NIST AI RMF, EU AI Act e ISO/IEC 42001 rispondono a domande diverse sulla governance. NIST fornisce risultati volontari di gestione del rischio. EU AI Act crea obblighi giuridici in base al ruolo, alla classificazione del sistema e alla data di applicazione. ISO/IEC 42001 specifica un sistema di gestione dell’AI a livello organizzativo. La maggior parte delle organizzazioni che operano con l’AI in più mercati ha bisogno di una combinazione documentata. I sistemi agentici aggiungono un livello di esecuzione che ciascun framework lascia da definire agli implementatori: identità, autorità delegata, confini degli strumenti, passaggi di approvazione, intervento ed evidenze a livello di evento.
Confronto tra i framework a colpo d’occhio
Inizia da autorità e ambito. Questi due elementi determinano se un framework è obbligatorio, utile per offrire garanzie, o entrambe le cose.
| Dimensione | NIST AI RMF 1.0 | EU AI Act | ISO/IEC 42001:2023 |
|---|---|---|---|
| Autorità | Framework volontario del governo statunitense | Regolamento UE vincolante quando ricorrono il suo ambito di applicazione e le relative date di applicabilità | Standard internazionale volontario per i sistemi di gestione |
| Unità principale | Rischio dell’AI in un’organizzazione e nel ciclo di vita del sistema | Attori regolamentati, sistemi di AI e modelli di AI per finalità generali | L’organizzazione e l’ambito dichiarato del suo sistema di gestione dell’AI |
| Metodo fondamentale | Govern, Map, Measure, Manage | Classificazione, obblighi, conformità, supervisione, monitoraggio e applicazione della normativa | Ciclo di gestione Plan, Do, Check, Act |
| Esito della verifica | Profilo personalizzato, processo di gestione del rischio ed evidenze di supporto | Conformità documentata agli obblighi giuridici applicabili | Sistema di gestione che può essere valutato entro un ambito dichiarato |
| Stato dei controlli specifici per agenti | Standard per agenti, lavoro sull’identità e livelli di sicurezza sono in fase di sviluppo | Il comportamento degli agenti è valutato attraverso i ruoli esistenti, le regole di rischio e gli obblighi del sistema | I controlli sugli agenti devono essere progettati all’interno del sistema di gestione dell’organizzazione |
NIST AI RMF: un modello volontario per operare la gestione del rischio
Il NIST AI Risk Management Framework 1.0 è volontario, tutela i diritti, non è specifico per settore ed è agnostico rispetto ai casi d’uso. Le sue quattro funzioni organizzano il lavoro sul rischio dell’AI: Govern stabilisce policy e responsabilità, Map definisce il contesto, Measure valuta il rischio e Manage assegna priorità e tratta il rischio.
NIST sta rivedendo AI RMF 1.0. Il framework attuale resta un linguaggio comune solido per responsabili del rischio, team di ingegneria e funzioni di verifica. Un’organizzazione sceglie i risultati, i profili, le metriche e le evidenze adatti al proprio contesto.
- Usalo per stabilire un vocabolario comune del rischio dell’AI tra le unità aziendali
- Crea profili per sistemi, settori o contesti di implementazione specifici
- Collega le decisioni sul rischio a risultati misurabili e al monitoraggio
- Documenta come la governance si applica lungo l’intero ciclo di vita dell’AI
EU AI Act: gli obblighi seguono il ruolo e la classificazione
EU AI Act è legge. I suoi obblighi dipendono da elementi quali il fatto che un’organizzazione sia un fornitore, deployer, importatore, distributore o fornitore di un modello di AI per finalità generali; dalla classificazione del sistema; e dalle disposizioni applicabili alla data pertinente.
I fornitori di sistemi ad alto rischio hanno obblighi a livello di sistema che riguardano gestione del rischio, governance dei dati, documentazione tecnica, registrazione degli eventi, trasparenza, supervisione umana, accuratezza, robustezza, cybersicurezza, gestione della qualità, monitoraggio post-commercializzazione e gestione degli incidenti. Un framework riutilizzabile può supportare questo lavoro. La copertura giuridica deve comunque essere collegata al ruolo effettivo dell’organizzazione e ai suoi sistemi.
- Classifica ogni sistema e registra la base giuridica del risultato
- Mappa gli obblighi su responsabili, controlli ed evidenze
- Mantieni registri tecnici e operativi a livello di sistema
- Rivaluta ruolo, classificazione e impatto sulla conformità quando i sistemi cambiano
ISO/IEC 42001: un sistema di gestione dell’AI a livello organizzativo
ISO/IEC 42001:2023 specifica i requisiti per stabilire, implementare, mantenere e migliorare continuamente un sistema di gestione dell’AI. Si applica alle organizzazioni che sviluppano, forniscono o utilizzano sistemi di AI in tutti i settori e per tutti i tipi di sistema.
Lo standard offre a leadership, pianificazione, supporto, operatività, valutazione delle prestazioni e miglioramento una struttura di gestione ripetibile. ISO definisce la certificazione come un’attestazione scritta indipendente. Una certificazione di terza parte può valutare il sistema di gestione entro l’ambito dichiarato nel certificato. Ambito, sedi, esclusioni, organismo di certificazione, accreditamento e validità determinano cosa copre effettivamente il certificato.
- Usalo per inserire la governance dell’AI in un ciclo di gestione ripetibile
- Integra policy, obiettivi, processi di rischio, valutazioni d’impatto e riesame
- Definisci un ambito chiaro per l’audit interno o la certificazione di terza parte
- Mappa leggi applicabili e standard tecnici nel sistema di gestione
EN 18286:2026 aggiunge un livello QMS per l’AI Act
Il progetto europeo per un sistema di gestione della qualità ha raggiunto una nuova fase nel luglio 2026. DIN riferisce che EN 18286 ha superato il Formal Vote. BSI riferisce la pubblicazione nazionale come BS EN 18286:2026 il 24 luglio. La pagina della Commissione aggiornata il 27 luglio descrive ancora il documento CEN/CENELEC come in attesa della pubblicazione finale. Queste fonti pubbliche lasciano incerta la tappa della pubblicazione europea. Verifica la registrazione attuale nel catalogo degli standard CEN/CENELEC prima di fare affidamento su questo stato. EN 18286 è il lavoro dedicato al sistema di gestione della qualità per finalità regolamentari dell’AI Act e supporta i fornitori che operano sull’Articolo 17.
La pubblicazione europea e la citazione nella Gazzetta ufficiale dell’Unione europea sono tappe separate. Il processo di standardizzazione della Commissione colloca la valutazione della Commissione tra la pubblicazione CEN/CENELEC e la citazione in GUUE. La revisione delle fonti ufficiali del 28 luglio 2026 non ha trovato alcun riferimento nella GUUE a EN 18286. L’Articolo 40(1) riguarda la presunzione per i requisiti del Capo III, Sezione 2, negli Articoli 8–15, mentre l’obbligo QMS dell’Articolo 17 si trova nella Sezione 3. Qualsiasi citazione futura deve essere letta per il suo preciso effetto giuridico prima di far valere una presunzione di conformità rispetto all’Articolo 17.
Le organizzazioni che dispongono di ISO/IEC 42001 possono riutilizzare la struttura del sistema di gestione, le routine di governance, l’audit interno e il miglioramento continuo. EN 18286 aggiunge un modello QMS orientato ai fornitori e collegato ai requisiti regolamentari dell’AI Act. Il confronto dettagliato è in EN 18286 vs ISO 9001 e ISO/IEC 42001.
Il divario nei controlli sugli agenti
Un agente AI può selezionare strumenti, chiamare sistemi esterni, modificare registri, coordinarsi con altri agenti e continuare un’attività per molti passaggi. La governance deve raggiungere ogni azione con effetti rilevanti. NIST AI RMF, EU AI Act e ISO/IEC 42001 forniscono criteri di governance utili, lasciando all’organizzazione che implementa il sistema la definizione dell’architettura dettagliata dei controlli in fase di esecuzione.
NIST ha lanciato la sua AI Agent Standards Initiative il 17 febbraio 2026. Il programma sta sviluppando linee guida volontarie, attività sui protocolli, ricerca sull’identità e valutazioni della sicurezza. NIST elenca inoltre casi d’uso per agenti singoli e multi-agente nel progetto SP 800-53 Control Overlays for Securing AI Systems. Si tratta di filoni di lavoro attivi. L’iniziativa pubblicata da NIST indica che seguiranno ulteriori ricerche, linee guida e deliverable.
| Domanda in fase di esecuzione | Controllo da definire | Evidenza da conservare |
|---|---|---|
| Chi o cosa sta agendo? | Identità del carico di lavoro, soggetto sponsor e sessione autenticata | Contesto di agente, utente, tenant, ambiente e credenziali |
| Quale autorità si applica? | Delega vincolata allo scopo, minimo privilegio e ambito di strumenti/risorse | Concessioni effettive, versione della policy e risultato dell’autorizzazione |
| Quali azioni richiedono un riesame? | Risultati della policy, condizioni di approvazione, ruolo del revisore e scadenza | Richiesta, decisione, autorità del revisore, tempistiche e motivazione |
| Una persona può intervenire? | Percorsi di pausa, revoca, override, fallback e terminazione sicura | Evento d’intervento, stato risultante e azione successiva |
| L’azione può essere ricostruita? | Sequenza di esecuzione ordinata con controlli d’integrità e conservazione | Input, chiamata allo strumento, risultato, decisione della policy, approvazione ed effetto esterno |
Uno stack di controllo combinato e pratico
Un programma combinato può preservare l’autorità di ciascuna fonte. Il registro normativo identifica gli obblighi vincolanti dell’EU AI Act. ISO/IEC 42001 fornisce il ciclo di gestione organizzativo. NIST AI RMF fornisce risultati e profili di rischio. EN 18286 fornisce la struttura QMS del fornitore per l’Articolo 17. I controlli degli agenti in fase di esecuzione traducono i criteri combinati in decisioni applicabili e in evidenze riesaminabili.
- Livello 1: registra giurisdizioni, ruoli degli attori, classificazioni dei sistemi e date di applicazione
- Livello 2: gestisci un sistema di gestione dell’AI con ambito, policy, obiettivi, audit e miglioramento
- Livello 3: mantieni profili di rischio a livello di sistema, misurazioni, decisioni di trattamento e monitoraggio
- Livello 4: mappa i requisiti a livello di Articolo e di EN 18286 su controlli ed evidenze
- Livello 5: applica in fase di esecuzione identità, autorità, policy, approvazione, intervento e tracciabilità dell’esecuzione degli agenti
Percorsi di scelta per organizzazione
La sequenza corretta dipende da mercato, ruolo ed esigenze di verifica. Ogni percorso dovrebbe concludersi con un’unica libreria di controlli riconciliata, che registri per ciascun controllo l’autorità della fonte, il responsabile, il metodo di test e la posizione dell’evidenza.
| Situazione | Punto di partenza | Aggiunte successive |
|---|---|---|
| Organizzazione statunitense che cerca un programma ampio per il rischio dell’AI | Profilo NIST AI RMF | ISO/IEC 42001 per un sistema di gestione; legge applicabile per mercato |
| Fornitore di AI ad alto rischio nell’UE | Mappa del ruolo e della classificazione secondo EU AI Act | Mappatura QMS di EN 18286, risultati di rischio NIST e struttura ISO dove utile |
| Organizzazione che persegue la certificazione ISO/IEC 42001 | Ambito AIMS dichiarato e valutazione delle lacune | Registro normativo, mappature dei controlli a livello di sistema e controlli degli agenti in fase di esecuzione |
| Azienda che implementa agenti capaci di agire | Inventario degli agenti e modello di autorità | Profilo di rischio, obblighi giuridici applicabili, responsabilità del sistema di gestione ed evidenze degli eventi |
Fonti primarie e data dello stato
Questo confronto è stato verificato il 28 luglio 2026. Le fasi degli standard, le valutazioni della Commissione e le bozze NIST possono cambiare. Verifica la fonte aggiornata prima di fare affidamento su uno stato in una decisione di approvvigionamento, di audit o legale.
- NIST AI Risk Management Framework 1.0
- NIST AI RMF Core e stato della revisione
- NIST AI Agent Standards Initiative
- Sovrapposizioni di controllo NIST SP 800-53 per la protezione dei sistemi di IA
- Regulation (EU) 2024/1689
- Commissione europea: standardizzazione dell’AI Act
- Catalogo degli standard CEN/CENELEC
- ISO/IEC 42001:2023
- ISO: certificazione e valutazione della conformità
- BSI: pubblicazione nazionale di BS EN 18286:2026
- DIN: risultato del Formal Vote su EN 18286
Domande frequenti
NIST AI RMF è obbligatorio?
NIST AI RMF 1.0 è un framework volontario. Contratti, regole di approvvigionamento, policy interne o aspettative del settore possono rendere determinati risultati parte dei criteri dell’organizzazione.
La certificazione ISO/IEC 42001 dimostra la conformità all’EU AI Act?
Un certificato valuta un sistema di gestione dell’AI entro un ambito dichiarato. La conformità all’EU AI Act dipende dal ruolo dell’organizzazione, dalla classificazione del sistema, dagli obblighi applicabili, dall’implementazione e dalle evidenze.
EN 18286 è obbligatoria per i fornitori di AI ad alto rischio?
L’uso degli standard europei è volontario. L’Articolo 17 crea l’obbligo di un sistema di gestione della qualità per i fornitori ad alto rischio, ed EN 18286 fornisce un framework di implementazione dedicato a tale obbligo.
EN 18286 offre attualmente una presunzione di conformità?
La revisione delle fonti ufficiali del 28 luglio 2026 non ha trovato alcun riferimento nella GUUE a EN 18286. L’Articolo 40(1) riguarda la presunzione per i requisiti del Capo III, Sezione 2, negli Articoli 8–15, mentre l’Articolo 17 si trova nella Sezione 3. Verifica qualsiasi riferimento pubblicato in futuro per il suo preciso effetto giuridico.
Quale framework dovrebbe implementare per primo un’organizzazione?
Inizia dagli obblighi giuridici vincolanti e dall’inventario effettivo dell’AI dell’organizzazione. Aggiungi i livelli del sistema di gestione e del framework di rischio che rendono tali obblighi ripetibili, testabili e riesaminabili.
Questi framework specificano completamente i controlli sugli agenti AI?
Forniscono criteri di governance e contesto di rischio. Le organizzazioni hanno comunque bisogno di una progettazione operativa per identità degli agenti, autorità delegata, limiti degli strumenti, approvazioni, intervento ed evidenze a livello di evento.
Punti chiave
Usa ogni fonte per lo scopo per cui è stata scritta. EU AI Act stabilisce gli obblighi giuridici applicabili. ISO/IEC 42001 organizza il sistema di gestione. NIST AI RMF struttura le decisioni sul rischio. EN 18286 struttura il QMS del fornitore previsto dall’Articolo 17. I programmi per agenti hanno bisogno di un ulteriore livello: controlli in fase di esecuzione ed evidenze per ogni azione con effetti rilevanti.