1. Costruire un inventario decisionale
Registrare sistemi, modelli, fornitori, dati, utilizzatori, finalità e processi impattati. L'inventario deve consentire di capire dove l'AI influenza persone, diritti, sicurezza, qualità o continuità operativa, non limitarsi al nome dello strumento.
2. Classificare rischio e valore
Valore atteso, impatto, probabilità, reversibilità e obblighi applicabili vanno valutati insieme. La classificazione stabilisce profondità dei controlli, approvazioni, frequenza del monitoraggio e condizioni per sospendere un sistema.
3. Rendere esplicite le responsabilità
Servono owner di business, responsabilità tecnica, presidio dati, risk e compliance. Per ogni sistema devono essere chiari poteri decisionali, escalation, human oversight e gestione degli incidenti.
4. Produrre evidenze operative
Policy e procedure contano solo se collegate a registri, test, decision log, monitoraggio delle prestazioni, gestione dei cambiamenti e riesami. Le evidenze devono nascere nel lavoro ordinario.
5. Integrare ISO 42001 e AI Act
ISO/IEC 42001 offre una struttura di sistema di gestione; l'AI Act introduce obblighi basati sul rischio. Non sono equivalenti: la mappatura va fatta sul contesto reale, con supporto legale per l'interpretazione normativa.
| Domanda | Evidenza minima |
|---|---|
| Quali sistemi AI usiamo? | Inventario con finalità, owner, dati e fornitore |
| Quali rischi assumiamo? | Valutazione documentata e criteri di accettazione |
| Chi può fermare il sistema? | Ruoli, escalation e human oversight |
| Come rileviamo il degrado? | Metriche, soglie, logging e riesame |