Il regolamento UE sull'IA e KIFF Cloud

1. Cos'è questa pagina

Una corrispondenza tra funzionalità specifiche di KIFF Cloud e articoli specifici del regolamento sull'IA. Ogni sezione dedicata a una funzionalità indica ciò che KIFF Cloud fornisce oggi, e anche ciò che non forniamo, così che la corrispondenza non possa essere letta come una garanzia di conformità del cliente.

Quando questa pagina rimanda al regolamento sull'IA, il testo di riferimento è quello pubblicato dall'Unione europea su EUR-Lex. In caso di differenze, prevale EUR-Lex.

2. A chi si rivolge questa pagina

Ai fornitori e ai deployer di sistemi di IA ad alto rischio ai sensi dell'articolo 6 e dell'allegato III del regolamento sull'IA, i cui obblighi comprendono una registrazione tracciabile degli eventi (articolo 12) e una sorveglianza umana efficace (articolo 14). KIFF Cloud è progettato per aiutare a rispettare proprio questi due obblighi; gli altri obblighi del regolamento sull'IA restano responsabilità del cliente.

3. Articolo 12, Registrazione degli eventi

L'articolo 12 del regolamento sull'IA richiede che i sistemi di IA ad alto rischio consentano «la registrazione automatica degli eventi ("log") per la durata del ciclo di vita del sistema», in misura sufficiente a permettere di individuare le situazioni che comportano un rischio, la tracciabilità e il monitoraggio successivo all'immissione sul mercato.

Cosa fornisce KIFF Cloud

• Registrazione automatica degli eventi per ogni azione governata, event_ingested, state_changed, decision_recorded, action_validated, action_executed, approval_required, approval_granted, approval_denied, action_blocked.
• Attribuzione per ogni registrazione: ogni evento porta l'identificativo dell'attore, la data e ora e l'id di traccia che lo legano alla sua catena causale.
• Catena di audit in sola aggiunta a livello di framework; la riproduzione è deterministica.
• Hash di riepilogo a evidenza di manomissione pubblicati su una traccia pubblica verificabile (quando il deployment sceglie la modalità con traccia verificabile).
• Ricevute firmate per ogni azione governata, utilizzabili come prova fuori dal database di KIFF Cloud.

Cosa KIFF Cloud non fornisce

• Le decisioni su cosa registrare. Sono la configurazione del dominio del cliente e i contratti d'azione a determinare quali eventi vengono emessi.
• I periodi di conservazione. Per impostazione predefinita la conservazione dura quanto il tenant del cliente; è la policy del cliente a determinare se questo soddisfa il criterio «adeguato alla finalità prevista» dell'articolo 26, paragrafo 6 (almeno sei mesi).
• La segnalazione automatica alle autorità di vigilanza ai sensi dell'articolo 73. Il cliente è responsabile di ogni segnalazione verso l'esterno.
• La determinazione se il sistema del cliente rientri tra quelli ad alto rischio ai sensi dell'allegato III. Questa classificazione spetta al cliente.

4. Articolo 14, Sorveglianza umana

L'articolo 14 del regolamento sull'IA richiede che i sistemi di IA ad alto rischio siano «progettati e sviluppati... in modo tale da poter essere efficacemente supervisionati da persone fisiche durante il periodo in cui sono in uso». Ciò comprende la possibilità, per la persona incaricata della sorveglianza, di interpretare gli output, intervenire sul funzionamento e, se necessario, arrestarlo.

Cosa fornisce KIFF Cloud

• Requisito di approvazione per ogni azione. Ogni ActionContract dichiara il proprio requisito di approvazione (Required, OptionalIfHigh o None). Le approvazioni obbligatorie fermano l'esecuzione finché una persona incaricata non esamina la proposta.
• Interfaccia di esame delle approvazioni. La dashboard e l'API mostrano le approvazioni in sospeso con l'intero contesto causale: gli eventi di origine, lo stato attuale, l'azione proposta e i suoi parametri, e la regola che ha fatto scattare la trattenuta.
• Attribuzione al revisore. Ogni registrazione approval_granted o approval_denied porta l'identificativo del revisore, la data e ora e un campo di testo libero per la motivazione.
• Il rifiuto è definitivo. Un'approvazione negata respinge ogni successiva esecuzione della stessa proposta nello stesso contesto. Il cliente non può aggirare per errore una decisione di sorveglianza riprovando.
• Campi della Ricevuta. La Ricevuta di un'azione soggetta ad approvazione registra l'attribuzione al revisore, rendendo la sorveglianza visibile agli auditor e alle autorità di regolamentazione a valle.

Cosa KIFF Cloud non fornisce

• La formazione del revisore umano. L'articolo 26, paragrafo 2, richiede che le persone incaricate della sorveglianza dispongano «della competenza, della formazione e dell'autorità necessarie»; questa competenza è stabilita dal cliente.
• La definizione di quali azioni richiedono sorveglianza. È la configurazione del dominio del cliente a fissare i requisiti di approvazione; KIFF Cloud fa rispettare ciò che la configurazione dichiara.
• La policy organizzativa. L'articolo 14, paragrafi 2 e 3, pone obblighi di sorveglianza a carico dell'organizzazione del deployer; KIFF Cloud non può sostituirsi a tali obblighi.
• Un «pulsante di arresto» a livello di sistema di IA. KIFF Cloud opera a livello di azione; arrestare il sistema nel suo insieme richiede i controlli propri del cliente.

5. Altri articoli pertinenti

Oltre agli articoli 12 e 14, KIFF Cloud tocca in modo più leggero diversi altri obblighi. Ogni nota qui sotto indica l'articolo e il limite del nostro contributo.

Articolo 9, Gestione dei rischi

Il campo risk_score della Ricevuta è riservato a dati statistici a priori raccolti tra più tenant. Nella v0.1 è nullo perché il set di dati non è ancora stato costruito. Oggi i clienti non possono fare affidamento su questo campo.

Articolo 10, Dati e governance dei dati

Fuori ambito. I dati di addestramento, convalida e prova del cliente sono responsabilità del cliente.

Articolo 13, Trasparenza verso i deployer

Il formato della Ricevuta dà a chi la riceve a valle una registrazione strutturata della decisione, che può leggere e sottoporre ad audit; alcuni deployer la ritengono sufficiente come prova di trasparenza verso gli utenti finali, a seconda del loro scenario.

Articolo 15, Accuratezza, robustezza, cibersicurezza

Le misure di cibersicurezza di KIFF Cloud sono documentate in /security. L'accuratezza e la robustezza del sistema di IA del cliente sono responsabilità del cliente; KIFF Cloud è un livello di governance, non un modello.

Articolo 17, Gestione della qualità

Fuori ambito. Il sistema di gestione della qualità del cliente è responsabilità del cliente.

Articolo 26, Obblighi dei deployer

Molti obblighi dei deployer richiedono prove di monitoraggio e sorveglianza. La catena di audit e le Ricevute di KIFF Cloud sono progettate per essere quelle prove.

6. Cosa non è in questo elenco

KIFF Cloud è un livello di governance per le azioni compiute dai sistemi di IA. Non si occupa degli obblighi che derivano dal modello stesso (provenienza dei dati di addestramento, test sulle distorsioni, documentazione del modello), dalle policy organizzative del deployer (flussi di segnalazione degli incidenti, registrazione del deployer) o da un'infrastruttura di monitoraggio successivo all'immissione sul mercato che vada oltre gli eventi registrati.

Se la tua valutazione della conformità individua obblighi non trattati qui, KIFF Cloud non è lo strumento giusto per quelli. Lo diremo in un colloquio commerciale, invece di lasciar intendere il contrario.

7. La Ricevuta come prova

Una singola Ricevuta di KIFF raccoglie, per un'azione governata:

• la catena causale: gli eventi, lo stato, la decisione e la convalida dell'azione che hanno prodotto il risultato (prova della registrazione ai sensi dell'articolo 12);
• l'attribuzione al revisore quando era richiesta un'approvazione umana (prova della sorveglianza ai sensi dell'articolo 14);
• la versione della policy in base alla quale è stata presa la decisione (tracciabilità lungo il ciclo di vita ai sensi dell'articolo 12, paragrafo 2, lettera b));
• un'attestazione crittografica sulla catena, verificabile indipendentemente dal database del cloud (integrità ai sensi dell'articolo 15).

Un'autorità di regolamentazione che esamina una singola azione presenta una Ricevuta; una che esamina un sistema nel tempo presenta l'insieme delle ricevute. La struttura JSON stabile della Ricevuta serve a rendere questo scambio meccanico anziché discorsivo.

8. Limiti

Non siamo un organismo notificato, un valutatore della conformità accreditato né un rappresentante autorizzato ai sensi del regolamento sull'IA. Non certifichiamo i sistemi dei clienti. La valutazione della conformità ai sensi dell'articolo 43 del regolamento sull'IA resta responsabilità del cliente. Il ruolo di KIFF Cloud è fornire prove su cui la valutazione della conformità del cliente può basarsi.

Quando la normativa secondaria del regolamento sull'IA (atti delegati, atti di esecuzione, norme armonizzate) viene aggiornata, questa corrispondenza può restare indietro. Aggiorniamo questa pagina man mano che il testo normativo e i relativi orientamenti della Commissione evolvono.

9. Versioni

Questa corrispondenza ha un numero di versione. La v0.1 riflette il testo consolidato del regolamento sull'IA pubblicato nella GU L del 12 luglio 2024 e gli orientamenti della Commissione disponibili alla data indicata nell'intestazione.

10. Contatti

Domande sulla conformità: legal@kiff.dev. Domande sulla privacy: privacy@kiff.dev. Segnalazioni di sicurezza: security@kiff.dev.

Versione del documento: v0.1.
Ultimo aggiornamento: 24 maggio 2026.