Una guida operativa, non una nuova norma

Il 21 luglio 2026 UNI ha aggiunto alla piattaforma Obiettivo 9001 la versione italiana di “Linee guida sugli audit di un sistema di gestione per la qualità che utilizza sistemi di intelligenza artificiale (IA)”. L’originale, pubblicato il 29 maggio 2026 con il titolo “Auditing a Quality Management System that uses Artificial Intelligence (AI) systems”, è un documento di dieci pagine dell’ISO 9001 Auditing Practices Group (APG).

La distinzione sulla natura del testo viene prima di ogni valutazione pratica. L’APG è un gruppo informale di esperti provenienti dall’ISO/TC 176 e dall’International Accreditation Forum (IAF). I suoi paper offrono orientamenti agli auditor, ma non stabiliscono requisiti, non costituiscono criteri di certificazione e, come precisa la pagina ufficiale, non sono stati formalmente approvati da ISO, ISO/TC 176 o IAF.

Il riferimento certificabile resta la UNI EN ISO 9001:2015+A1:2024, versione italiana della ISO 9001:2015 integrata dall’Emendamento 1:2024 sul cambiamento climatico. Per la conduzione degli audit, il riferimento generale è la UNI CEI EN ISO 19011:2026. La guida APG si colloca un gradino diverso: traduce quei principi in domande ed evidenze utili quando uno o più processi del SGQ dipendono dall’IA.

Perché il tema riguarda già i sistemi qualità

Il documento non parte dall’ipotesi di un’azienda tecnologica. Elenca impieghi che possono essere presenti anche in organizzazioni manifatturiere o di servizi: valutazione dei fornitori, chatbot per i clienti, manutenzione predittiva, controllo qualità con computer vision, ottimizzazione dei processi, gestione delle scorte, formazione e analisi dei rischi.

L’uso dell’IA non modifica l’obiettivo dell’audit ISO 9001, ma cambia il percorso necessario per ottenere evidenze affidabili. Se un algoritmo assegna una priorità ai reclami, suggerisce l’accettazione di un prodotto o prevede un guasto, non basta verificare che l’output sia registrato. Occorre capire quali dati lo alimentano, chi ha approvato l’impiego, come sono gestite le eccezioni e quale controllo umano impedisce che un risultato errato diventi automaticamente una decisione.

È simile al controllo di un processo che genera fatture: verificare soltanto il totale stampato non dice se l’anagrafica era corretta, se l’aliquota applicata era quella giusta o chi poteva sbloccare un documento anomalo. Con l’IA, la catena delle evidenze comprende anche qualità dei dati, versione del modello, configurazione, monitoraggio delle prestazioni e variazioni nel tempo.

Le evidenze che l’auditor dovrebbe cercare

La guida percorre i punti da 4 a 10 della ISO 9001 e li rilegge alla luce dell’IA. Sul contesto chiede di identificare requisiti dei clienti, obblighi applicabili e aspettative delle parti interessate connesse ai sistemi utilizzati. Sulla leadership porta l’attenzione su ruoli, autorità e responsabilità: deve essere chiaro chi decide, chi sorveglia il sistema e chi interviene quando l’output non è accettabile.

Nella pianificazione entrano rischi come bias, risultati non deterministici, perdita di riservatezza, indisponibilità del servizio e model drift, cioè il deterioramento delle prestazioni quando dati e condizioni operative cambiano. Il paper richiama inoltre piani di emergenza e supervisione umana. Per il supporto e le attività operative diventano pertinenti competenze, infrastruttura, qualità e provenienza dei dati, controllo delle informazioni documentate, gestione delle versioni e valutazione dei fornitori esterni.

Per tradurre il testo in un programma di audit, un’organizzazione può partire da cinque verifiche:

  • censire i processi del SGQ nei quali l’IA produce, seleziona o influenza un risultato;
  • associare a ogni impiego un responsabile, i dati utilizzati e il livello di supervisione umana;
  • definire criteri di validazione iniziale e monitoraggio periodico, comprese soglie ed eccezioni;
  • verificare contratti, livelli di servizio e possibilità di ottenere evidenze dai fornitori;
  • collegare incidenti, reclami, non conformità e azioni correttive alla versione del sistema effettivamente utilizzata.

Il documento segnala anche un rischio spesso trascurato: caricare norme ISO o altro materiale protetto da copyright in strumenti di IA può violare licenze e diritti di proprietà intellettuale. La disponibilità tecnica di un allegato non equivale all’autorizzazione a usarlo come dato di addestramento o come contenuto di un prompt.

Cosa non cambia e che cosa va aggiornato

Non serve creare un “audit IA” separato ogni volta che compare un algoritmo. La questione è l’effetto dell’IA sulla capacità del processo di produrre risultati conformi e raggiungere gli obiettivi del SGQ. Campionamento, interviste, osservazione e riesame delle registrazioni restano strumenti validi; devono però seguire anche la dipendenza tra dati, modello, output e decisione.

La competenza dell’auditor merita un aggiornamento documentato. L’APG indica conoscenze di base sui concetti di IA, alfabetizzazione digitale e dei dati, consapevolezza dei rischi, impatto sui processi e profili etici e giuridici. Non chiede che ogni auditor diventi un data scientist. Chiede, più concretamente, che sappia riconoscere quando l’evidenza è insufficiente e quando occorre coinvolgere una competenza tecnica aggiuntiva.

A mio avviso, questo è il pregio maggiore della guida: sposta la domanda da “l’organizzazione usa l’IA?” a “come l’IA modifica controllo, evidenza e responsabilità?”. Il limite è altrettanto netto: un paper APG non può colmare da solo lacune di governance o diventare una checklist universale. L’audit deve restare proporzionato all’uso, al rischio e al contesto dell’organizzazione.

Il rapporto con ISO/IEC 42001 e con l’AI Act

La UNI CEI ISO/IEC 42001:2024, corretta dall’EC 1-2025, specifica i requisiti per un sistema di gestione dell’intelligenza artificiale. Può offrire una struttura complementare per politiche, ruoli, valutazione degli impatti e gestione del ciclo di vita, ma la sua certificazione non è un presupposto per applicare la guida APG. Allo stesso modo, il paper non trasforma un audit ISO 9001 in un audit ISO/IEC 42001.

Va tenuto distinto anche il piano legislativo. Il Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024 stabilisce regole armonizzate sull’intelligenza artificiale. L’auditor ISO 9001 deve considerare i requisiti cogenti applicabili al processo e al prodotto o servizio esaminato, ma la guida APG non è una checklist di conformità all’AI Act. Classificazione del sistema, ruolo dell’organizzazione e calendario di applicazione delle singole disposizioni vanno verificati sulle fonti ufficiali per il caso concreto.

Dove scaricare la linea guida

L’originale inglese è disponibile gratuitamente in PDF sul sito ufficiale del comitato ISO: scarica “Auditing a Quality Management System that uses Artificial Intelligence (AI) systems”.

La traduzione italiana indicata nella copertina è elencata tra i contenuti caricati il 21 luglio 2026 in UNI Obiettivo 9001. L’accesso ai documenti della piattaforma è riservato agli utenti iscritti: la pagina pubblica presenta il servizio e rimanda alle modalità di adesione, ma non offre un download libero della versione italiana.

Per quality manager e responsabili degli audit interni, il passo utile non è aggiungere un’etichetta “IA” alla checklist. Conviene mappare gli usi già presenti nel perimetro del SGQ, riesaminare competenze e criteri di campionamento, quindi verificare se le registrazioni consentono di ricostruire dati, versione, output, decisione e intervento umano. Se questa sequenza non è dimostrabile, il problema non è futuristico: è già un limite alla tracciabilità del processo.