ISO/IEC 23894 è la linea guida internazionale per la gestione dei rischi specifici dell’intelligenza artificiale: pubblicata nel febbraio 2023 dal comitato ISO/IEC JTC 1/SC 42, costruita sopra ISO 31000 e recepita in Europa come EN ISO/IEC 23894:2024. È il documento che quasi tutti i team aprono quando l’articolo 9 del regolamento sull’IA (AI Act), il sistema di gestione dei rischi per i sistemi di IA ad alto rischio, arriva sulla loro scrivania. Questa guida spiega che cosa contiene la norma, dove si allontana dall’articolo 9 e come usarla come metodo alla base di un fascicolo di evidenze, senza scambiarla per la legge.
In sintesi
- Linee guida, non requisiti: nessuna presunzione di conformità, nulla da certificare; la norma certificabile è ISO/IEC 42001 (valutazione del rischio al punto 6.1.2).
- Struttura speculare a ISO 31000 (principi, quadro, processo), aggiunte per l’IA e tre allegati: undici obiettivi, sette famiglie di fonti di rischio, una mappatura sul ciclo di vita.
- “Rischio” cambia significato tra norma e AI Act: effetto dell’incertezza sugli obiettivi contro probabilità per gravità del danno.
- L’articolo 9 esige ciò che la norma non ha (rischio residuo per pericolo, priorità delle misure, prove su metriche predefinite, minori di 18 anni) e ignora la consultazione delle parti interessate, che la norma prevede.
- La norma armonizzata per l’articolo 9 è prEN 18228, in inchiesta pubblica fino all’11 novembre 2026; allegato III applicabile dal 2 dicembre 2027.
Che cos’è ISO/IEC 23894?
ISO/IEC 23894:2023 porta il titolo “Information technology, Artificial intelligence, Guidance on risk management” ed è opera del sottocomitato ISO/IEC JTC 1/SC 42. La scheda di catalogo ISO la presenta come guida per le organizzazioni che sviluppano, producono, distribuiscono o usano prodotti, sistemi e servizi di IA, su come gestire i rischi propri dell’IA e integrare la gestione del rischio nelle attività di IA. Va letta insieme a ISO 31000:2018, di cui riprende la struttura; i riferimenti normativi sono ISO 31000:2018, ISO/IEC 22989:2022 e la Guida ISO 73:2009. È un documento a pagamento, venduto dagli enti nazionali.
Linee guida, non un certificato
Il testo formula raccomandazioni, non requisiti: il verbo è “dovrebbe”, mai “deve”. Una conseguenza che molti fornitori di software preferiscono non vedere: non esiste alcun certificato di conformità a ISO/IEC 23894. Gli enti di formazione vendono attestati di frequenza, tutt’altra cosa. La norma certificabile della famiglia è ISO/IEC 42001:2023, il sistema di gestione per l’IA, che richiede un processo di valutazione dei rischi dell’IA (punto 6.1.2), un trattamento dei rischi (6.1.3) e una valutazione d’impatto del sistema di IA (6.1.4); ne abbiamo spiegato il funzionamento a parte. ISO/IEC 42005:2025, pubblicata nel maggio 2025, è la linea guida per quella valutazione d’impatto. Un vendor che si dichiara “conforme a ISO/IEC 23894” afferma qualcosa che nessuno schema di certificazione può verificare.
Cosa contiene ISO/IEC 23894
La norma rispecchia i tre capitoli operativi di ISO 31000 e sotto ciascuno aggiunge il contesto dell’IA: il punto 4 sui principi, il punto 5 sul quadro di riferimento, il punto 6 sul processo di gestione del rischio. <table header-row=”true”> <tr> <td>Punto</td> <td>Che cosa copre</td> <td>Aggiunta specifica per l’IA</td> </tr> <tr> <td>4 Principi</td> <td>Gli otto principi di ISO 31000</td> <td>Riletti uno per uno per i sistemi di IA</td> </tr> <tr> <td>5 Quadro di riferimento</td> <td>5.2 leadership e impegno, 5.3 integrazione, 5.4 progettazione (5.4.1 contesto, 5.4.3 ruoli e responsabilità, 5.4.5 comunicazione e consultazione), 5.5 attuazione, 5.6 valutazione, 5.7 miglioramento</td> <td>Ruoli per ciascun sistema e integrazione nella governance esistente</td> </tr> <tr> <td>6.2 Comunicazione e consultazione</td> <td>Dialogo con le parti interessate interne ed esterne</td> <td>Il passo che né l’articolo 9 né il NIST AI RMF prevedono</td> </tr> <tr> <td>6.3 Ambito, contesto e criteri</td> <td>Perimetro, contesto, criteri di rischio (6.3.4)</td> <td>I criteri restano una scelta dell’organizzazione</td> </tr> <tr> <td>6.4 Valutazione del rischio</td> <td>Identificazione (beni, fonti di rischio, eventi, controlli, conseguenze), analisi (conseguenze e verosimiglianza), ponderazione</td> <td>Gli allegati A e B alimentano l’identificazione</td> </tr> <tr> <td>6.5 Trattamento del rischio</td> <td>Selezione delle opzioni (6.5.2), piani di trattamento (6.5.3)</td> <td>Le opzioni di ISO 31000, “accettare” e “aumentare” comprese</td> </tr> <tr> <td>6.6 Monitoraggio e riesame</td> <td>Verifica nel tempo dell’efficacia delle misure</td> <td>Aggancio al monitoraggio successivo all’immissione sul mercato</td> </tr> <tr> <td>6.7 Registrazione e rendicontazione</td> <td>Tracciabilità di decisioni e risultati</td> <td>La materia prima della documentazione tecnica</td> </tr> </table> Tre allegati informativi completano il testo. L’allegato A elenca, secondo la nostra lettura dell’indice, undici obiettivi comuni legati all’IA: responsabilità (accountability), competenza in materia di IA, disponibilità e qualità dei dati di addestramento e di prova, impatto ambientale, equità, manutenibilità, privacy, resilienza del sistema ai disturbi, sicurezza delle persone, sicurezza informatica, trasparenza e spiegabilità. L’allegato B raggruppa sette famiglie di fonti di rischio: complessità dell’ambiente, mancanza di trasparenza e spiegabilità, livello di automazione, apprendimento automatico, hardware, ciclo di vita del sistema, maturità della tecnologia. L’allegato C mappa, a titolo di esempio, il processo sul ciclo di vita del sistema di IA. Gli stessi obiettivi e le stesse fonti ricompaiono nell’allegato C di ISO/IEC 42001: per questo le due norme si leggono quasi sempre insieme.
ISO/IEC 23894 e l’articolo 9 dell’AI Act: stesse parole, regole diverse
L’articolo 9 del regolamento (UE) 2024/1689 è stato scritto come norma di sicurezza dei prodotti, nella tradizione della Guida ISO/IEC 51, non come gestione del rischio d’impresa; ISO/IEC 23894 è nata dentro la tradizione di ISO 31000. Le parole sono le stesse, rischio, trattamento, monitoraggio, i significati no. Chi ha copiato la norma in una “procedura articolo 9” per i propri sistemi di IA ad alto rischio se ne accorge alla prima verifica. <table header-row=”true”> <tr> <td>Punto</td> <td>Nella norma</td> <td>Nell’articolo 9</td> <td>Conseguenza</td> </tr> <tr> <td>Definizione di rischio</td> <td>Effetto dell’incertezza sugli obiettivi, positivo o negativo (ISO 31000, ISO/IEC 22989)</td> <td>Combinazione della probabilità di un danno e della sua gravità (articolo 3, punto 2)</td> <td>Un’opportunità è un rischio per la norma, non per la legge</td> </tr> <tr> <td>Chi è protetto</td> <td>Gli obiettivi dell’organizzazione, con attenzione agli impatti esterni</td> <td>Salute, sicurezza e diritti fondamentali delle persone</td> <td>Il registro della norma contiene rischi che l’auditor non cerca</td> </tr> <tr> <td>Opzioni di trattamento</td> <td>Evitare, assumere o aumentare un rischio per un’opportunità, rimuovere la fonte, cambiare verosimiglianza o conseguenze, condividere, accettare</td> <td>Ordine di priorità: eliminare o ridurre tramite progettazione, poi mitigare e controllare, poi informare e formare (articolo 9, paragrafo 5)</td> <td>”Accettare” senza aver tentato la via progettuale non è ammesso</td> </tr> <tr> <td>Accettabilità</td> <td>Criteri di rischio fissati dall’organizzazione (punto 6.3.4)</td> <td>Rischio residuo di ogni pericolo e rischio residuo complessivo giudicati accettabili (articolo 9, paragrafo 5)</td> <td>Un giudizio per pericolo, non una soglia aziendale</td> </tr> <tr> <td>Prove</td> <td>Non sono una fase del processo</td> <td>Obbligatorie, su metriche e soglie probabilistiche predefinite, prima dell’immissione sul mercato (articolo 9, paragrafi da 6 a 8)</td> <td>La norma non dice quando il trattamento è dimostrato</td> </tr> <tr> <td>Consultazione</td> <td>Punti 6.2 e 5.4.5</td> <td>Nessuna fase di questo tipo; l’OCSE ha segnalato la lacuna nel 2023</td> <td>Qui la norma chiede più della legge</td> </tr> </table> La confusione costa. Un registro costruito con il vocabolario della norma conterrà opportunità, rischi organizzativi e rischi “accettati” che un auditor dell’AI Act non vuole vedere, senza il giudizio sul rischio residuo per pericolo che invece cerca. La propensione al rischio dell’organizzazione è un dato legittimo per la norma, non un criterio di accettabilità per l’articolo 9: il bene protetto non appartiene all’organizzazione. Nella scheda sul rischio IA spieghiamo come tenere distinte le due nozioni. Ci sono poi i limiti di ambito dell’articolo 9, senza equivalente nella norma: il paragrafo 3 copre solo i rischi che possono essere ragionevolmente attenuati o eliminati tramite sviluppo, progettazione o informazioni tecniche adeguate; il paragrafo 9 impone di valutare l’impatto sui minori di 18 anni e, se del caso, su altri gruppi vulnerabili; il paragrafo 10 permette di integrare le procedure di gestione del rischio richieste da altre norme dell’Unione. La norma non può quindi dirvi quando avete finito: non conosce il perimetro della legge. Jonas Schuett, nella sua analisi dell’articolo 9 del 2022, lo dice chiaramente: norme internazionali come ISO/IEC 23894 non daranno presunzione di conformità, ma possono servire come orientamento di massima.
Dove si colloca ISO/IEC 23894 nella pila delle norme
Alla base c’è ISO 31000:2018, con principi, quadro di riferimento e processo. ISO/IEC 22989 fornisce il vocabolario, definizione di rischio compresa. ISO/IEC 42001 è il sistema di gestione certificabile che consuma la valutazione del rischio (punto 6.1.2) e ripete obiettivi e fonti di rischio nel proprio allegato C. ISO/IEC 42005:2025 copre la valutazione d’impatto. ISO/IEC 23894 sta in mezzo: processo da ISO 31000, parole da ISO/IEC 22989, metodo di valutazione per ISO/IEC 42001, come mostra la pila di norme che l’AI Act richiede davvero. Il NIST AI RMF 1.0 è collegato alla norma da un crosswalk: una prima versione del gennaio 2023, costruita sulla bozza finale e oggi superata, e una versione rivista del 14 agosto 2025, curata da INCITS e ospitata sulla pagina del crosswalk del NIST. Una nota del crosswalk segnala che il punto 6.2 sulla comunicazione e consultazione non ha corrispondente nel quadro NIST, lo stesso vuoto dell’articolo 9. L’OCSE, nel documento Common guideposts del novembre 2023, osserva che i principali quadri condividono quattro passi (definire, valutare, trattare, governare), che ISO/IEC 23894 integra ISO 31000 con indicazioni per l’IA ma opera dentro lo stesso quadro di alto livello, e che tratta gli impatti sulle parti esterne in modo più ampio di ISO 31000. Lo stesso rapporto avverte che accettare o aumentare un rischio per un’opportunità può confliggere con la riduzione dei rischi per le persone. Il Garante europeo della protezione dei dati ha pubblicato l’11 novembre 2025 una guida alla gestione dei rischi dei sistemi di IA per le istituzioni dell’Unione come titolari del trattamento: usa il vocabolario di ISO 31000:2018 (fonte di rischio, evento, conseguenza, controllo), associa tredici rischi alle fasi del ciclo di vita e si astiene esplicitamente dal classificare verosimiglianza e gravità. Emessa nel ruolo di autorità per la protezione dei dati, non di sorveglianza del mercato, dice come i regolatori leggono questa famiglia di norme: come metodo, non come metro di conformità. L’Europa ha recepito il testo come EN ISO/IEC 23894:2024: il catalogo estone EVS lo dà in vigore dal 1° marzo 2024, l’edizione tedesca è DIN EN ISO/IEC 23894:2023-11, quella francese NF EN ISO/IEC 23894. È una norma nazionale in ogni Stato membro, ma un recepimento europeo non è una norma armonizzata: non è citata nella Gazzetta ufficiale e non attiva l’articolo 40 dell’AI Act. In Italia il membro di CEN è UNI, che pubblica l’edizione nazionale. La legge 132/2025 ha designato AgID come autorità di notifica e ACN come autorità di sorveglianza del mercato per l’AI Act; il Ministero delle Imprese e del Made in Italy ha pubblicato nel 2025 una rassegna intitolata “Gli standard ISO a supporto dell’AI Act”, con ISO/IEC 42001 in primo piano.
prEN 18228: la norma armonizzata che l’articolo 9 userà davvero
La norma che porterà la presunzione di conformità per l’articolo 9 non è ISO/IEC 23894 ma prEN 18228, “AI Risk Management”, in preparazione presso CEN-CENELEC JTC 21 (gruppo di lavoro 2) nell’ambito della richiesta di normazione della Commissione. CEN-CENELEC, nella newsletter del 27 maggio 2026, la presenta come destinata a sostenere l’articolo 9. L’ambito, secondo la scheda StandICT: terminologia, principi e un processo di gestione dei rischi per salute, sicurezza e diritti fondamentali lungo il ciclo di vita; criteri oggettivi di accettabilità del rischio a carico dei fornitori, senza livelli accettabili prefissati; esclusi i rischi che l’organizzazione corre in proprio, l’esatto contrario del punto di partenza di ISO 31000. Il calendario: prima inchiesta pubblica fino a fine luglio 2026 (consultazione olandese NEN dal 18 maggio al 30 giugno 2026), poi l’edizione rivista prEN 18228:2026, pubblicata l’11 settembre 2026 con una seconda inchiesta pubblica fino all’11 novembre 2026 (scheda DIN). Finché resta un progetto non dà presunzione di conformità; secondo i tracker pubblici, a luglio 2026 nessuna norma armonizzata per l’AI Act era stata citata nella Gazzetta ufficiale. La norma gemella sulla qualità, prEN 18286 per l’articolo 17, è al voto formale dopo un primo voto senza approvazione. Le date le fissa il Digital Omnibus sull’IA, regolamento (UE) 2026/1744 in vigore dal 27 luglio 2026: allegato III dal 2 dicembre 2027, allegato I dal 2 agosto 2028, date fisse; il testo dell’articolo 9 non è stato toccato. La valutazione della conformità si farà quindi contro un articolo 9 invariato e, probabilmente, contro prEN 18228. Tre conseguenze pratiche:
- Costruire il metodo su ISO/IEC 23894 adesso: prEN 18228 eredita la stessa forma di processo, il lavoro non andrà perso.
- Scrivere criteri di accettabilità e giudizio sul rischio residuo con le parole dell’articolo 9, paragrafo 5, e di prEN 18228, non con quelle del punto 6.3.4.
- Datare la procedura e pianificare una revisione per quando prEN 18228 sarà pubblicata e citata.
Come usare ISO/IEC 23894 come metodo dietro un fascicolo per l’articolo 9: cinque passi
- Adottare la norma come metodo e l’articolo 9 come criterio di accettazione. Dichiararlo nella politica sull’IA, con ISO/IEC 23894 per il processo e l’articolo 9 per i criteri. Un registro dei rischi per ciascun sistema di IA, non uno per l’organizzazione, a partire dall’inventario dei sistemi di IA.
- Tenere due colonne per ogni rischio. La prima con l'”effetto sugli obiettivi” della norma, la seconda con il “danno alle persone” del regolamento, in probabilità e gravità. Solo la seconda decide l’accettabilità; la prima serve alla direzione, non all’auditor.
- Usare l’allegato B come lista di controllo e aggiungere ciò che non elenca. L’uso improprio ragionevolmente prevedibile, gli impatti sui minori di 18 anni e sui gruppi vulnerabili, e i rischi che gli altri requisiti degli articoli da 9 a 15 lasciano aperti, sorveglianza umana compresa.
- Registrare, per ogni pericolo, la misura scelta nell’ordine dell’articolo 9, paragrafo 5, e il giudizio sul rischio residuo. Prima la progettazione, poi il controllo, poi l’informazione; quindi la prova che la dimostra, con metrica e soglia fissate prima della prova.
- Collegare il punto 6.6 al piano di monitoraggio dell’articolo 72 e il punto 6.7 alla documentazione tecnica dell’allegato IV. Il monitoraggio e riesame diventa il piano di monitoraggio successivo all’immissione sul mercato, con deriva del modello e segnalazione degli incidenti come innesco; registrazione e rendicontazione alimentano la documentazione del sistema di IA. Aggiungere un verbale di consultazione (punto 6.2) con le persone interessate: l’articolo 9 non lo richiede, ma gli auditor lo chiedono sempre più spesso; il comitato di governance dell’IA lo approva.
Una piattaforma di governance dell’IA, AI Sigil fra le altre, tiene nello stesso posto registro, due colonne di rischio, misure ed evidenze.
Domande frequenti
Che cos’è ISO/IEC 23894, in parole semplici? È la linea guida internazionale che spiega come applicare la gestione del rischio di ISO 31000 ai sistemi di intelligenza artificiale. Pubblicata nel febbraio 2023 dal sottocomitato ISO/IEC JTC 1/SC 42 e recepita in Europa come EN ISO/IEC 23894:2024, descrive principi, quadro di riferimento e processo, e aggiunge tre allegati: undici obiettivi tipici dell’IA, sette famiglie di fonti di rischio, una mappatura sul ciclo di vita. Non impone nulla: offre un metodo che ogni organizzazione adatta ai propri sistemi. ISO/IEC 23894 è certificabile? No. Il testo contiene raccomandazioni, non requisiti verificabili, quindi non esiste uno schema di certificazione né un certificato di conformità a ISO/IEC 23894. Gli attestati in circolazione sono certificati personali di frequenza a corsi, non prove di conformità di un’organizzazione. Se serve un certificato, la norma giusta è ISO/IEC 42001, il sistema di gestione per l’IA, che integra la valutazione dei rischi tra i requisiti e può essere verificato da un organismo accreditato. ISO/IEC 23894 rende conformi all’articolo 9 dell’AI Act? No, per due ragioni. La prima è formale: solo una norma armonizzata citata nella Gazzetta ufficiale dà la presunzione di conformità dell’articolo 40, e ISO/IEC 23894 non lo è né lo diventerà; il candidato è prEN 18228. La seconda è di sostanza: la norma definisce il rischio come effetto dell’incertezza sugli obiettivi dell’organizzazione, ammette di accettare o aumentare un rischio e non prevede prove su metriche predefinite né un giudizio di accettabilità per ciascun pericolo. L’articolo 9 richiede tutte e tre le cose. Qual è la differenza tra ISO/IEC 23894 e ISO/IEC 42001? ISO/IEC 42001 è un sistema di gestione: fissa requisiti su politica, ruoli, obiettivi, controlli e audit interni, ed è certificabile. ISO/IEC 23894 è una linea guida di processo: dice come identificare, analizzare, ponderare e trattare i rischi di un sistema di IA, senza requisiti certificabili. Le due si incastrano: il punto 6.1.2 di ISO/IEC 42001 richiede un processo di valutazione dei rischi e la linea guida è il modo più diretto di costruirlo. Che cos’è prEN 18228 e da quando si applica? prEN 18228, “AI Risk Management”, è il progetto di norma europea che CEN-CENELEC JTC 21 redige su richiesta della Commissione per sostenere l’articolo 9 dell’AI Act: terminologia, principi e processo per i rischi alla salute, alla sicurezza e ai diritti fondamentali, non per i rischi dell’organizzazione. L’edizione rivista prEN 18228:2026, pubblicata l’11 settembre 2026, è in inchiesta pubblica fino all’11 novembre 2026. Come progetto non dà presunzione di conformità; la darà dopo l’adozione e la citazione nella Gazzetta ufficiale. Come si rapporta ISO/IEC 23894 al NIST AI RMF? Sono due quadri volontari con la stessa forma di fondo. Il crosswalk ufficiale, rivisto il 14 agosto 2025 da INCITS e ospitato dal NIST, associa le quattro funzioni del NIST AI RMF ai punti della norma: GOVERN al quadro di riferimento, MAP a contesto e identificazione, MEASURE a ponderazione e monitoraggio, MANAGE ad attuazione e trattamento. Segnala una differenza: il punto 6.2 di ISO/IEC 23894 sulla comunicazione e consultazione non ha corrispondente nel quadro NIST.
Conclusione
ISO/IEC 23894 è un buon metodo e una cattiva legge. Come metodo offre a un team che parte da zero un processo collaudato ereditato da ISO 31000, obiettivi e fonti di rischio pensati per l’IA, un aggancio diretto a ISO/IEC 42001 e al NIST AI RMF. Come legge non funziona: definisce il rischio in un altro modo, ammette trattamenti che l’articolo 9 vieta e tace su prove, rischio residuo per pericolo e minori. La linea di condotta: adottare la norma per il processo, scrivere i criteri di accettabilità con le parole del regolamento, tenere i due vocabolari del rischio in colonne separate, datare la procedura e seguire prEN 18228 fino alla citazione nella Gazzetta ufficiale. Chi fa così avrà un fascicolo articolo 9 difendibile; chi copia la norma avrà un bel registro e una brutta verifica.