Il procurement manager lo chiede a bruciapelo, davanti al comitato di valutazione: "Siete certificati ISO 42001?" Il PMO leader ha preparato lo schedule, il budget, i rischi tecnici del progetto. Non ha preparato questa domanda. Il silenzio dura tre secondi di troppo, poi arriva una risposta vaga su "processi interni di governance" che non convince nessuno in sala.
Quella sera il PMO leader apre il browser e scopre che ISO 42001 esiste da prima di quanto pensasse: lo standard è stato pubblicato a dicembre 2023, non nel 2026 (theiso42001.com, 2026). In Europa viene recepito come EN ISO/IEC 42001:2026, con adozione nazionale prevista entro settembre 2026. Non è una novità improvvisa lanciata per l'AI Act: è un sistema di gestione che alcune aziende usano già da due anni.
Molti pensano che la certificazione ISO 42001 dimostri la conformità all'AI Act europeo. In realtà dimostra solo che esiste una governance AI documentata e verificata da un ente terzo, perché la presunzione legale di conformità richiede uno standard armonizzato CEN-CENELEC — come il prEN 18286 — ancora in fase di sviluppo.
Cosa certifica davvero ISO 42001 (e cosa no)
ISO 42001 stabilisce come un'organizzazione deve gestire i sistemi di intelligenza artificiale: ruoli, controlli, valutazione dei rischi, documentazione delle decisioni. Un auditor accreditato verifica che questi processi esistano e funzionino, non che il fornitore rispetti ogni obbligo specifico dell'AI Act. La distinzione tecnica è netta: presunzione di conformità legale ed evidenza di buona gestione sono due cose diverse, ottenute con strumenti diversi (Konfirmity, 2026-07-07).
Il caso AWS lo rende concreto: nel novembre 2024 è diventato il primo grande cloud provider a ottenere una certificazione ISO 42001 accreditata (Openlayer, 2026-06-17). È un segnale che grandi player prendono sul serio lo standard, non la prova che sia già un requisito universale nei tender enterprise. Confondere i due piani — adozione da parte di alcuni leader di mercato e obbligo diffuso — è esattamente l'errore che genera panico ingiustificato in sala riunioni.
Quanto costa certificarsi, e perché il conto non è mai fisso
I costi di certificazione iniziale variano molto in base allo scope e alla dimensione dell'organizzazione: le stime vanno da circa 7.000 a oltre 50.000 dollari, con tempi che si estendono da 6 a 12 mesi (Openlayer, 2026-06-17). Un PMO con due sistemi AI interni e un solo sito produttivo paga cifre vicine al minimo; un gruppo con più business unit e fornitori AI esterni si trova facilmente sopra i 30.000 dollari.
La scarsità di lead auditor qualificati rispetto alla domanda spinge questi costi sopra i benchmark comparabili di ISO 27001, con tempi di attesa più lunghi per prenotare un audit (Openlayer, 2026-06-17). Per un PMO che deve rispondere a una scadenza di gara, questo significa che la certificazione formale raramente è pronta in tempo per il primo tender che la richiede: la decisione va presa con mesi di anticipo, non come reazione a una domanda in sala riunioni.
Simulazione dichiarata — Scenario simulato
Un PMO R&D gestisce cinque progetti assistiti da AI e riceve una RFP che richiede 'governance AI dimostrata', senza citare esplicitamente ISO 42001. Prima di avviare una certificazione, il team mappa i log decisionali e i registri rischio già esistenti sui controlli Annex A dello standard, per misurare quanto grande sia davvero il gap. Il risultato: tre controlli su dieci risultano già coperti dalla documentazione operativa corrente, il che riduce sensibilmente il perimetro (e il costo) di un eventuale percorso di certificazione formale.
Trade-off
- Beneficio: Un'evidenza verificata da terzi che il PMO può riutilizzare su più gare, riducendo il tempo speso a rispondere manualmente a ogni questionario di due diligence AI.
- Costo: Budget stimato tra 7.000 e oltre 50.000 dollari e un percorso di 6-12 mesi, aggravato dai tempi di attesa per un lead auditor disponibile (Openlayer, 2026-06-17).
- Rischio: La certificazione non riduce di un solo obbligo l'esposizione legale del PMO sotto l'AI Act: attesta governance, non conformità, e può invecchiare se il modello di gestione AI cambia dopo l'audit.
- Prerequisito: Servono già artefatti concreti — log decisionali, registri rischio, tracciabilità delle scelte progettuali — perché senza questa base il costo e i tempi si allungano ulteriormente. Un cockpit come ControlRoom, che tiene uno storico deterministico di decisioni, rischi e dati EVM, aiuta a organizzare queste evidenze prima dell'audit, ma non sostituisce né anticipa la certificazione stessa.
- Limite: Anche a certificazione ottenuta, il PMO non guadagna presunzione di conformità all'AI Act: quel riconoscimento legale arriverà solo con uno standard armonizzato CEN-CENELEC ancora in sviluppo.
Un framework in sei domande prima di firmare il contratto con l'ente di certificazione
- Il tender richiede letteralmente 'ISO 42001' o una formula generica come 'governance AI dimostrata'? Nel secondo caso, altre evidenze potrebbero bastare.
- Quanti controlli Annex A sono già coperti da log decisionali, registri rischio e documentazione di progetto esistente, prima di aggiungere nuovi processi?
- Il budget disponibile assorbe una cifra tra 7.000 e oltre 50.000 dollari senza tagliare risorse ad altre priorità del programma (Openlayer, 2026-06-17)?
- È stato verificato se i concorrenti diretti nel proprio settore possiedono già la certificazione, o se resta ancora un elemento distintivo?
- C'è margine temporale reale per unaudit completo (6-12 mesi) prima della scadenza della gara che ha innescato la domanda, o si rischia di rincorrere una certificazione che arriverà troppo tardi?
- La certificazione, una volta ottenuta, verrà riutilizzata su più gare o serve solo a rispondere a una singola richiesta isolata?
Il punto di vista
Certificarsi presto sembra la scelta prudente, il gesto che rassicura procurement e management. Ma non riduce di un solo obbligo l'esposizione legale del PMO sotto l'AI Act: produce evidenza di governance, non conformità. Un PMO dovrebbe trattare ISO 42001 come una decisione di investimento con trade-off espliciti — costo, tempo, riutilizzo — non come una casella da spuntare per chiudere una domanda scomoda in sala riunioni. Questo articolo si concentra sulla decisione di certificazione in sé, sui suoi costi e sul suo perimetro di evidenza; il disegno di ruoli e controlli organizzativi per la governance AI, le meccaniche di supervisione umana nei processi assistiti da AI, e le scadenze normative europee specifiche restano ambiti trattati altrove nel cluster, non oggetto di questa analisi.
Domande frequenti
ISO 42001 è obbligatoria per partecipare a gare enterprise o pubbliche?
No. È una certificazione volontaria. Alcuni bandi la citano come requisito preferenziale, altri chiedono solo 'governance AI dimostrata' senza nominare lo standard, il che apre spazio a evidenze alternative.
Ottenere la certificazione riduce gli obblighi legali del PMO sotto l'AI Act?
No. Attesta che esiste un sistema di gestione AI verificato da terzi, non la conformità legale. La presunzione di conformità richiederà uno standard armonizzato CEN-CENELEC, come il prEN 18286, ancora in sviluppo (Konfirmity, 2026-07-07).
Quanto tempo serve realisticamente per prepararsi a un audit ISO 42001?
Tra 6 e 12 mesi, in base allo scope e alla disponibilità di un lead auditor accreditato, spesso scarso rispetto alla domanda (Openlayer, 2026-06-17). Chi riceve la richiesta durante una gara raramente riesce a certificarsi in tempo per quella stessa scadenza.
Alla fine, la domanda del procurement non aveva una risposta giusta o sbagliata da dare sul momento. Aveva bisogno di un processo di decisione che quel PMO non aveva ancora costruito. Molti pensano che la certificazione ISO 42001 dimostri la conformità all'AI Act: in realtà dimostra solo che esiste una governance AI documentata e verificata da un ente terzo, perché la presunzione legale di conformità resta legata a uno standard armonizzato ancora in sviluppo. Chi affronta la domanda con un framework di costi, tempi e gap di evidenza risponde da una posizione di scelta deliberata, non di panico da tender.
Per chi vuole partire dalla mappatura delle evidenze già disponibili — log decisionali, registri rischio, tracciabilità delle decisioni di progetto — prima di valutare l'investimento in certificazione, il passo successivo utile è un confronto strutturato con un framework di governance AI applicato ai processi di progetto esistenti.