Assurance AI: come dimostrare che un sistema di IA funziona

In sintesi

• L’assurance AI è il processo con cui si misura, si valuta e si comunica ciò che un sistema di intelligenza artificiale fa realmente. Produce prove, non opinioni.
• Assurance, audit, valutazione della conformità, certificazione e accreditamento indicano cinque cose distinte, e confonderle porta ad acquistare il servizio sbagliato.
• Secondo il regolamento europeo, la maggior parte dei fornitori di sistemi ad alto rischio si autovaluta. Il dispositivo interno di assurance AI non prepara quindi la valutazione della conformità: ne costituisce la sostanza.
• La norma ISO/IEC 42001 certifica il sistema di gestione, mentre ISO/IEC 42006:2025 disciplina gli organismi autorizzati a rilasciare quel certificato. Questo secondo livello manca da quasi tutte le trattazioni.
• Un certificato porta una data, un modello porta una versione. Per questo l’assurance deve essere continua anziché annuale.

Che cosa significa davvero assurance AI

La definizione di riferimento proviene dal governo britannico, che descrive l’assurance AI come il processo di misurazione, valutazione e comunicazione dell’affidabilità di un sistema di intelligenza artificiale. Ciascuno dei tre verbi introduce un’esigenza distinta, e tralasciarne uno è il punto in cui la maggior parte dei programmi si arena.

Misurare comporta la raccolta di dati sul comportamento effettivo del sistema: accuratezza sulle diverse sottopopolazioni, modalità di guasto, tenuta sotto carico, reazione a input mai incontrati in addestramento. Valutare significa confrontare quelle misure con un riferimento che anche altri riconoscano, si tratti di una norma, di una soglia regolamentare o di una propensione al rischio formalizzata. Comunicare vuol dire portare il risultato davanti a chi deve trarne conseguenze, in una forma che consenta anche di contestarlo.

La distinzione più importante è quella tra assurance e affidabilità. L’affidabilità è una proprietà che si afferma di un sistema. L’assurance è il dispositivo che rende quell’affermazione verificabile. Un’organizzazione può disporre di un modello costruito con cura e non avere alcuna assurance, semplicemente perché non è in grado di dimostrarne la qualità a un terzo. Si dà anche il caso opposto, più insidioso: una documentazione abbondante che nessuna misura sostiene.

È per questa ragione che l’assurance AI si colloca dentro la governance dell’IA e non accanto a essa. La governance stabilisce che cosa l’organizzazione intende fare e non fare con l’intelligenza artificiale, chi ne risponde e quali soglie valgono. L’assurance è il meccanismo probatorio che indica se quelle decisioni reggono effettivamente in produzione.

Assurance, audit, certificazione e valutazione della conformità non sono sinonimi

Questi termini circolano come se fossero intercambiabili. Non lo sono, e le differenze determinano chi si incarica, che cosa si ottiene e se un’autorità lo accetterà.

Termine	Che cosa è	Chi lo esegue	Che cosa produce	Obbligatorio?
Assurance	Il processo complessivo di misurazione, valutazione e comunicazione dell’affidabilità	Team interni, clienti, fornitori indipendenti	Prove e un’affermazione sostenuta	No, ma è il modo in cui si soddisfa ciò che lo è
Audit	Un singolo meccanismo interno all’assurance: un esame strutturato rispetto a criteri definiti	Internal audit oppure una società esterna	Una relazione con i rilievi	Talvolta, secondo le regole di settore
Valutazione della conformità	La procedura regolamentare europea che dimostra la rispondenza ai requisiti di legge prima dell’immissione sul mercato	Il fornitore stesso oppure un organismo notificato	Dichiarazione di conformità e marcatura CE	Sì, per i sistemi ad alto rischio
Certificazione	L’attestazione da parte di un terzo che un sistema di gestione rispetta una norma	Un organismo di certificazione accreditato	Un certificato con una scadenza	No, volontaria
Accreditamento	La verifica che l’organismo di certificazione sia competente	L’ente nazionale di accreditamento, in Italia ACCREDIA	L’accreditamento del certificatore	Riguarda il certificatore, non voi

Ne discende una conseguenza concreta: un certificato ISO/IEC 42001 non estingue alcun obbligo derivante dal regolamento europeo, e una valutazione della conformità superata non rende matura una governance. I due dispositivi rispondono a domande diverse davanti a interlocutori diversi. L’audit dell’IA è uno degli strumenti con cui si genera assurance AI, e la qualità delle prove dipende in larga misura da quanto il sistema sia stato reso verificabile fin dalla progettazione. Recuperare quella caratteristica dopo la messa in esercizio costa molto e lascia comunque delle lacune.

I sette meccanismi di assurance e che cosa dimostra ciascuno

La guida britannica elenca una cassetta degli attrezzi di meccanismi di assurance AI. Il modo più utile di leggerla non è come un catalogo di attività, bensì come un elenco di prove, perché è la prova a sopravvivere alla riunione.

1. L’analisi dei rischi individua che cosa può andare storto e con quale gravità. Prova prodotta: un registro dei rischi con responsabili, valutazioni e decisioni di trattamento.
2. La valutazione d’impatto guarda verso l’esterno, alle persone, ai diritti e alla parità di trattamento. Prova prodotta: una valutazione che nomina i gruppi interessati e le misure di mitigazione.
3. L’audit sui bias esamina input e output alla ricerca di disparità ingiustificate. Prova prodotta: metriche per sottopopolazione, con esplicitata la definizione di equità adottata. Il tema è approfondito nell’articolo sui bias dell’IA.
4. L’audit di conformità verifica il rispetto di politiche interne, normative e impegni contrattuali. Prova prodotta: un registro dei rilievi controllo per controllo.
5. La valutazione della conformità dimostra che un prodotto soddisfa i requisiti di legge prima dell’ingresso sul mercato. Prova prodotta: documentazione tecnica e dichiarazione di conformità.
6. La verifica formale ricorre a metodi matematici per provare che un sistema soddisfa una specifica. Prova prodotta: una dimostrazione, le cui ipotesi vanno messe per iscritto. Rara al di fuori degli ambiti critici e mai più solida delle proprie ipotesi.
7. Il test delle prestazioni confronta il sistema con dati di riferimento e soglie. Prova prodotta: risultati datati e ricondotti a una precisa versione del modello. È il terreno del benchmarking dei modelli.

Sei meccanismi su sette generano un documento il cui valore decade nel tempo. Questa decadenza costituisce il vero problema operativo dell’assurance AI, affrontato bene in un programma maturo di gestione del rischio IA e trascurato quasi ovunque.

Chi svolge l’assurance AI: prima, seconda e terza parte

L’assurance AI si classifica in base a chi la esegue, e il grado di indipendenza cambia radicalmente il valore dell’affermazione ottenuta.

L’assurance di prima parte è un’autovalutazione: il gruppo che ha costruito il sistema lo valuta da sé. Rapida, economica, profondamente informata e strutturalmente in conflitto di interessi. L’assurance di seconda parte proviene da un soggetto con un interesse commerciale nell’esito, tipicamente un cliente che esamina il proprio fornitore in fase di acquisto. L’assurance di terza parte è condotta da un operatore indipendente che non ha alcun interesse nel risultato, ed è l’unica che pesi davanti a un’autorità o a un acquirente diffidente.

Perché il mercato della terza parte è ancora immaturo

La tabella di marcia britannica sull’assurance di terza parte, pubblicata nel settembre 2025, ha quantificato il fenomeno. Il mercato britannico contava circa 524 imprese per un valore di circa 1,01 miliardi di sterline nel 2024, con una proiezione a 18,8 miliardi entro il 2035 qualora gli ostacoli venissero rimossi.

Vale la pena nominare quegli ostacoli, perché spiegano quanto sia difficile oggi acquistare assurance AI. Il documento rileva una carenza di riferimenti di qualità, dato che le certificazioni esistenti in materia di IA risultano di rado accreditate, una scarsità di competenze che intreccia apprendimento automatico, diritto, etica e normazione, un accesso limitato alle informazioni, poiché i fornitori non condividono né dati di addestramento né dettagli interni dei modelli, e infine un numero insufficiente di sedi di ricerca sulle tecniche di assurance continua.

La risposta si articola in tre modelli successivi: dapprima la certificazione dei singoli professionisti, poi la certificazione dei processi, infine l’accreditamento delle società. Un fondo per l’innovazione da 11 milioni di sterline e un consorzio presieduto dalla BCS accompagnano il percorso. Per chi acquista il messaggio è semplice: per qualche anno ancora occorrerà verificare in prima persona le credenziali del fornitore prescelto, poiché il mercato non ha ancora stabilito che cosa significhi essere competenti in questo campo.

Come l’assurance AI alimenta la catena probatoria del regolamento europeo

È qui che la maggior parte delle guide si ferma, ed è esattamente ciò che determina l’esposizione giuridica.

L’articolo 43 del regolamento europeo prevede due percorsi di valutazione della conformità per i sistemi ad alto rischio. Il primo si fonda sul controllo interno di cui all’allegato VI e non coinvolge alcun organismo notificato. Il secondo, disciplinato dall’allegato VII, prevede l’intervento di un organismo notificato che esamina sia il sistema di gestione della qualità sia la documentazione tecnica.

Quale percorso si applichi non è una scelta libera per la maggioranza dei fornitori. Per i sistemi ad alto rischio di cui al punto 1 dell’allegato III, relativo alla biometria, il fornitore può optare per l’uno o per l’altro. Per i punti da 2 a 8 dell’allegato III, che comprendono infrastrutture critiche, istruzione, occupazione, servizi essenziali, attività di contrasto, migrazione e amministrazione della giustizia, si applica il controllo interno. Una deroga circoscritta attribuisce il ruolo di organismo notificato all’autorità di vigilanza del mercato quando i sistemi sono messi in servizio da autorità di contrasto, di immigrazione o di asilo, oppure da istituzioni dell’Unione.

La conseguenza merita di essere enunciata senza giri di parole. Per la grande maggioranza dei sistemi ad alto rischio nessuno verrà dall’esterno a ispezionare il sistema prima della sua immissione sul mercato. È il fornitore stesso a firmare la dichiarazione. Ne deriva che il dispositivo interno di assurance AI non prepara la valutazione della conformità: la costituisce, e soltanto la qualità delle prove interne separa una dichiarazione veritiera da una mendace.

Quelle prove confluiscono poi in una catena di obblighi successivi: la documentazione tecnica dell’allegato IV, la dichiarazione di conformità UE, la marcatura CE, la registrazione nella banca dati europea e il monitoraggio successivo all’immissione sul mercato. Ogni anello consuma artefatti che il processo di assurance AI avrebbe dovuto generare. Impostare per tempo i requisiti di documentazione rende praticabile tutto il resto, e il più ampio panorama regolamentare aggiunge obblighi paralleli in altre giurisdizioni. In Italia, gli indirizzi dell’AgID e le pronunce del Garante per la protezione dei dati personali si intrecciano utilmente con queste aspettative.

Che cosa concede davvero il rinvio del Digital Omnibus

Il calendario è cambiato. Il Digital Omnibus è entrato in vigore il 27 luglio 2026 e, secondo la Commissione europea, le regole per i sistemi autonomi ad alto rischio dell’allegato III si applicano ora a decorrere dal 2 dicembre 2027, mentre quelle relative all’IA incorporata in prodotti regolamentati ai sensi dell’allegato I decorrono dal 2 agosto 2028.

L’applicabilità generale e gli obblighi di trasparenza non sono stati rinviati e hanno preso effetto il 2 agosto 2026. La lettura corretta non è dunque quella di un annullamento. I fornitori hanno ottenuto tempo aggiuntivo proprio perché norme e strumenti non erano pronti. Le organizzazioni che tratteranno questo intervallo come tempo di costruzione disporranno di una catena probatoria funzionante alla scadenza. Quelle che vi leggeranno una tregua si troveranno a ricostruire tre anni di documentazione a posteriori, ossia esattamente il fallimento che il rinvio intendeva evitare.

Le norme rendono l’assurance AI accettabile per un’autorità

La guida britannica lo afferma senza mezzi termini: «senza norme abbiamo consigli, non assurance». Una misura significa qualcosa soltanto se il metro è condiviso.

Contano tre livelli. La norma ISO/IEC 42001 specifica il sistema di gestione dell’intelligenza artificiale, ossia l’apparato organizzativo che governa l’IA lungo il suo ciclo di vita. Al di sotto, la norma ISO/IEC 42006:2025, pubblicata il 7 luglio 2025 da ISO/IEC JTC 1/SC 42, fissa i requisiti per gli organismi che verificano e certificano un sistema di gestione dell’IA, basandosi su ISO/IEC 17021-1. È il livello che quasi tutte le trattazioni omettono, e risponde alla domanda che un acquirente dovrebbe porre sempre: chi ha certificato il certificatore, e secondo quali criteri di competenza?

Al di sopra si colloca il meccanismo delle norme armonizzate. Ai sensi dell’articolo 40 del regolamento, la conformità a una norma armonizzata pubblicata nella Gazzetta ufficiale conferisce una presunzione di conformità al requisito di legge corrispondente. Gli organismi europei di normazione stanno elaborando progetti nell’ambito del mandato M/593; non risultano ancora pubblicati come norme armonizzate e, fino ad allora, spetta al fornitore argomentare l’adeguatezza dei propri metodi. Per il vocabolario della misurazione, il NIST AI Risk Management Framework resta la lingua comune più diffusa, in particolare la sua funzione Measure. Un confronto tra i riferimenti aiuta a scegliere su quale appoggiarsi.

Certificato puntuale o assurance AI continua

Un certificato porta una data. Un modello porta una versione, e la versione cambia.

Risiede qui la tensione strutturale che la compliance tradizionale non aveva mai dovuto affrontare. Un controllo contabile testato a marzo si comporta allo stesso modo a settembre. Un modello riaddestrato su tre mesi di dati nuovi non necessariamente. Slittamento delle distribuzioni, deriva concettuale, un modello di base aggiornato sotto la vostra applicazione, un prompt modificato, una nuova sorgente dati: ciascuno di questi eventi può invalidare un risultato di test senza che sia stata presentata alcuna richiesta di modifica.

La risposta del regolamento si chiama monitoraggio successivo all’immissione sul mercato, obbligo permanente di seguire il comportamento del sistema sul campo e di agire su quanto emerge. La nozione di modifica sostanziale opera nella stessa direzione, definendo la soglia oltre la quale si impone una nuova valutazione. Entrambe convergono: l’assurance AI è una funzione continua, e un audit annuale è un’istantanea già superata al momento della firma.

In concreto occorre strumentare il sistema affinché le prove si rigenerino secondo una cadenza e non in funzione dei progetti. Metriche di prestazione a intervalli regolari, rilevamento della deriva con soglie definite e un percorso stabilito tra l’anomalia rilevata e la decisione documentata. La segnalazione degli incidenti chiude il cerchio, trasformando i malfunzionamenti in eventi tracciati anziché in aneddoti di corridoio.

Costruire un modello operativo di assurance AI

L’unità elementare dell’assurance AI è la prova, e un modello operativo funzionante si riduce in sostanza a mantenere cinque campi associati a ciascuna di esse: l’affermazione che sostiene, il controllo che soddisfa, la prova stessa, il suo responsabile e la data di produzione. Se anche uno solo manca, l’artefatto non reggerà all’esame.

La ripartizione delle responsabilità segue abbastanza bene il modello delle tre linee. La prima linea, ossia i gruppi che costruiscono e conducono i sistemi, produce le prove. La seconda, rischio e conformità, definisce quali prove siano richieste e verifica che esistano. La terza, l’internal audit, accerta in modo indipendente se le prime due stiano facendo il proprio lavoro. L’Institute of Internal Auditors attribuisce esplicitamente all’internal audit il ruolo di soggetto che fornisce assurance sull’IA, validando i controlli interni impiegati per governarne i rischi.

Un corredo documentale minimo comprende il registro dei rischi, i risultati di test e valutazione ricondotti alle versioni del modello, la documentazione dei dati con provenienza e limiti noti, le tracce della sorveglianza umana che attestino che i revisori abbiano effettivamente revisionato, un registro delle modifiche e uno degli incidenti. Il modello di autovalutazione della sicurezza pubblicato dall’Alan Turing Institute, all’interno della sua collana con licenza aperta dedicata all’etica e alla governance dell’IA, rappresenta un punto di partenza gratuito e credibile. Organizza la sicurezza attorno a prestazioni, affidabilità, sicurezza e robustezza, in stretta corrispondenza con i requisiti di accuratezza, robustezza e cibersicurezza dell’articolo 15.

La verifica del modello è semplice. Scegliete un’affermazione che la vostra organizzazione formula su un sistema di IA e provate a ricondurla a un artefatto datato dotato di un responsabile. Nella maggior parte dei casi la catena si interrompe già al secondo passaggio, ed è esattamente questa lacuna che un programma di conformità dell’IA ha il compito di colmare.

Domande frequenti

Che cosa si intende per assurance AI?

L’assurance AI è il processo con cui si misura, si valuta e si comunica l’affidabilità di un sistema di intelligenza artificiale. Misurare raccoglie dati sul comportamento reale, valutare li confronta con un riferimento riconosciuto, comunicare porta l’esito davanti a chi deve decidere. Il prodotto finale è una prova che consente a qualcuno diverso dal gruppo costruttore di verificare un’affermazione.

Assurance AI e audit dell’IA sono la stessa cosa?

No. L’audit è uno dei meccanismi dell’assurance AI: un esame strutturato rispetto a criteri definiti, che sfocia in una relazione con rilievi. L’assurance AI è il processo che li comprende tutti, inclusi analisi dei rischi e degli impatti, test prestazionali, monitoraggio e restituzione dei risultati. Un audit isolato resta un’istantanea e non equivale a una capacità permanente.

Il regolamento europeo impone un’assurance di terza parte?

Nella maggior parte dei casi no. L’articolo 43 indirizza i sistemi ad alto rischio dei punti da 2 a 8 dell’allegato III verso il controllo interno dell’allegato VI, senza alcun organismo notificato. Soltanto i sistemi del punto 1 dell’allegato III, relativi alla biometria, aprono una scelta, con una deroga circoscritta che affida quel ruolo all’autorità di vigilanza del mercato. L’autovalutazione è quindi la regola, il che innalza anziché abbassare il livello richiesto alle prove interne.

Quali norme sostengono l’assurance AI?

La norma ISO/IEC 42001 definisce il sistema di gestione dell’IA. La norma ISO/IEC 42006:2025 stabilisce i requisiti per gli organismi che verificano e certificano rispetto alla prima. Il NIST AI RMF fornisce un vocabolario di misurazione ampiamente condiviso. Ai sensi dell’articolo 40 del regolamento, le norme armonizzate pubblicate nella Gazzetta ufficiale conferiranno una presunzione di conformità, ma i progetti europei interessati non risultano ancora pubblicati a tale titolo.

Chi può svolgere attività di assurance AI?

Possono farlo i team interni, i clienti e i fornitori indipendenti, e l’etichetta conta. L’assurance di prima parte è un’autovalutazione informata ma in conflitto di interessi. Quella di seconda parte proviene da un soggetto commercialmente interessato, spesso un cliente acquirente. Quella di terza parte è indipendente e pesa maggiormente all’esterno. Poiché il mercato non si è ancora assestato, conviene verificare direttamente credenziali e metodologia anziché affidarsi a un logo.

Con quale frequenza va ripetuta l’assurance AI?

Con la stessa frequenza con cui cambia il sistema, il che per la maggior parte dei sistemi di apprendimento automatico significa in modo continuo anziché una volta l’anno. Conviene legare la rigenerazione delle prove ad alcuni eventi scatenanti: un riaddestramento, il cambio del modello di base sottostante, una nuova sorgente dati, il superamento di una soglia di deriva o un incidente segnalato. Una revisione soltanto calendariale vi lascerebbe a difendere un certificato che descrive una versione non più in produzione.

Conclusione

L’assurance AI è meno un progetto che un’abitudine: produrre prove con continuità affinché qualsiasi affermazione su un sistema possa essere sostenuta il giorno in cui qualcuno la mette in discussione. Le organizzazioni che attraverseranno serenamente i prossimi anni non sono quelle con le politiche più corpose. Sono quelle capaci di ricondurre un’affermazione a un artefatto datato, di indicarne il responsabile e di dire quando è stato riconvalidato l’ultima volta.

Le scadenze europee rinviate, dicembre 2027 per i sistemi autonomi ad alto rischio e agosto 2028 per i prodotti che incorporano IA, sono tempo di costruzione. Gli obblighi non si sono ridotti e, poiché la via dell’autovalutazione è la regola, la qualità delle vostre prove interne resta l’unico presidio reale. Cominciate da un sistema ad alto rischio e risalite una singola affermazione da un capo all’altro. Le lacune che emergeranno diranno di che cosa il vostro programma ha davvero bisogno.