Libreria di prompt per la gestione AI secondo ISO 42001

Create an inventory of our AI systems per ISO 42001:

AI systems we develop/use/provide:
[List AI applications: chatbots, recommendation engines, predictive models, computer vision, NLP, automated decision systems, etc.]

For each AI system, document:
- System name and description
- AI techniques used (machine learning, deep learning, NLP, computer vision, generative AI)
- Purpose and use case
- Development status (research, development, production, retired)
- Internal vs. external use (internal tooling, customer-facing, embedded in products)
- Risk classification (high-risk per EU AI Act, limited risk, minimal risk)
- Data sources and training data
- Stakeholders affected (employees, customers, public)
- Lifecycle stage (design, development, deployment, monitoring, retirement)

Create an AI system register template suitable for ongoing management and regulatory compliance.

Develop a comprehensive AI Management System policy per ISO 42001:

Organization: [name, industry, AI maturity]
AI use cases: [describe key AI applications]

Policy sections aligned with ISO 42001:

1. Governance e supervisione dell'AI
- Principi etici dell'AI (equità, trasparenza, responsabilità, sicurezza, privacy)
- Struttura di governance (comitato di supervisione AI, comitato etico AI, ruoli per l'AI responsabile)
- Impegno della direzione per un'AI responsabile

2. Gestione del rischio (ISO 42001 Section 6)
- Metodologia di valutazione del rischio specifica per l'AI
- Trattamento del rischio e controlli
- Integrazione con la gestione del rischio aziendale

3. Gestione del ciclo di vita dei sistemi di AI
- Ciclo di vita dello sviluppo (progettazione, dati, addestramento, testing, distribuzione, monitoraggio)
- Controllo delle modifiche per modelli e dati di AI
- Controllo delle versioni e registro dei modelli

4. Trasparenza ed explainability
- Requisiti di documentazione per i sistemi di AI
- Meccanismi di explainability (schede dei modelli, fact sheet, strumenti di interpretabilità)
- Informativa alle parti interessate (quando l'AI prende decisioni)

5. Equità, prevenzione dei bias e della discriminazione
- Rilevamento e mitigazione dei bias nei dati e nei modelli
- Metriche di equità e testing
- Gestione degli attributi protetti
- Dati di addestramento diversificati e rappresentativi

6. Privacy e protezione dei dati
- Minimizzazione dei dati per l'addestramento e l'inferenza dell'AI
- Consenso e base giuridica (allineamento GDPR)
- Diritti degli interessati nel contesto AI (diritto alla spiegazione, diritto a non essere soggetti a decisioni automatizzate)
- Tecniche per la privacy (apprendimento federato, privacy differenziale, dati sintetici)

7. Sicurezza, protezione e robustezza
- Robustezza agli attacchi e prevenzione
- Sicurezza del modello (furto, avvelenamento, elusione del modello)
- Testing di sicurezza e validazione
- Meccanismi di fail-safe e supervisione umana per l'AI ad alto rischio

8. Supervisione e controllo umano
- Human-in-the-loop per decisioni critiche
- Meccanismi di override
- Monitoraggio delle prestazioni e delle decisioni del sistema di AI

9. Competenza e consapevolezza (ISO 42001 Section 7.2-7.3)
- Formazione sull'AI per sviluppatori, utenti e leadership
- Programma di consapevolezza sull'AI responsabile

10. Gestione degli incidenti
- Tipologie di incidenti specifici per l'AI (incidenti di bias, deriva del modello, attacchi avversari, danni non intenzionali)
- Risposta agli incidenti e notifica
- Riesame post-incidente e rieducazione del modello

Address ISO 42001 Annex A controls relevant to your AI risk profile.

Conduct an AI risk assessment per ISO 42001 Section 6 for [AI system name]:

AI system details:
- Description: [what the AI does]
- AI technique: [ML model type, architecture]
- Data sources: [training data, inference data]
- Use case: [how it's used, who it affects]
- Deployment: [production, pilot, development]

AI-specific risks to assess:

1. Rischi di bias ed equità
- Bias nei dati di addestramento (bias storico, bias di campionamento, bias di misurazione)
- Bias algoritmico (il modello amplifica le disparità)
- Impatto sui gruppi protetti (discriminazione basata su razza, genere, età, ecc.)
- Metriche di equità: [demographic parity, equalized odds, disparate impact]

2. Rischi di trasparenza ed explainability
- Modelli black-box (mancanza di interpretabilità)
- Impossibilità di spiegare le decisioni agli utenti/regolatori
- Conformità al diritto alla spiegazione (GDPR Articolo 22)

3. Rischi per la privacy
- Re-identificazione dai dati di addestramento anonimi
- Attacchi di inversione del modello (estrazione dei dati di addestramento dal modello)
- Inferenza di appartenenza (determinare se i dati erano nel set di addestramento)
- Perdita di dati o memorizzazione non intenzionale

4. Rischi per la sicurezza e la robustezza
- Errori del modello e previsioni errate
- Attacchi avversari (elusione, avvelenamento, backdoor)
- Deriva del modello e degradazione nel tempo
- Casi limite e shift distributivo
- Guasti critici per la sicurezza (in sistemi autonomi, AI medica, ecc.)

5. Rischi per la sicurezza
- Furto o estrazione del modello
- Avvelenamento dei dati durante l'addestramento
- Input avversari al momento dell'inferenza
- Rischi della catena di fornitura (dataset avvelenati, librerie compromesse)

6. Rischi etici e sociali
- Danni non intenzionali o conseguenze negative
- Uso improprio del sistema di AI
- Impatto ambientale (impronta di carbonio dell'addestramento di modelli di grandi dimensioni)
- Manipolazione o inganno (deepfake, disinformazione)

7. Rischi di conformità e legali
- Non conformità normativa (EU AI Act, GDPR, regolamenti settoriali)
- Responsabilità per le decisioni dell'AI
- Questioni di proprietà intellettuale (addestramento su dati protetti da copyright) — vedi l'approccio di ISMS Copilot alla Compliance della Proprietà Intellettuale

For each risk, assess:
- Likelihood (based on data quality, model complexity, deployment context)
- Impact (severity of harm if materialized)
- Existing controls and mitigations
- Residual risk and treatment plan

Create AI risk register and treatment plan aligned with ISO 42001 risk management requirements.

Create a responsible AI development procedure covering the full AI lifecycle:

1. Progettazione e definizione dell'ambito (ISO 42001 controls 6.2, A.2.1)
- Definire scopo e requisiti del sistema di AI
- Identificare gli stakeholder interessati
- Determinare criteri di equità e prestazioni
- Valutare i requisiti normativi (classe di rischio EU AI Act, applicabilità GDPR)
- Documentare l'uso previsto e le limitazioni

2. Raccolta e preparazione dei dati (controls A.3.x)
- Specifiche dei requisiti dei dati (volume, qualità, rappresentatività)
- Sourcing dei dati (interni, esterni, sintetici, in licenza)
- Valutazione dei bias nella raccolta dei dati
- Assicurazione della qualità dei dati (completezza, accuratezza, coerenza)
- Etichettatura e annotazione dei dati (controllo qualità, formazione degli annotatori, accordo tra annotatori)
- Tecniche per la privacy (anonimizzazione, privacy differenziale)
- Documentazione dei dati (schede dei dati, dataset sheets)

3. Sviluppo e addestramento del modello (controls A.4.x)
- Selezione del modello (scelta dell'algoritmo, progettazione dell'architettura)
- Ingegneria e selezione delle feature
- Metodologia di addestramento e validazione (split train/val/test, cross-validation)
- Ottimizzazione degli iperparametri
- Rilevamento e mitigazione dei bias durante l'addestramento
- Valutazione delle prestazioni (accuratezza, precisione, recall, F1, AUC, metriche di equità)
- Documentazione del modello (schede dei modelli, fact sheet)

4. Testing e validazione (controls A.5.x)
- Testing funzionale (funziona come previsto?)
- Testing di equità (analisi dell'impatto disparato, prestazioni dei sottogruppi)
- Testing di robustezza (esempi avversari, casi limite, dati fuori distribuzione)
- Testing di sicurezza (modalità di guasto, output non sicuri)
- Validazione dell'explainability (siamo in grado di spiegare le decisioni?)
- Testing di conformità normativa (soddisfa i requisiti dell'EU AI Act se applicabile)

5. Distribuzione (controls A.6.x)
- Pianificazione e approvazione della distribuzione
- Formazione e documentazione per gli utenti
- Configurazione del monitoraggio e degli avvisi
- Meccanismi di supervisione umana
- Procedure di rollback
- Distribuzione graduale (canary, A/B testing)

6. Monitoraggio e manutenzione (controls A.7.x)
- Monitoraggio delle prestazioni (accuratezza, latenza, uptime)
- Monitoraggio dei bias (metriche di equità in corso)
- Rilevamento della deriva del modello (data drift, concept drift)
- Rilevamento degli incidenti (previsioni anomale, errori)
- Trigger e procedure di rieducazione
- Gestione delle versioni del modello

7. Ritiro e dismissione
- Criteri di decisione per la fine del ciclo di vita
- Conservazione o cancellazione dei dati
- Comunicazione agli utenti
- Pianificazione della transizione (sistema sostitutivo, processi manuali)

For our AI development context: [describe teams, tools, platforms, methodologies]

Include checkpoints, approvals, and documentation requirements at each stage per ISO 42001.

Create a model card for [AI model name] per ISO 42001 transparency requirements:

Model card sections:

1. Dettagli del modello
- Nome e versione del modello
- Tipo e architettura del modello: [e.g., neural network, random forest, transformer]
- Algoritmo di addestramento e framework: [TensorFlow, PyTorch, scikit-learn]
- Sviluppatori del modello e contatto
- Data del modello e fase del ciclo di vita
- Licenza e restrizioni d'uso

2. Uso previsto
- Usi e utenti principali previsti
- Usi non previsti (cosa NON dovrebbe essere utilizzato)
- Considerazioni etiche e limitazioni note

3. Fattori (caratteristiche rilevanti)
- Gruppi o fattori considerati (demografici, geografici, contesti d'uso)
- Fattori di strumentazione e ambiente

4. Metriche
- Metriche di prestazione del modello: [accuracy, precision, recall, F1, AUC, etc.]
- Metriche di equità e bias: [demographic parity, equalized odds, etc.]
- Soglie decisionali e compromessi

5. Dati di addestramento
- Descrizione e fonte del dataset
- Pre-elaborazione dei dati e ingegneria delle feature
- Dimensione e split dei dati di addestramento
- Bias o limitazioni note nei dati

6. Dati di valutazione
- Dataset di valutazione utilizzati
- Motivazione per la scelta del dataset
- Pre-elaborazione applicata

7. Analisi quantitative
- Risultati complessivi delle prestazioni
- Prestazioni tra sottogruppi (analisi di equità)
- Intervalli di confidenza o quantificazione dell'incertezza

8. Considerazioni etiche
- Potenziali danni e bias identificati
- Strategie di mitigazione implementate
- Casi d'uso sensibili e fattori di rischio

9. Avvertenze e raccomandazioni
- Limitazioni e modalità di guasto note
- Raccomandazioni per un uso responsabile
- Raccomandazioni per il monitoraggio e la manutenzione

Our model: [provide details for each section based on your AI system]

Use this model card template for all AI systems to meet ISO 42001 documentation and transparency requirements.

Conduct a fairness assessment for [AI system name]:

System context:
- Tipo di decisione: [classificazione, ranking, raccomandazione, previsione]
- Individui interessati: [clienti, dipendenti, richiedenti prestiti, studenti, ecc.]
- Attributi protetti: [razza, genere, età, disabilità, ecc. - secondo le leggi applicabili contro la discriminazione]
- Potenziali danni: [diniego di servizio, prezzi iniqui, discriminazione, danno reputazionale]

Fairness assessment methodology:

1. Identificare i gruppi protetti
- Definire gli attributi sensibili e i gruppi (es. genere: maschio/femmina/non binario; razza: categorie)
- Determinare se esistono proxy per gli attributi protetti nei dati (codice postale → razza, nome → genere)

2. Selezionare le metriche di equità (scegliere quelle appropriate per il caso d'uso)
- Parità demografica: Tassi di esito positivo uguali tra i gruppi
- Equalized odds: Tassi di veri positivi e falsi positivi uguali tra i gruppi
- Parità predittiva: Precisione uguale (valore predittivo positivo) tra i gruppi
- Equità individuale: Individui simili ricevono esiti simili
- Calibrazione: Probabilità predette corrispondono agli esiti effettivi tra i gruppi

3. Misurare l'equità
- Calcolare le metriche scelte per ogni gruppo protetto
- Confrontare con le soglie di equità (es. regola dei 4/5 per l'impatto disparato)
- Identificare disparità e pattern di bias

4. Analizzare le cause alla radice del bias
- Bias nei dati: Sottorappresentazione, bias storico, bias di misurazione nei dati di addestramento
- Bias algoritmico: Il modello si adatta eccessivamente al gruppo maggioritario, le feature correlano con attributi protetti
- Bias di distribuzione: Diversi pattern di utilizzo tra i gruppi

5. Strategie di mitigazione
- Pre-elaborazione: Ripesatura dei dati di addestramento, rimozione dei bias dai dati, bilanciamento dei dataset
- Durante l'elaborazione: Algoritmi di addestramento consapevoli dell'equità, debiasing avversario, regolarizzazione
- Post-elaborazione: Regolazione delle soglie decisionali per gruppo, ricalibrazione delle previsioni
- Strutturali: Rimozione o mascheramento degli attributi protetti, uso di vincoli di equità

6. Analisi dei compromessi
- Compromessi tra accuratezza ed equità (mitigare il bias può ridurre l'accuratezza complessiva)
- Conflitti tra metriche di equità (non è possibile soddisfare tutte le definizioni di equità simultaneamente)
- Decisione su compromessi accettabili basata su principi etici e requisiti legali

Document fairness assessment results, mitigation measures, and residual bias for ISO 42001 compliance and regulatory inquiries.

Our AI system: [describe system, decision context, and protected groups]

Test AI model robustness against adversarial attacks:

AI model: [name and type]
Attack surface: [inference API, model file, training pipeline]

Adversarial threat scenarios:

1. Evasion attacks (at inference time)
- Adversarial examples: Input accuratamente creati che causano classificazioni errate
- Test methods: FGSM, PGD, C&W attacks
- Defense: Adversarial training, input sanitization, certified robustness

2. Poisoning attacks (during training)
- Data poisoning: Iniezione di campioni malevoli nei dati di addestramento
- Test methods: Label flipping, backdoor injection
- Defense: Data validation, anomaly detection, robust training algorithms

3. Model extraction/theft
- Query attacks to replicate model
- Test methods: Model stealing via API queries
- Defense: Query rate limiting, output perturbation, watermarking

4. Model inversion
- Reconstruct training data from model
- Test methods: Membership inference, attribute inference
- Defense: Differential privacy, output rounding, query restrictions

5. Prompt injection (for LLMs/generative AI)
- Malicious prompts to bypass safety filters or extract sensitive information
- Test methods: Jailbreaking prompts, indirect injection
- Defense: Prompt filtering, output guardrails, content moderation

Robustness testing procedure:
- Generate adversarial examples using attack libraries (Adversarial Robustness Toolbox, CleverHans, Foolbox)
- Measure model accuracy on adversarial inputs
- Assess transferability of attacks across models
- Document vulnerabilities and mitigation measures
- Integrate into CI/CD (automated adversarial testing)

Create robustness test suite and acceptance criteria: [e.g., model accuracy >X% on adversarial examples].

Address ISO 42001 control A.5.3 (robustness evaluation) and A.6.5 (security of AI system).

Implement continuous monitoring for AI systems per ISO 42001 control A.7.3:

AI system: [name]
Deployment: [production environment]

Monitoring dimensions:

1. Monitoraggio delle prestazioni
- Accuratezza, precisione, recall, punteggio F1 (vs. baseline)
- Latenza e throughput delle previsioni
- Tassi e tipi di errore
- Feedback e correzioni degli utenti

2. Monitoraggio della deriva dei dati
- Cambiamenti nella distribuzione degli input (covariate shift)
- Test statistici: KL divergence, test di Kolmogorov-Smirnov, population stability index (PSI)
- Rilevamento della deriva delle feature
- Allerta quando la deriva supera le soglie

3. Monitoraggio della deriva del modello (concept drift)
- Degradazione delle prestazioni del modello nel tempo
- Cambiamenti nella distribuzione della verità di base
- Confronto tra previsioni e risultati effettivi
- Trigger per il rieducamento del modello

4. Monitoraggio dell'equità
- Metriche di equità in corso per gruppo demografico
- Monitoraggio dell'impatto disparato
- Allerta sulla degradazione dell'equità

5. Monitoraggio della sicurezza e delle anomalie
- Input fuori distribuzione (rilevamento OOD)
- Previsioni anomale (soglie di confidenza, stime di incertezza)
- Output non sicuri o dannosi (moderazione dei contenuti, classificatori di sicurezza)

6. Monitoraggio della sicurezza
- Rilevamento di attacchi avversari
- Pattern di query insoliti (potenziale estrazione del modello)
- Controllo degli accessi e autenticazione alle API dei modelli

7. Monitoraggio dell'explainability
- Tracciamento delle spiegazioni fornite agli utenti
- Monitoraggio delle previsioni a bassa confidenza che richiedono revisione umana
- Deriva dell'importanza delle feature

Monitoring implementation:
- Logging e telemetria (previsioni, input, metadati)
- Dashboard e visualizzazione (Grafana, dashboard personalizzate)
- Regole e soglie di allerta
- Risposte automatizzate (circuit breaker, fallback a modelli più semplici, escalation umana)
- Riunioni di revisione regolari (revisioni settimanali/mensili dello stato del modello)

Create monitoring playbook: what to monitor, thresholds, alert recipients, response procedures.

Integration with incident management: AI-specific incidents (bias discovered, model drift, adversarial attack) → incident response procedure.

Develop an AI incident response procedure per ISO 42001 control A.8.1:

AI-specific incident types:

1. Incidenti di bias o equità
- Scoperta di esiti discriminatori
- Danno a un gruppo protetto
- Impatto disparato che supera le soglie

2. Degradazione delle prestazioni del modello
- Accuratezza scesa al di sotto di un livello accettabile
- Rilevata deriva del modello
- Errori sistematici nelle previsioni

3. Incidenti di privacy
- Perdita di dati di addestramento
- Attacco di inversione del modello o inferenza di appartenenza
- Re-identificazione di individui

4. Incidenti di sicurezza
- Attacco avversario riuscito
- Furto o estrazione del modello
- Rilevato avvelenamento dei dati

5. Incidenti etici o reputazionali
- Uso improprio dell'AI o conseguenze non intenzionali
- Reazioni negative del pubblico o attenzione dei media
- Indagine normativa

Incident response workflow:

1. Rilevamento e segnalazione
- Rilevamento automatizzato (allerte di monitoraggio)
- Segnalazioni degli utenti (meccanismi di feedback, linee dirette)
- Scoperta interna (audit, revisioni, testing)

2. Valutazione iniziale e triage
- Classificazione della gravità (critico/alto/medio/basso)
- Ambito e utenti interessati
- È necessaria un'immediata contenzione? (disabilitare il sistema di AI, tornare a un processo manuale)

3. Contenimento e mitigazione
- Mettere offline il sistema di AI se necessario
- Tornare alla versione precedente del modello
- Implementare controlli compensativi temporanei (revisione umana, filtraggio degli output)

4. Indagine e analisi delle cause alla radice
- Esaminare i dati di addestramento, il comportamento del modello, le previsioni
- Identificare la fonte del bias, il difetto del modello o il vettore di attacco
- Documentare i risultati

5. Rimedio
- Rieducare il modello con dati corretti o vincoli di equità
- Applicare patch o difese
- Aggiornare le procedure per prevenire recidive

6. Comunicazione
- Notificare gli individui interessati (trasparenza)
- Notifica normativa se richiesta
- Comunicazione interna (leadership, legale, PR)
- Divulgazione pubblica (se appropriato)

7. Recupero e lezioni apprese
- Rilanciare il sistema di AI rimediato
- Monitoraggio potenziato per recidive
- Aggiornare valutazioni dei rischi e controlli
- Riesame e documentazione post-incidente

Create incident response playbooks for each AI incident type with roles, timelines, and communication templates.

Ensure alignment with organizational incident management and ISO 42001 requirements.

Map our AI systems to EU AI Act requirements and align with ISO 42001:

AI system inventory: [list AI systems]

For each AI system, assess:

1. Classificazione del rischio secondo l'AI Act
- AI proibita: [categorizzazione biometrica, social scoring, manipolazione dannosa, scraping indiscriminato] → Non deve essere distribuita
- AI ad alto rischio: [screening CV, credit scoring, law enforcement, infrastrutture critiche, dispositivi medici, identificazione biometrica, valutazione nell'istruzione/occupazione, servizi essenziali] → Requisiti rigorosi
- Rischio limitato: [Chatbot, deepfake, riconoscimento delle emozioni] → Obblighi di trasparenza
- Rischio minimo: [videogiochi con AI, filtri antispam] → Codici di condotta volontari

2. Requisiti per l'AI ad alto rischio (se applicabile)
- Sistema di gestione del rischio: ISO 42001 Sections 6, 8.1 → Valutazione e trattamento del rischio AI
- Governance dei dati: ISO 42001 control A.3 → Qualità dei dati di addestramento, mitigazione dei bias
- Documentazione tecnica: ISO 42001 controls A.2.2, A.4.5 → Documentazione del sistema, schede dei modelli
- Registrazione e logging: ISO 42001 control A.7.1 → Log automatizzati per l'auditabilità
- Trasparenza verso gli utenti: ISO 42001 controls A.6.3, A.6.4 → Informazioni agli utenti, explainability
- Supervisione umana: ISO 42001 control A.6.7 → Meccanismi human-in-the-loop
- Accuratezza, robustezza, cybersicurezza: ISO 42001 controls A.5.x, A.6.5 → Testing e misure di sicurezza

3. Requisiti per l'AI per scopi generali (GPAI)
- Se forniamo modelli di base o GPAI: Trasparenza, conformità al copyright, divulgazione del consumo energetico
- Modelli a rischio sistemico (larga scala): Testing avversario, segnalazione di incidenti gravi, valutazione del modello

4. Obblighi di trasparenza (tutta l'AI)
- Informare gli utenti quando interagiscono con l'AI (AI Act Article 52)
- Etichettatura dei deepfake
- Divulgazione del riconoscimento delle emozioni o della categorizzazione biometrica

Create compliance mapping table: AI system | AI Act classification | Applicable requirements | ISO 42001 controls addressing | Compliance status | Gaps

Develop AI Act compliance roadmap aligned with ISO 42001 implementation.

Note: EU AI Act enforcement begins phased in 2024-2026. Track implementation timelines for your AI systems.