Maturità ISO/IEC 42001 · Sistemi di gestione dell’intelligenza artificiale (AIMS)
La vostra governance dell’IA, misurata su ISO 42001 e tradotta in piano d’azione quantificato.
10 ambiti, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 10 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Maturità ISO/IEC 42001 · Sistemi di gestione dell’intelligenza artificiale (AIMS)
10 ambiti, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi ISO/IEC 42001:2023 avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 10 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, un livello superiore, e l’azione che collega i due) a trasformare una constatazione in traiettoria.
I casi d’uso di IA sono censiti e valutati prima della loro messa in produzione?
- N1
Nessun censimento. I casi d’uso emergono nei reparti operativi senza che la direzione ne conosca l’elenco.
- N2
Esiste un inventario, alimentato su iniziativa di alcuni team. È incompleto e la valutazione prima della produzione resta informale.
- N3
Ogni nuovo caso d’uso viene dichiarato e valutato secondo una griglia comune prima della messa in produzione. Permangono alcune dichiarazioni tardive.
- N4
La dichiarazione è una condizione di accesso agli ambienti di produzione. Le valutazioni e le decisioni di validazione sono tracciate e riconducibili a un responsabile nominato.
- N5
L’inventario viene rivisto periodicamente, i casi d’uso ritirati sono documentati, e gli insegnamenti degli incidenti alimentano la griglia di valutazione.
Azione per passare da N2 a N3
Pubblicare una griglia di valutazione unica dei casi d’uso (finalità, persone interessate, dati coinvolti, livello di rischio) e inserire il suo esame all’ordine del giorno del comitato dati esistente, con un passaggio obbligatorio prima di ogni messa in produzione.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazionesu ISO 42001.
Di cosa parla questo quadro di riferimento
ISO/IEC 42001, pubblicata nel 2023, è la prima norma internazionale certificabile dedicata al management dell’intelligenza artificiale. Segue la struttura comune delle norme di sistema di gestione: contesto, leadership, pianificazione, supporto, realizzazione delle attività, valutazione delle prestazioni, miglioramento. La sua particolarità risiede in due meccanismi propri dell’IA: la valutazione degli impatti sulle persone e sulla società, distinta dalla valutazione dei rischi per l’organizzazione, e il controllo documentato del ciclo di vita dei sistemi di IA, dalla progettazione al ritiro, anche quando il modello proviene da un fornitore.
In pratica, la difficoltà non sta nel comprendere la norma ma nel sapere a che punto si trovi l’organizzazione. I casi d’uso di IA implementati sono censiti in modo esaustivo, compresi quelli introdotti da un componente software di un editore? Chi decide che un sistema può passare in produzione, e su quali criteri documentati? Gli impatti sulle persone interessate vengono valutati prima della implementazione, oppure constatati dopo i primi reclami? Su queste tre domande, lo scarto tra il discorso di governance e le pratiche reali è spesso ampio.
Una confusione ricorre costantemente: ISO 42001 e il regolamento europeo sull’IA non si sostituiscono a vicenda. Il regolamento classifica i sistemi per livello di rischio e impone obblighi opponibili a fornitori e deployer. La norma, invece, descrive l’organizzazione interna che permette di rispettare tali obblighi nel tempo. Un sistema di gestione conforme a ISO 42001 costituisce una base riutilizzabile per dimostrare il controllo atteso, senza dispensare dall’analisi di applicabilità articolo per articolo.
La diagnosi di maturità risponde a una domanda diversa da quella dell’audit di certificazione. L’audit conclude con una conformità o uno scarto. La diagnosi colloca ogni pratica su una scala progressiva e indica l’azione precisa che fa passare al livello superiore. È questo che permette di preparare la certificazione senza avviare il cantiere alla cieca, e di confrontare business unit che non avanzano allo stesso ritmo.
In Datamensio, il quadro di riferimento è pronto all’uso e adattabile. L’IA adegua gli ambiti, le domande e i livelli al vostro settore e al vostro perimetro, oppure costruisce una declinazione a partire dai vostri stessi documenti: politica IA, registro dei casi d’uso, procedure di validazione dei modelli.
Norma di riferimento: ISO/IEC 42001:2023
Gli ambiti valutati
Contesto e perimetro dell’AIMS
Definizione del perimetro, ruoli dell’organizzazione (fornitore, deployer, sviluppatore), parti interessate, dichiarazione di applicabilità delle misure dell’allegato A.
Leadership e politica IA
Politica di IA formalizzata e diffusa, impegno della direzione, allocazione delle risorse, articolazione con gli altri sistemi di gestione.
Ruoli, responsabilità e governance
Attribuzione delle responsabilità sul ciclo di vita, organo di arbitrato dei casi d’uso, separazione tra sviluppo e validazione, escalation delle decisioni.
Valutazione dei rischi legati all’IA
Metodo di valutazione, criteri di accettazione, prioritizzazione dei casi d’uso, trattamento dei rischi e accettazione dei rischi residui.
Valutazione degli impatti sulle persone e sulla società
Identificazione delle persone interessate, analisi degli effetti sui diritti fondamentali, considerazione dei gruppi vulnerabili, tracciabilità delle conclusioni.
Ciclo di vita dei sistemi di IA
Requisiti di progettazione, set di dati e loro provenienza, verifica e validazione prima della messa in produzione, documentazione tecnica, condizioni di ritiro.
Dati utilizzati dai sistemi di IA
Qualità e rappresentatività dei dati, gestione dei bias, tracciabilità dell’origine, diritti d’uso, controllo dei dati di riaddestramento.
Trasparenza e informazione degli utenti
Informazione sul ricorso all’IA, spiegabilità proporzionata all’uso, documentazione fornita ai deployer, gestione dei reclami e dei ricorsi umani.
Fornitori e terze parti
Criteri di selezione, requisiti contrattuali sui modelli e servizi di IA, valutazione dei componenti riutilizzati, monitoraggio delle evoluzioni imposte dall’editore.
Monitoraggio, audit interno e miglioramento
Indicatori di prestazione dei sistemi in produzione, rilevamento delle derive, audit interni, riesame della direzione, azioni correttive e feedback.
È disponibile una versione breve del quadro di riferimento, con 32 domande, per l’autovalutazione online.
Domande frequenti
ISO 42001 è certificabile?
Sì, è una norma di sistema di gestione certificabile da un organismo accreditato, sul modello di ISO 27001. Datamensio misura la vostra maturità e prepara l’audit: non rilascia alcuna certificazione.
Che differenza c’è tra questa diagnosi e un audit di certificazione?
L’audit verifica la presenza dei requisiti e conclude con una conformità o uno scarto. La diagnosi colloca ogni pratica su una scala di maturità e indica l’azione che fa passare al livello successivo. La diagnosi prepara, l’audit convalida.
Bisogna essere già certificati ISO 27001 per iniziare?
No, ma è un vantaggio. La struttura delle due norme è comune: contesto, leadership, pianificazione, valutazione delle prestazioni. Le organizzazioni che dispongono già di un sistema di gestione riutilizzano parte delle loro procedure e della loro documentazione.
Come si articola questa diagnosi con il regolamento europeo sull’IA?
Il regolamento impone obblighi in base al livello di rischio del sistema. La norma descrive l’organizzazione che permette di rispettarli nel tempo. Una diagnosi ISO 42001 solida costituisce una base riutilizzabile, e la roadmap trasversale permette di incrociare i due temi senza duplicare le azioni.
Quanto tempo richiede la valutazione?
La versione breve si compila in 20 o 30 minuti. La versione completa, in modalità collaborativa, si estende generalmente su una o due settimane: la maggior parte del tempo serve a raccogliere gli elementi presso i team dati, sicurezza, legale e operativi.
Si può adattare il quadro di riferimento al nostro contesto?
Sì. Modificate le domande, i livelli e gli ambiti, oppure partite dai vostri stessi documenti per costruire una declinazione. L’IA redige i contenuti e affina i livelli secondo il metodo CMMI. Il quadro di riferimento resta sotto il vostro controllo.
Serve una competenza tecnica in apprendimento automatico per rispondere?
Le domande riguardano le pratiche di governance e di gestione, non l’architettura dei modelli. Alcune richiedono il contributo di un data scientist o di un architetto: la modalità collaborativa permette di assegnare queste domande alla persona giusta.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento fuori dall’Unione Europea. I modelli di IA utilizzati possono essere selezionati, anche tra soluzioni europee.