Certificazione ISO/IEC 42001: che cosa certifica, come si ottiene e quando conviene

Nel 2026 la certificazione dei sistemi di gestione dell'intelligenza artificiale è diventata una scelta concreta anche per le imprese italiane. A febbraio Accredia ha emanato la circolare tecnica che disciplina l'accreditamento degli organismi di certificazione per questo schema. Dal 30 luglio è in vigore la UNI CEI EN ISO/IEC 42001:2026, con cui la norma internazionale è entrata nel corpus normativo europeo.

1. Dicembre 2023ISO e IEC pubblicano la ISO/IEC 42001
2. 19 febbraio 2026Circolare tecnica Accredia DC n. 08/2026 sull'accreditamento degli organismi
3. 30 luglio 2026In vigore la UNI CEI EN ISO/IEC 42001:2026

Per un'azienda questo significa due cose. Esiste un riferimento unico, riconosciuto a livello internazionale, per organizzare il governo dell'intelligenza artificiale. E chi lo adotta può farlo verificare da un organismo terzo accreditato, con un certificato rilasciato secondo uno schema accreditato analogo a quello delle altre certificazioni di sistema, come la qualità o la sicurezza delle informazioni.

La guida è scritta per chi deve decidere se avviare il percorso: direzione, responsabili della compliance, funzioni IT e qualità.

01Che cos'è la ISO/IEC 42001

La ISO/IEC 42001 è stata pubblicata da ISO e IEC nel dicembre 2023. Stabilisce i requisiti per istituire, attuare, mantenere e migliorare nel tempo un sistema di gestione dell'intelligenza artificiale, cioè l'insieme di politiche, ruoli, processi e controlli con cui un'azienda governa i sistemi di IA che sviluppa, fornisce o utilizza.

Il campo di applicazione è ampio. La norma non riguarda soltanto chi costruisce modelli: si applica anche a chi integra l'intelligenza artificiale nei propri prodotti e servizi e a chi la usa nei processi interni, compresi i sistemi forniti da terzi.

In Italia la norma è stata adottata da UNI nel 2024 come UNI CEI ISO/IEC 42001. Con il recepimento europeo è diventata UNI CEI EN ISO/IEC 42001:2026, in vigore dal 30 luglio 2026. I requisiti non sono cambiati: cambia lo status della norma, che ora fa parte delle norme europee.

Com'è costruita

La norma segue la struttura armonizzata comune a tutti i sistemi di gestione ISO, la stessa della ISO 9001 e della ISO/IEC 27001. È un dettaglio pratico più che formale, perché consente di integrarla con sistemi già certificati.

1. 4ContestoPerimetro, parti interessate, ruolo rispetto all'IA
2. 5LeadershipDirezione, politica, ruoli
3. 6PianificazioneRischi, impatti, obiettivi
4. 7SupportoRisorse, competenze, documenti
5. 8Attività operativeCiclo di vita dei sistemi
6. 9ValutazioneMonitoraggio, audit, riesame
7. 10MiglioramentoAzioni correttive, ciclo continuo

Le clausole dalla 4 alla 10 contengono i requisiti obbligatori e chiudono un ciclo che si ripete: pianificare, attuare, verificare, migliorare.

A queste clausole si aggiungono le appendici. L'Appendice A, normativa, elenca i controlli. L'Appendice B, anch'essa normativa, fornisce indicazioni per attuarli. L'Appendice C, informativa, descrive obiettivi e fonti di rischio tipici.

Non tutti i controlli vanno applicati. L'azienda sceglie quelli pertinenti e motiva per iscritto ogni inclusione ed esclusione in un documento chiamato dichiarazione di applicabilità. È uno dei documenti che l'organismo di certificazione esamina con più attenzione.

02Che cosa certifica, e che cosa no

È la domanda da porsi prima di qualsiasi altra, perché da qui nascono le aspettative sbagliate.

Su quest'ultimo punto la circolare Accredia è esplicita: la ISO/IEC 42001:2023 non è armonizzata al Regolamento (UE) 2024/1689. La presunzione di conformità prevista dal regolamento discende dalle norme armonizzate pubblicate nella Gazzetta ufficiale dell'Unione, e la 42001 oggi non è fra queste. UNI segnala che potrà essere considerata fra le norme utili a rispondere alle richieste di normazione della Commissione, ma questo è un passaggio futuro.

Due ulteriori precisazioni. La certificazione è volontaria: nessuna legge la impone. E non la rilascia ISO, ma un organismo di certificazione indipendente, del quale, per una certificazione accreditata, va verificato l'accreditamento per questo specifico schema.

03Perché un'azienda dovrebbe valutarla adesso

Le ragioni sono quattro, e conviene distinguerle perché non pesano allo stesso modo per tutti.

Quando non è la priorità

Vale la pena dirlo con la stessa chiarezza. Un'azienda che usa l'intelligenza artificiale solo con un assistente generico per scrivere testi, senza integrarla in processi che riguardano clienti, dipendenti o decisioni rilevanti, ha priorità diverse. Le servono una politica d'uso, la formazione prevista dall'articolo 4 e un inventario degli strumenti. La certificazione può attendere.

04Il percorso in sei fasi

Un percorso di certificazione si articola in sei fasi. L'ordine conta: ogni fase produce documenti su cui si appoggia la successiva, e saltarne una significa ricostruirla dopo, in genere sotto la pressione di un audit.

1. 1

   Fase 1

   Perimetro e inventario

   Si decide che cosa rientra nel sistema: quali processi, quali sedi, quali sistemi di intelligenza artificiale. Si censiscono tutti i sistemi in uso, compresi quelli integrati in software acquistati per altro, che sono la parte che più spesso sfugge.

   Per ciascuno si definisce il ruolo dell'azienda: chi sviluppa, chi fornisce, chi utilizza. La circolare Accredia chiede espressamente agli auditor di saper distinguere questi ruoli, perché cambiano i requisiti applicabili.

   Che cosa produce

   Documento di perimetroInventario dei sistemi di IARuolo dell'azienda per ciascun sistema
2. 2

   Fase 2

   Contesto, rischi e impatti

   Si individuano le parti interessate e le loro aspettative. Si valutano i rischi che i sistemi comportano per l'azienda e gli impatti che possono avere su persone e gruppi. Per la metodologia esistono riferimenti specifici: la ISO/IEC 23894 per la gestione del rischio, la ISO/IEC 42005 per la valutazione d'impatto.

   Che cosa produce

   Analisi del contestoRegistro dei rischiValutazioni d'impattoPiano di trattamento
3. 3

   Fase 3

   Politica, ruoli e controlli

   La direzione approva una politica per l'intelligenza artificiale e assegna ruoli e responsabilità. Si fissano gli obiettivi del sistema. Si selezionano i controlli dell'Appendice A e si motiva ogni scelta nella dichiarazione di applicabilità.

   Che cosa produce

   Politica per l'IAMappa delle responsabilitàObiettiviDichiarazione di applicabilità
4. 4

   Fase 4

   Attuazione e competenze

   Le procedure entrano nell'operatività: gestione del ciclo di vita dei sistemi, qualità dei dati, rapporti con i fornitori, uso consentito, gestione degli incidenti. Il personale riceve la formazione necessaria per il proprio ruolo.

   È la fase più lunga, perché il sistema deve funzionare abbastanza a lungo da lasciare traccia di sé.

   Che cosa produce

   Procedure operativeRegistri di formazione e competenzaEvidenze di funzionamento
5. 5

   Fase 5

   Verifica interna

   Un audit interno, condotto da persone che non hanno costruito il sistema, ne verifica la conformità. La direzione esamina i risultati nel riesame e decide le azioni correttive. Senza questi due passaggi un organismo di certificazione non può concludere positivamente la verifica.

   Che cosa produce

   Rapporto di audit internoVerbale del riesame della direzionePiano delle azioni correttive
6. 6

   Fase 6

   Certificazione

   Si sceglie un organismo accreditato. La verifica si svolge in due momenti: il primo esamina la documentazione e la prontezza del sistema, il secondo ne verifica l'attuazione sul campo.

   Se l'esito è positivo, il certificato ha validità triennale, con verifiche di sorveglianza periodiche e un audit di rinnovo alla scadenza.

   Che cosa produce

   Certificato di conformitàProgramma delle verifiche di sorveglianza

Chi vi accompagna non può certificarvi. Le regole di accreditamento separano la consulenza dalla certificazione.

05Tempi, costi e impegno interno

Una cifra valida per tutti non esiste, e chi ne propone una prima di conoscere l'azienda sta semplificando troppo. Si possono però indicare i fattori che determinano tempi e costi.

Chi coinvolgere

06Se l'azienda ha già un sistema certificato

Chi ha già la ISO 9001 o la ISO/IEC 27001 parte avvantaggiato. La struttura armonizzata permette di estendere il sistema esistente invece di costruirne uno nuovo, e la circolare Accredia lo indica esplicitamente come possibilità. Vale la pena segnalare che il 16 settembre 2026 è stata pubblicata la nuova edizione della ISO 9001: chi deve affrontare la transizione può pianificare insieme i due interventi.

07Gli errori che allungano il percorso

08Prima di contattare un organismo di certificazione

Undici verifiche da fare prima di chiedere un'offerta. Si possono spuntare direttamente qui.