Intelligenza artificiale in azienda: arriva lo standard europeo UNI EN ISO/IEC 42001

L'adozione di sistemi di intelligenza artificiale nei processi aziendali - dal monitoraggio della produzione alla gestione algoritmica dei compiti - porta con sé nuovi profili di rischio che riguardano da vicino la sicurezza sul lavoro, oltre alla protezione dei dati. Per questo il recepimento europeo dello standard ISO/IEC 42001 da parte di CEN e CENELEC rappresenta un riferimento operativo utile a datori di lavoro, RSPP e consulenti che devono gestire l'introduzione di queste tecnologie in azienda.

Cosa prevede lo standard

Con il recepimento europeo della UNI CEI EN ISO/IEC 42001, già adottata da UNI nel 2024 grazie al lavoro della UNI/CT 533 coordinata da UNINFO, lo standard entra nel corpus normativo europeo. La norma definisce i requisiti per costruire un Sistema di Gestione dell'Intelligenza Artificiale (AIMS), seguendo la stessa Harmonized Structure già utilizzata da ISO 9001, ISO 27001 e ISO 45001: questo permette alle aziende che hanno già un sistema di gestione certificato di integrare i nuovi requisiti senza duplicare i processi.

Lo standard si sviluppa secondo il ciclo Plan-Do-Check-Act e chiede all'organizzazione di analizzare il contesto e le parti interessate, definire ruoli e responsabilità per un uso etico dell'IA, valutare rischi e opportunità, gestire la qualità dei dati di addestramento e la tracciabilità, oltre a condurre audit interni periodici.

Il raccordo con l'AI Act e il D.Lgs. 81/2008

La UNI CEI EN ISO/IEC 42001 potrà essere considerata come una delle norme sviluppate per rispondere a eventuali richieste di normazione della Commissione europea a supporto dell'AI Act, e stabilisce come gestire i rischi, la trasparenza e la documentazione dei processi coerentemente con il regolamento. Il Regolamento (UE) 2024/1689, noto come AI Act, adotta infatti un approccio basato sul rischio per la classificazione dei sistemi algoritmici, con obblighi che variano a seconda del livello di rischio individuato.

Per le aziende che introducono l'IA in produzione, la valutazione dei rischi richiesta dall'art. 28 del D.Lgs. 81/2008 dovrà tenere conto anche di fattori legati a ritmi di lavoro dettati da algoritmi, malfunzionamenti di macchine autonome o robot collaborativi, e alla necessità di garantire che l'operatore umano possa sempre comprendere e correggere le decisioni automatizzate.

Chi può utilizzarla

L'adozione dello standard resta su base volontaria, ma può costituire un elemento a supporto dell'adeguato modello organizzativo previsto dal D.Lgs. 231/2001 e uno strumento per semplificare l'adeguamento agli obblighi dell'AI Act per i sistemi ad alto rischio. Per le aziende interessate, l'informazione è disponibile presso UNI, ente italiano di normazione, che ha già pubblicato la traduzione italiana del testo.