ISO 27090 e ISO 42001: le differenze spiegate
Jonathan BezdekCTO
5 Min. Leggi il testo
La ISO 27090 guida il lavoro sulla sicurezza dell'IA. La ISO 42001 definisce i requisiti di un sistema di gestione dell'intelligenza artificiale, o AIMS. Le organizzazioni possono usarle insieme per collegare le pratiche di sicurezza a una governance dell'IA più ampia. Fonti: scheda di pubblicazione della ISO 27090, scheda di pubblicazione della ISO 42001.
ISO 27090 e ISO 42001 a colpo d'occhio
| Confronto | ISO 27090 | ISO 42001 |
|---|---|---|
| Scopo principale | Proteggere i sistemi di IA dalle minacce alla sicurezza | Organizzare lo sviluppo e l'uso responsabili dell'IA |
| Tipo di norma | Linee guida di sicurezza | Requisiti per un sistema di gestione dell'IA |
| Domanda pratica | Come potrebbe essere compromesso questo sistema di IA? | Come governiamo l'IA in modo coerente in tutta l'organizzazione? |
| Ambito principale | Minacce a dati, modelli e flussi di lavoro dell'IA | Policy, responsabilità, rischi, obiettivi e miglioramento in materia di IA |
| Esempi di criticità | Data poisoning, furto di modelli e attacchi correlati | Sicurezza, safety, trasparenza, bias e altri rischi dell'IA |
| Certificazione | Linee guida; non prevede un percorso di certificazione di un AIMS | Certificazione volontaria dell'AIMS dell'organizzazione |
| Chi può usarla | Organizzazioni che sviluppano o usano l'IA | Organizzazioni che sviluppano, forniscono o usano l'IA |
| Edizione in vigore | ISO/IEC 27090:2026 | ISO/IEC 42001:2023 |
| Prima pubblicazione | 14 ottobre 2026 | 18 dicembre 2023 |
Fonti: scheda di pubblicazione della ISO 27090, scheda di pubblicazione della ISO 42001 e spiegazione della ISO 42001 a cura di ISO.
I loro ambiti si sovrappongono. La ISO 42001 include la sicurezza dell'IA tra questioni organizzative più ampie. Anche la ISO 27090 tratta la governance nel contesto della sicurezza dell'IA. I loro scopi diversi spiegano come possano completarsi a vicenda. Fonti: spiegazione della ISO 42001 a cura di ISO, spiegazione della ISO 27090 a cura di ISO.
Certificazione ISO 27090 e ISO 42001
La certificazione ISO 42001 valuta se il sistema di gestione dell'IA di un'organizzazione soddisfa i requisiti della norma. La certificazione è rilasciata da organismi di certificazione indipendenti; ISO stessa non certifica le organizzazioni. Le singole applicazioni di IA richiedono comunque una valutazione della sicurezza. Fonte: spiegazione della ISO 42001 a cura di ISO.
Quando si commissiona un lavoro basato sulla ISO 27090, occorre definire la revisione di sicurezza necessaria: quali sistemi, quali scenari di attacco e quali evidenze supporteranno i risultati. In questo modo la valutazione ha un perimetro concreto e un esito utile.
Quale norma usare
La scelta dipende dal problema da risolvere. Questa tabella è una guida pratica alla decisione.
| La vostra situazione | Dove concentrarsi | Prossimo passo consigliato |
|---|---|---|
| L'uso dell'IA non ha responsabili né regole chiare | ISO 42001 | Definire responsabilità, una policy e un processo di revisione |
| Un modello o un'applicazione è esposto a rischi di attacco specifici | ISO 27090 | Analizzare gli scenari di attacco e scegliere le misure di salvaguardia da testare |
| Un cliente richiede la certificazione del sistema di gestione dell'IA | ISO 42001 | Definire il perimetro della certificazione e valutarne la preparazione |
| La governance dell'IA esiste, ma le evidenze di sicurezza sono deboli | Aggiungere le linee guida della ISO 27090 | Collegare i rischi di sicurezza ai controlli e ai risultati dei test |
| State lanciando un servizio di IA e costruendo la governance | Usarle entrambe insieme | Coordinare le responsabilità di gestione e il lavoro di sicurezza in un unico programma |
Un problema urgente di sicurezza applicativa merita attenzione immediata. Un programma di governance più ampio può svilupparsi in parallelo al lavoro necessario per affrontare quell'esposizione.
Come usare insieme la ISO 27090 e la ISO 42001
Ad esempio, un'azienda che introduce un assistente di supporto basato sull'IA potrebbe coordinare il lavoro nel modo seguente. Si tratta di scelte di implementazione a titolo illustrativo.
| Attività | Come la ISO 42001 può strutturare il lavoro | Come la ISO 27090 può orientare il lavoro di sicurezza |
|---|---|---|
| Pianificare il servizio | Assegnare un responsabile e concordarne la finalità | Individuare gli asset sensibili e i percorsi di attacco |
| Valutare i fornitori | Registrare le responsabilità e i criteri di revisione | Esaminare l'esposizione attraverso modelli, dati e dipendenze |
| Approvare il rilascio | Registrare le decisioni sui rischi e chi le approva | Testare gli attacchi pertinenti e le misure di salvaguardia dell'applicazione |
| Gestire le modifiche | Rivedere i risultati e decidere i miglioramenti | Rivalutare la sicurezza quando cambiano modelli, dati o integrazioni |
Mantenete un unico record per ciascun sistema di IA, con collegamenti a responsabili, rischi, controlli, test e decisioni. Riutilizzate le evidenze quando sono pertinenti e registrate quali criteri di valutazione supportano.
Ad esempio, un test di sicurezza può mostrare se un'azione riservata è stata bloccata. La registrazione della revisione associata può mostrare chi ha valutato quel risultato e deciso se il sistema era pronto per il rilascio. Entrambe le registrazioni sono utili e rispondono a domande diverse.
Per capire come la ISO 42001 si collega al NIST AI RMF e all'AI Act dell'UE, si veda ISO 42001, NIST AI RMF e AI Act: collegare i ruoli.
Domande frequenti
La ISO 27090 sostituisce la ISO 42001?
No. Hanno scopi diversi: linee guida per la sicurezza dell'IA da un lato, requisiti per un sistema di gestione dell'IA dall'altro.
Le organizzazioni che usano IA di terze parti possono applicarle?
Sì. Entrambe le norme si rivolgono alle organizzazioni che usano l'IA.
La certificazione ISO 42001 dimostra che ogni applicazione di IA è sicura?
No. Valuta l'AIMS. La sicurezza delle applicazioni richiede comunque una valutazione.
Fonti: spiegazione della ISO 27090 a cura di ISO e spiegazione della ISO 42001 a cura di ISO.
Collegare la governance dell'IA alle evidenze di sicurezza
Partite dal risultato che vi serve: responsabilità più chiare sull'IA, una maggiore sicurezza delle applicazioni o una combinazione delle due. Assegnate il lavoro a un responsabile e decidete quali evidenze dimostreranno i progressi.
Secani collega requisiti, rischi, controlli, evidenze, responsabili e decisioni di revisione in un unico workspace. Parlate con Secani per organizzare il vostro lavoro di governance e sicurezza dell'IA.
Costruire flussi di lavoro di conformità verificabili
Secani collega gli ambiti, le prove, i compiti e gli agenti AI in uno spazio di lavoro condiviso.
Articoli correlati
Tutti gli articoliGovernance dell’IA
ISO 27090 spiegata per i team di sicurezza dell'IA
Una guida pratica al nuovo standard di cybersecurity per l'IA, agli attacchi che affronta e alle evidenze che i team di sicurezza possono utilizzare.
Governance dell’IA
ISO 42001, NIST AI RMF e AI Act: collegare i ruoli
Usare sistemi di gestione dell'IA e framework di rischio per organizzare la governance, valutando separatamente i requisiti giuridici dell'AI Act.
Governance dell’IA
AI Act dell’UE: classificare i casi d’uso e pianificare le evidenze
Un approccio aggiornato e basato sui ruoli alla preparazione all’AI Act, con il calendario aggiornato della Commissione, la valutazione dell’alto rischio e una governance con responsabilità chiare.