Compliance
Compliance.
La conformità europea non è un vincolo che si subisce: è la ragione per cui l’impianto è costruito così. Diverse di queste regole chiedono prove che si producono soltanto se l’infrastruttura è sotto il controllo di chi ne risponde.
GDPR
Dati in EU, trattamenti conformi al Regolamento (UE) 2016/679. Gli artt. 24 e 32 chiedono misure che si possano descrivere e dimostrare, non dichiarare: tenere l’elaborazione dentro un perimetro che controllate è una di quelle misure, e ne rende possibili altre — log vostri, audit quando volete, regole d’uso che non cambiano senza passare da voi. Da sola non è la conformità: va descritta e tracciata, chi accede, con quale canale, dove è archiviato il documento. Privacy by design come requisito di architettura, non come adempimento.
NIS2
Conformità nativa alla direttiva (UE) 2022/2555, recepita in Italia con il D.lgs. 138/2024, per infrastrutture critiche e soggetti essenziali. Le misure di gestione del rischio si dimostrano con documenti: politiche approvate, registri, contratti con i fornitori, tracce delle verifiche. La piattaforma è progettata per ambienti regolati, e produce da sé la parte di quelle tracce che riguarda ciò che fa.
AI Act
Regolamento (UE) 2024/1689. L’art. 26 § 6 impone al deployer di conservare i log del sistema «nella misura in cui sono sotto il suo controllo», per almeno sei mesi: se il fornitore non ve li consegna, l’obbligo è inadempibile. L’art. 25 § 4 chiede un accordo scritto che specifichi informazioni, capacità e accesso tecnico necessari alla conformità. L’art. 4 chiede misure di alfabetizzazione del personale, e dal 27 luglio 2026 il Regolamento (UE) 2026/1744 lo ha riscritto come obbligo di mezzi. Il dovere è tarato su ciò che controllate: il perimetro non è un’alternativa alla conformità, ne è la condizione.
Dual-use
Le attività soggette ad autorizzazione sono svolte conformemente alla normativa vigente, in Italia e all’estero.
Il limite
La L. 124/2007 riserva la conoscenza degli atti coperti dal segreto di Stato ai soggetti chiamati a funzioni essenziali, nei limiti indispensabili al loro compito; le informazioni classificate UE, disciplinate dalla decisione 2013/488/UE, si trattano solo su sistemi accreditati. Nessuna piattaforma commerciale — nemmeno la nostra — sostituisce un ambiente accreditato dallo Stato e le abilitazioni soggettive che vi danno accesso. Dove il dato lo impone, l’architettura non si sceglie: si eredita dalla classificazione.
Lo stesso impianto, applicato a quattro problemi che una norma rende urgenti: le soluzioni
Il calendario completo delle scadenze dell’AI Act, voce per data: la guida