunti nuovi divieti e le agevolazioni per le PMI sono state estese alle "small mid-cap".

ISO 42001 non vuol dire conformità all'AI Act

È il punto più importante: la certificazione ISO 42001 non equivale alla conformità all'AI Act e non la sostituisce. Lo dice anche ACCREDIA: la certificazione accreditata dei sistemi di gestione dell'AI si inserisce nel quadro dell'AI Act, ma senza offrire presunzione di conformità.

Gli obblighi di legge (classificare i sistemi, documentazione tecnica, trasparenza verso gli utenti, sorveglianza umana, valutazioni di conformità per l'alto rischio) restano da rispettare a parte, valutando caso per caso, se serve con un legale.

Che cosa dà allora la ISO 42001? Un metodo. Un sistema di gestione che censisce i sistemi di AI usati, assegna le responsabilità, valuta rischi e impatti, documenta le decisioni e le verifica con audit interni e riesami della Direzione. È un'ottima base organizzativa per affrontare anche gli obblighi dell'AI Act, e un modo verificabile da terzi per rispondere a clienti e committenti che chiedono come gestisci l'AI.

Accreditamento ACCREDIA per la ISO 42001 nel 2026

Fino a poco tempo fa in Italia mancava uno schema di accreditamento dedicato. Con la Circolare tecnica DC N° 08/2026, ACCREDIA ha avviato l'accreditamento degli organismi che certificano i sistemi di gestione dell'AI secondo la UNI CEI ISO/IEC 42001. Gli organismi devono essere accreditati alla UNI CEI EN ISO/IEC 17021-1, integrata dai requisiti della ISO/IEC 42006.

Per l'azienda la conseguenza è pratica: prima di firmare, chiedi quale organismo rilascerà il certificato e se è accreditato per la ISO/IEC 42001, poi verificalo sul sito dell'Ente di accreditamento.

Da dove partire

1. Fai l'elenco dei sistemi di AI che sviluppi o usi, e per cosa li usi.
2. Capisci il tuo ruolo (fornitore o utilizzatore) e il livello di rischio di ciascun sistema secondo l'AI Act.
3. Definisci politica, responsabilità e valutazione dei rischi secondo la ISO/IEC 42001.
4. Fai audit interno e riesame della Direzione, poi affronta gli audit di Stage 1 e Stage 2 con l'organismo.

Domande frequenti

La certificazione ISO 42001 è obbligatoria? No, è volontaria. Obbligatorio è rispettare l'AI Act, per gli obblighi che riguardano i tuoi sistemi e il tuo ruolo.

Se mi certifico ISO 42001 sono a posto con l'AI Act? No. La ISO 42001 aiuta a organizzare la gestione dell'AI, ma non dà presunzione di conformità al Regolamento (UE) 2024/1689.

Serve anche se l'AI la uso soltanto? Sì, la norma si applica anche a chi usa sistemi di AI nei propri processi, prodotti o servizi.

Quanto costa e quanto tempo serve? Dipende da numero e tipo di sistemi di AI, dimensioni dell'azienda e attività da certificare: per la ISO 42001 facciamo un preventivo su misura.

Vuoi certificare la gestione dell'AI nella tua azienda?

Siamo Lead Auditor e lavoriamo con Organismi di Certificazione accreditati. Prima del contratto ti indichiamo l'organismo e il suo accreditamento per la ISO/IEC 42001. Scopri di più nella pagina Certificazione ISO 42001, chiamaci al 351 8320133 o scrivici su WhatsApp per un preventivo su misura.

Fonti - Regolamento (UE) 2024/1689 (AI Act), EUR-Lex: https://eur-lex.europa.eu/eli/reg/2024/1689/oj?locale=it - Regolamento (UE) 2026/1744 (Omnibus digitale sull'IA), EUR-Lex: https://eur-lex.europa.eu/eli/reg/2026/1744/oj/ita - Law & Technology, pubblicazione e scadenze dell'Omnibus: https://lawandtechnology.eu/digital-omnibus-on-ai-gazzetta-ufficiale-regolamento-2026-1744/ - Altalex, Omnibus digitale: cosa cambia per le imprese: https://www.altalex.com/documents/2026/07/27/digital-omnibus-intelligenza-artificiale-guue-cambia-imprese - ACCREDIA, notizia del 18/03/2026 sull'accreditamento ISO/IEC 42001: https://www.accredia.it/comunicazione/notizie/intelligenza-artificiale-laccreditamento-per-certificare-i-sistemi-di-gestione/ - ACCREDIA, Circolare tecnica DC N° 08/2026: https://www.accredia.it/documenti/circolare-tecnica-dc-n-08-2026-accreditamento-ambito-sg-per-la-certificazione-dei-sistemi-di-gestione-di-ia-secondo-la-uni-cei-iso-iec-42001/ - ACCREDIA, scheda Sistemi di gestione dell'intelligenza artificiale: https://www.accredia.it/servizio-accreditato/sistemi-di-gestione-dellintelligenza-artificiale/