Il 18 dicembre 2023 è stata pubblicata la norma tecnica ISO/IEC 42001:2023 “Information technology Artificial intelligence – Management system” (AIMS).

“Lo standard specifica i requisiti e fornisce indicazioni per stabilire, implementare, mantenere e migliorare continuamente un sistema di gestione dell’AI nel contesto di un’organizzazione che fornisce o utilizza prodotti o servizi che utilizzano sistemi di intelligenza artificiale. La finalità ultima dello standard è quella di supportare un’organizzazione a sviluppare o utilizzare i sistemi di AI in modo responsabile nel perseguire i propri obiettivi e soddisfare i requisiti normativi applicabili, gli obblighi relativi alle parti interessate e le aspettative da parte loro. Lo standard si applica a qualsiasi organizzazione, indipendentemente dalle dimensioni, dal tipo e dalla natura, che fornisce o utilizza prodotti o servizi che utilizzano sistemi di intelligenza artificiale.”

Per quanto lievemente rivista, con questi termini la ISO introduce la pagina del suo sito web dedicata a tale norma.

L’obiettivo di questo articolo è quello di presentare la struttura della norma, che peraltro non richiede, come prerequisito, l’implementazione di altri sistemi di gestione.

Prima di introdurre la norma è opportuno evidenziare che la comprensione della stessa passa, come del resto ovvio, anzitutto dalla comprensione dei temini ed in particolare dallo studio della terminologia come molto ben delineata nella ISO/IEC 22989:2022 “Information technology — Artificial intelligence — Artificial intelligence concepts and terminology”.

L’applicazione dello standard – Il tema dell’applicazione dell’AI è talmente rilevante che molti enti governativi hanno regolamentato, o lo stanno facendo – anche con grande difficoltà – gli aspetti connessi con applicazioni di intelligenza artificiale, per trovare il giusto compromesso tra reddittività, innovazione e componente etica.

Conseguentemente la ISO/IEC 42001:2023 può fornire un contributo significativo, considerando gli elementi che la caratterizzano.

Uno standard riconosciuto a livello mondiale – È uno standard riconosciuto a livello globale che utilizza un framework di requisiti, di rischio e di controlli e fornisce linee guida per la governance e la gestione di sistemi con componente di AI.

Gestione del rischio – Individuazione delle minacce, delle vulnerabilità e degli agenti di minaccia nella gestione delle tecnologie, in modo da definire, implementare e migliorare le misure in un quadro di governance.

Approccio sistematico – La norma offre un approccio sistematico per affrontare le principali sfide, tra cui la protezione dei dati personali, i pregiudizi, la responsabilità e la trasparenza; lo standard richiede di integrare anche un approccio etico, e richiede, considerando l’evoluzione costante del panorama, di ridefinire e migliorare costantemente i processi decisionali e le responsabilità connesse ai sistemi.

Un sistema di gestione scalabile e integrabile – La flessibilità fornita dalla struttura armonizzata dello standard consente una facile integrazione dei sistemi di gestione della sicurezza informatica e dei dati personali.

Coordinare la governance aziendale – Lo standard può svolgere un ruolo fondamentale nel coordinare il panorama sempre più complesso della governance dell’AI, che un’organizzazione deve soddisfare, in particolare laddove operi su diversi mercati, che richiedono di soddisfare normative specifiche.

La struttura ed i requisiti della ISO/IEC 42001:2023 – La norma si integra nelle strutture dell’organizzazione e si basa, come ogni norma riguardante i sistemi di gestione, sull’Annex SL.

L’insieme dei requisiti è piuttosto generico, al fine di adattarsi ad ogni tipo di organizzazione – produttore, fornitore, cliente, utilizzatore, ecc. – ed è facilmente integrabile, ad esempio con la ISO/IEC 27001:2022; l’apparato di note presente in questa sezione della norma fornisce molti spunti per l’implementazione della norma stessa, così come la ricchissima bibliografia che fa riferimento ad un apparato di norme e di linee guida di grande interesse per comprendere il contesto dell’AI.

Lo standard risulta strettamente allineato ai requisiti normativi previsti dall’Artificial Intelligence Act (AI Act) dell’UE, favorendo quindi le organizzazioni che vogliono conformarsi all’AI Act.

Gli allegati della ISO/IEC 42001:2023 – La norma è corredata da quattro allegati:

– l’allegato A (normativo) contiene i controlli ovvero le misure da porre in atto per mantenere o modificare un rischio (analogamente a quanto prevede il corrispondente allegato A della ISO/IEC 27001:2022);
– l’allegato B (normativo) riporta le linee guida per l’applicazione dei controlli definiti nell’allegato A (analogamente alla ISO/IEC 27002:2022 per quanto senza la componente degli attributi);
– l’allegato C (informativo) delinea i potenziali obiettivi organizzativi, le fonti di rischio e le descrizioni che possono essere prese in considerazione nella gestione dei rischi legati all’uso dell’IA;
– l’allegato D (informativo) riguarda gli ambiti e i settori in cui può essere utilizzato un AIMS.

L’elemento caratterizzante dello standard resta, com’è logico, quello dei controlli e degli obiettivi di controllo, che sono suddivisi in 9 sezioni:

– Politiche relative all’AI
– Organizzazione interna
– Risorse per i sistemi di AI
– Analisi dell’impatto dei sistemi di AI
– Ciclo di vita del sistema AI
– Dati per i sistemi di AI
– Informazioni per le parti interessate ai sistemi di AI
– Utilizzo dei sistemi di AI
– Rapporti con terze parti

Non è necessario utilizzare tutti gli obiettivi di controllo e i controlli elencati nella sezione A; l’organizzazione può progettare e implementare i propri controlli come indicato anche nel requisito 6.1.3 “Trattamento del rischio AI”.

Le fonti rischio identificate nell’allegato C, e da tenere sotto controllo attraverso l’apparato dei controlli, sono dovute a:

– complessità dell’ambiente
– mancanza di trasparenza e condivisione
– livello di automazione
– componente di machine learning
– problemi hardware del sistema
– stato del sistema nel corso del suo “ciclo di vita”
– livello di maturità della tecnologia

Il maggiore elemento di criticità di questo standard è rappresentato dall’esigenza di rivedere costantemente il contesto sulla base del quale è stata predisposta l’analisi dei rischi e conseguentemente implementati i controlli. Infatti, l’innovazione tecnologia, la componente di machine learning, e l’enorme casistica di applicazione della componente di AI, la maggior parte delle quali ancora da esplorare; richiedono soluzioni “taylor made” che potrebbero essere oggetto di revisione ed aggiornamento, non solo in relazione al AIMS, ma anche all’interno di un singolo progetto.

Conclusioni – Nell’articolo è stata esaminata la struttura di una norma innovativa che tratta un tema di frontiera ed utilizza un impianto specialistico utile nel supportare le esigenze di controllo delle enormi potenzialità dell’AI.

Il tema non è certo esaurito da queste brevi note; la norma infatti richiede approfondimenti verticali sulle singole implicazioni; il taglio generale e la natura flessibile dei requisiti e dei controlli rappresentano infatti un punto di forza di questo documento.