ISO 42001 vs ISO 27001: differenze e cosa si riusa

ISO/IEC 42001 e ISO/IEC 27001 non sono alternative e non si sovrappongono. Governano oggetti diversi: la 27001 la sicurezza delle informazioni, la 42001 il sistema di gestione dell'intelligenza artificiale. Condividono l'impianto dei sistemi di gestione ISO, quindi chi ha già la 27001 parte avvantaggiato. Ma non è coperto: il perimetro AI resta fuori dal suo certificato.

L'equivoco da smontare subito è uno solo: la 42001 non è una versione aggiornata della 27001, non è un suo allegato e non la assorbe. È una seconda norma, sullo stesso telaio, che risponde a una domanda che la 27001 non si pone. Qui vediamo quanto lavoro si riusa davvero, dove si scava da capo e con che ordine muoversi.

Cosa governa ciascuna delle due, e su quale perimetro

ISO 27001: la sicurezza delle informazioni

La ISO/IEC 27001 chiede di istituire e mantenere un sistema di gestione della sicurezza delle informazioni, l'ISMS. Accredia descrive il servizio come la protezione dei dati e delle informazioni dai rischi che ne minaccino integrità e riservatezza.

Il perimetro è l'informazione dell'organizzazione, in qualsiasi forma si trovi: sistemi, carta, persone, fornitori. Le misure concrete stanno nel catalogo dei controlli dell'Allegato A, che si selezionano in base al rischio e si giustificano nella Dichiarazione di Applicabilità.

ISO 42001: il sistema di gestione dell'AI

La ISO/IEC 42001 governa il modo in cui l'organizzazione sviluppa, fornisce o usa sistemi di AI: chi decide cosa, con quali dati, con quali fornitori, con quali verifiche lungo il ciclo di vita. Il perimetro non è il modello, è l'organizzazione intorno al modello, e riguarda anche chi l'AI la compra e la mette in un processo: il ruolo cambia quali requisiti sono applicabili, non se la norma si applica.

Detta in una riga: la 27001 si chiede cosa può succedere alle informazioni dell'azienda, la 42001 si chiede anche cosa può succedere alle persone per effetto delle decisioni prese con l'AI.

Cosa si riusa davvero: la struttura armonizzata

Qui arriva la buona notizia, verificabile su fonte italiana. Nella circolare tecnica DC N° 08/2026 Accredia scrive: "La harmonized structure della norma ISO/IEC 42001 consente alle organizzazioni di integrare i requisiti previsti con quelli di un altro sistema di gestione già adottato nell'ambito della propria struttura (es. ISO/IEC 9001, ISO/IEC 27001, ISO/IEC 27701)".

La struttura armonizzata è l'ossatura comune delle norme ISO sui sistemi di gestione: stessa numerazione delle clausole, stessi titoli, stesse definizioni di base. Chi ha un ISMS in piedi riusa quasi per intero:

• l'analisi del contesto e la mappa delle parti interessate, da estendere agli attori toccati dall'AI;
• impegno della direzione, politica e assegnazione dei ruoli, che cambiano contenuto ma non meccanismo;
• la gestione delle informazioni documentate, cioè come procedure, registri e prove vengono versionati e conservati;
• il programma di audit interni e le competenze di chi li conduce;
• il riesame di direzione, che diventa un solo riesame con due perimetri invece di due riunioni separate;
• non conformità e azioni correttive, con lo stesso registro e lo stesso ciclo di miglioramento.

Accredia annota anche che la 42001 è basata sulla struttura HS e sul ciclo PDCA, lo stesso impianto pianifica-fai-verifica-agisci della 27001. Se quel ciclo gira già, non va reinventato.

Cosa invece è proprio della 42001

Il riuso finisce dove comincia il merito. Queste parti non esistono nell'ISMS e vanno costruite:

• l'inventario dei sistemi di AI in uso o in sviluppo, con il ruolo dell'azienda su ciascuno e i fornitori coinvolti;
• l'analisi dei rischi specifici dell'AI, che tocca dati di addestramento, bias, qualità dei modelli, usi non previsti;
• la valutazione di impatto, il requisito che marca la distanza vera fra le due norme;
• i controlli del suo allegato, con una dichiarazione di applicabilità propria: la SoA della 27001 non copre il perimetro AI;
• le competenze di chi audita questo perimetro, un mestiere diverso da quello del lead auditor ISMS.

Due logiche di rischio diverse, ed è il punto che cambia il progetto

Se c'è una cosa da portare via da questo confronto è questa. Un ISMS ragiona sul rischio per l'organizzazione: cosa perdo se quel dato esce, se quel servizio si ferma, se quella credenziale finisce a qualcun altro. È una logica di danno subito, e funziona per il suo scopo.

La 42001 aggiunge una seconda direzione. Nella circolare DC N° 08/2026 Accredia la descrive così: gli effetti del sistema di AI sulle persone, sui gruppi e sulla società nel loro complesso devono essere oggetto di una valutazione di impatto, capace di mostrare come tutte le fasi del ciclo di vita garantiscano diritti e libertà delle persone coinvolte. Non è il danno che l'azienda subisce: è il danno che l'azienda può causare.

La conseguenza è organizzativa prima che documentale. Il registro dei rischi dell'ISMS non basta, perché le voci che servono qui hanno un soggetto diverso: non l'asset, ma la persona che riceve una decisione presa con l'aiuto di un modello. Nella stessa circolare Accredia richiama la ISO/IEC 23894 sulla gestione del rischio dei sistemi di AI e la ISO/IEC 42005 sulla valutazione di impatto: sono i documenti su cui l'auditor si aspetta un metodo dichiarato.

Certificazione: due schemi, due accreditamenti

Anche qui la simmetria è apparente, e conviene saperlo prima di chiedere i preventivi.

• ISO 27001. Il certificato lo rilascia un organismo terzo accreditato: Accredia indica come riferimenti le norme ISO/IEC 17021-1 e ISO/IEC 27006.
• ISO 42001. L'accreditamento ISO/IEC 17021-1 non basta: la circolare tecnica Accredia DC N° 08/2026 richiede anche la UNI CEI ISO/IEC 42006:2025, "quale norma di Livello 4 secondo il documento EA 1/06". È uno schema più giovane: il primo accreditamento italiano risale a giugno 2025.

Due conseguenze. Restano due certificati anche quando il sistema documentale è uno solo, quindi non esiste il caso in cui la 27001 vale anche per l'AI. E gli organismi accreditati sullo schema AI sono meno, quindi va verificato l'accreditamento specifico, non il nome sulla carta intestata.

Vale infine la regola comune a entrambi gli schemi: chi ti prepara non ti certifica. La ISO/IEC 17021-1 vieta all'organismo di certificazione di offrire o fornire consulenza sui sistemi di gestione (clausola 5.2.5), esattamente come nel percorso di certificazione ISO 27001.

Il rapporto con l'AI Act: cosa una norma volontaria può e non può fare

È la domanda che arriva sempre, e qui la confusione costa budget.

L'AI Act è il regolamento (UE) 2024/1689, modificato dal regolamento (UE) 2026/1744. Nel testo consolidato, l'articolo 40 stabilisce che i sistemi ad alto rischio e i modelli per finalità generali conformi a norme armonizzate i cui riferimenti sono stati pubblicati nella Gazzetta ufficiale dell'Unione europea si presumono conformi ai requisiti del regolamento, nella misura in cui quelle norme li coprono. La presunzione nasce da quella pubblicazione, non dalla reputazione di uno standard.

Su questo la Commissione europea è esplicita nella pagina di chiarimenti sulla normazione dell'AI Act: "although ISO/IEC 42001:2023 helps to set up an AI management system, its goals and definitions are not aligned with the quality management system that is required under the AI Act". In sintesi: la 42001 aiuta a costruire un sistema di gestione dell'AI, ma obiettivi e definizioni non coincidono con il sistema di gestione della qualità che l'articolo 17 richiede ai fornitori di sistemi ad alto rischio.

Quindi: né la ISO 27001 né la ISO 42001 rendono conformi all'AI Act. Quello che una norma volontaria fa è diverso e non va svalutato: ruoli assegnati, decisioni tracciate, rischi analizzati con un metodo dichiarato, prove raccolte in modo ripetibile. È la parte di lavoro che il regolamento dà per scontata quando arriva a chiedere il resto. Sulla certificazione accreditata, Accredia scriveva nella circolare tecnica DC N° 08/2026 del 19 febbraio 2026: "La ISO/IEC 42001:2023, anche se non armonizzata al Regolamento AI Act, è l'unico strumento certificabile al momento da parte di Organismi di Certificazione di Sistemi di Gestione accreditati a fronte della norma UNI CEI EN ISO/IEC 17021-1."

Sul calendario, le date dell'articolo 113 nella versione vigente: il regolamento si applica dal 2 agosto 2026, le regole sui sistemi ad alto rischio dal 2 dicembre 2027 per i casi d'uso dell'allegato III e dal 2 agosto 2028 per i sistemi incorporati in prodotti già regolati dall'allegato I. Il dettaglio degli obblighi per ruolo, fornitore o deployer, lo abbiamo sciolto nell'articolo su AI Act e aziende medio-piccole. È la stessa distinzione che vale fra NIS2 e ISO 27001: una certificazione non è una conformità normativa, è la prova che esiste un metodo.

Chi dovrebbe guardare la 42001, e in che ordine se ha già un ISMS

La 42001 è volontaria, quindi la domanda utile non è devo farla ma cosa mi sblocca. Nel mid-market italiano gli inneschi sono tre: una gara o un cliente che chiede come governi l'AI, un uso dell'AI che incide su persone (selezione del personale, valutazione del credito, supporto a decisioni cliniche o industriali), un ruolo di fornitore in una catena toccata dall'AI Act nel 2027 e nel 2028.

Se la 27001 c'è già, l'ordine dei passi che funziona è questo.

1. Inventario prima del perimetro. Quali sistemi di AI sono in uso, in quali processi, con quali dati e fornitori, e qual è il ruolo dell'azienda su ciascuno. Senza questo elenco ogni stima di effort è inventata.
2. Decidere se sistema unico o sistemi affiancati. Di solito conviene un solo corpo documentale con due perimetri dichiarati, invece di duplicare procedure.
3. Estendere il metodo di rischio ai rischi dell'AI e aggiungere la valutazione di impatto, che è il pezzo nuovo e quello che richiede più discussione interna.
4. Costruire la dichiarazione di applicabilità sui controlli dell'allegato della 42001, motivando inclusioni ed esclusioni sul profilo di rischio reale.
5. Allargare audit interno e riesame di direzione al nuovo perimetro, verificando che chi audita abbia competenza sul dominio AI e non solo sull'ISMS.
6. Scegliere l'organismo verificando l'accreditamento specifico sullo schema AI, e valutare con lui come far coincidere i cicli di audit.

Chi non ha ancora nessuna delle due parte dalla 27001, perché è quella che i clienti chiedono per prima e costruisce l'impianto su cui la 42001 si appoggia. L'eccezione è chi vende AI come prodotto: lì la domanda arriva sul perimetro AI, e l'ordine si inverte.

Come lavoriamo su questo in AmagisTech

AmagisTech affianca le aziende del mid-market italiano quando i due sistemi di gestione vanno costruiti insieme invece che come progetti scollegati: inventario degli usi dell'AI, metodo di rischio esteso, valutazione di impatto, dichiarazione di applicabilità, evidenze in continuo. Se vuoi capire da dove partire, parliamone.

In sintesi: la ISO 27001 e la ISO 42001 non competono, perché governano oggetti diversi. Condividono la struttura armonizzata, quindi contesto, leadership, documentazione, audit interni, riesame e miglioramento si riusano. Cambiano la logica del rischio, l'inventario da costruire, i controlli da selezionare e lo schema di accreditamento. Nessuna delle due dà la presunzione di conformità all'AI Act: danno governance dimostrabile, che è un'altra cosa e serve comunque.