AI Governance & Security Assessment - valutazione della maturità AI della vostra organizzazione secondo il framework ADG · Adopt · Defend · Govern: 12 controlli minimi, evidenze verificabili, crosswalk verso EU AI Act, NIST AI RMF e ISO/IEC 42001, e una roadmap di remediation realmente eseguibile.
Nessuna registrazione · Nessun dato personale · Risultato immediato
Intelligenza Artificiale, Generative AI e AI Agent entrano in azienda attraverso progetti, reparti e fornitori diversi. Quasi sempre più rapidamente di quanto l'organizzazione riesca a definire responsabilità, controlli di sicurezza, processi di approvazione e monitoraggio.
Il Regolamento (UE) 2024/1689 è il primo quadro normativo orizzontale al mondo sull'Intelligenza Artificiale. È in vigore dal 1° agosto 2024 e si applica per fasi successive: diverse parti sono già pienamente operative e sanzionabili, mentre gli obblighi più onerosi sui sistemi ad alto rischio arrivano entro il 2027.
Il Regolamento ha portata extraterritoriale. Si applica ai fornitori che immettono sistemi o modelli di AI sul mercato dell'Unione e ai deployer che li utilizzano nell'UE - indipendentemente dal Paese in cui sono stabiliti - e, a determinate condizioni, anche a soggetti di Paesi terzi quando l'output del sistema viene utilizzato nell'Unione.
In concreto: un'organizzazione che vende, eroga servizi o tratta dati verso il mercato europeo rientra nel perimetro anche se ha sede altrove. La domanda non è «ci riguarda?», ma «quali dei nostri sistemi AI ricadono in quale classe di rischio, e come lo dimostriamo?»
Per PMI e start-up si applica l'importo inferiore tra la soglia fissa e la percentuale sul fatturato.
L'AI Act descrive cosa deve essere garantito, non come organizzarlo né quali evidenze produrre. L'assessment traduce ciascuna area di requisito nei controlli operativi effettivamente valutati, con l'evidenza documentale corrispondente.
| Area di requisito EU AI Act | Controlli valutati | Evidenza tipica |
|---|---|---|
| Sistema di gestione del rischio | MC-2 · MC-4 | Classificazione del rischio per sistema e report di valutazione pre-rilascio |
| Governance dei dati | MC-6 · MC-11 | Context policy con provenienza e retention; valutazione di bias su dati rappresentativi |
| Documentazione tecnica | MC-1 · MC-5 | Inventario dei sistemi AI con owner nominato; change log con approvazioni |
| Registrazione dei log e tracciabilità | MC-8 · MC-9 | Monitoraggio runtime con soglie di alert; playbook di incident response AI |
| Supervisione umana | MC-3 · MC-10 | Matrice RACI per sistema; verbali di riesame e registro delle eccezioni |
| Accuratezza, robustezza e cybersecurity | MC-4 · MC-8 | Test adversarial documentati; rilevazione di drift e comportamenti anomali |
| Trasparenza e catena di fornitura | MC-1 · MC-12 | Matrice di responsabilità condivisa firmata con i provider AI e SaaS |
L'assessment non si limita a verificare l'esistenza di policy o documentazione. Analizza concretamente quali sistemi AI sono presenti, quali rischi introducono, quali controlli sono già implementati, quali evidenze esistono e quali interventi devono essere prioritizzati.
Inventario reale dei sistemi AI, degli use case, dei provider e delle integrazioni attive - inclusi quelli non ufficiali.
Esposizione tecnica, operativa e di governance, classificata per criticità e probabilità di impatto.
Livello di implementazione dei controlli, ownership, processi, tecnologie ed evidenze effettivamente disponibili.
Roadmap prioritizzata: quick win, azioni prioritarie e iniziative strutturali, con effort e responsabilità.
Un modello che scala senza cambiare linguaggio: le stesse tre parole organizzano un board paper, un release gate, un report di red team e un playbook di incident response.
Analisi delle modalità con cui l'organizzazione introduce, sviluppa e utilizza sistemi di Intelligenza Artificiale.
Analisi dei controlli tecnici e operativi che proteggono modelli, dati, prompt, tool e processi AI.
Analisi dei processi decisionali, dei diritti di approvazione e della supervisione umana sull'AI.
Per ciascun controllo valutiamo livello di implementazione, ownership, processi, tecnologie, documentazione, evidenze verificabili, gap ed esposizione al rischio.
Ogni controllo operativo ha un grado diverso di aderenza al Regolamento: alcuni corrispondono direttamente a un articolo, altri lo sostengono in modo indiretto producendo le evidenze richieste. Nessuno di essi, da solo, esaurisce l'obbligo normativo.
| ID | Controllo ADG | Compatibilità | Principali riferimenti EU AI Act |
|---|---|---|---|
| MC-1 | AI System Inventory | Molto alta | Art. 49 registrazione nella banca dati UE; supporta governance e tracciabilità dei sistemi |
| MC-2 | Risk Classification | Diretta | Artt. 6-7 classificazione dei sistemi ad alto rischio; input all'art. 9 |
| MC-3 | Separation of Duties | Indiretta ma importante | Governance, accountability, supervisione umana e obblighi differenziati degli operatori |
| MC-4 | Pre-Production Evaluation | Diretta | Art. 9 gestione dei rischi; collegamento all'art. 15 accuratezza, robustezza e cybersecurity |
| MC-5 | Change Control | Molto rilevante | Lifecycle management, modifiche sostanziali (art. 25), mantenimento della conformità e art. 17 |
| MC-6 | Context Policy | Rilevante | Art. 10 governance dei dati; art. 15 sicurezza e robustezza |
| MC-7 | Tool & MCP Register | Complementare | Non esiste un articolo dedicato a tool e MCP: supporta controllo degli accessi, sicurezza, accountability e gestione dei rischi |
| MC-8 | Runtime Monitoring | Diretta | Art. 72 monitoraggio post-commercializzazione; art. 12 log; art. 15 robustezza |
| MC-9 | AI Incident Response | Diretta | Art. 73 segnalazione degli incidenti gravi; art. 12 tracciabilità delle evidenze |
| MC-10 | Governance Review | Molto rilevante | Governance continua, gestione dei rischi (art. 9), art. 17 QMS e monitoraggio post-commercializzazione |
| MC-11 | Fairness & Bias Evaluation | Diretta | Art. 10 governance dei dati e bias; base a supporto della valutazione d'impatto sui diritti fondamentali |
| MC-12 | Shared Responsibility | Molto rilevante | Obblighi differenziati di provider, deployer, importer e distributor; artt. 13, 25 e 26 |
I 12 Minimum Controls sono un eccellente backbone operativo di governance e sicurezza dell'AI, ma non costituiscono da soli una checklist completa di conformità al Regolamento: la loro mappatura verso l'EU AI Act è indicativa e non esaustiva, e agevola la compliance senza garantirla. Per questo il nostro AI Act Gap Assessment integra la baseline operativa con due moduli regolatori dedicati.
«Come governiamo e proteggiamo i sistemi AI, e che cosa siamo in grado di dimostrare?»
Baseline operativa di governance e sicurezza: inventario, classificazione, separazione dei ruoli, testing, change control, contesto, tool e MCP, monitoraggio, incident response, riesame, bias e responsabilità condivisa.
«Il Regolamento ci si applica, in quale ruolo, e in quale classe ricadono i nostri sistemi?»
«Per ciascun obbligo applicabile: che cosa esiste e quale evidenza possiamo produrre?»
Verifica puntuale, articolo per articolo, degli obblighi che risultano applicabili in base all'esito del Modulo 2.
Gli obblighi del Regolamento non dipendono solo dal sistema, ma dal ruolo che l'organizzazione riveste rispetto a quel sistema. La stessa azienda può essere deployer per un copilot in abbonamento e provider per un modello che ha personalizzato e messo a disposizione dei clienti.
| Ruolo | Chi è | Obblighi principali (sistemi ad alto rischio) |
|---|---|---|
| ProviderFornitore | Sviluppa un sistema di AI, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. | Sistema di gestione dei rischi, governance dei dati, documentazione tecnica, log, trasparenza verso i deployer, supervisione umana, accuratezza e cybersecurity, sistema di gestione della qualità, valutazione di conformità, dichiarazione UE, marcatura CE, registrazione, monitoraggio post-commercializzazione e segnalazione degli incidenti gravi. |
| DeployerUtilizzatore | Utilizza un sistema di AI sotto la propria autorità, nell'ambito di un'attività professionale. | Uso conforme alle istruzioni, supervisione umana affidata a personale competente, controllo della pertinenza dei dati di input sotto il proprio controllo, monitoraggio del funzionamento e sospensione in caso di rischio, conservazione dei log, informativa ai lavoratori interessati, informazione alle persone esposte e valutazione d'impatto sui diritti fondamentali (FRIA) nei casi previsti. |
| ImporterImportatore | Immette sul mercato dell'Unione un sistema di AI proveniente da un fornitore stabilito in un Paese terzo. | Verifica che la valutazione di conformità sia stata svolta, che esistano documentazione tecnica e istruzioni, che siano presenti marcatura CE e rappresentante autorizzato; indicazione dei propri dati identificativi, conservazione documentale e cooperazione con le autorità. |
| DistributorDistributore | Mette a disposizione sul mercato dell'Unione un sistema di AI, senza esserne provider o importer. | Verifica della marcatura CE, della documentazione e degli obblighi assolti a monte; condizioni di stoccaggio e trasporto che non compromettano la conformità; azione correttiva o ritiro in caso di non conformità; cooperazione con le autorità. |
Ogni controllo minimo soddisfa contemporaneamente più requisiti di framework diversi. È il motivo per cui un solo intervento di remediation vale su tre fronti: EU AI Act, NIST AI RMF e ISO/IEC 42001. Esplorate le due mappe: sono le stesse che utilizziamo in fase di assessment.
Cliccate su uno dei 12 controlli a sinistra per vedere quali aree di requisito attiva. Cliccate su un requisito a destra per vedere quali controlli lo presidiano.
Il modello non inventa un proprio elenco di minacce: consuma i quattro cataloghi industriali di riferimento e mappa ciascuna tecnica sui controlli minimi, e da questi sui requisiti di EU AI Act, NIST AI RMF e ISO/IEC 42001.
Raccolta preliminare delle informazioni sull'utilizzo dell'AI: analisi della documentazione esistente, identificazione degli stakeholder, interviste a IT, Security, Risk, Compliance, Legal e Business, mappatura dei principali sistemi e use case, individuazione di provider e piattaforme in uso.
Valutazione strutturata dei controlli applicabili all'organizzazione. Per ciascun controllo analizziamo livello di implementazione, ownership, processi esistenti, tecnologie utilizzate, documentazione disponibile, evidenze verificabili, gap principali ed esposizione al rischio.
I risultati vengono correlati ai principali riferimenti di AI governance e security, a partire dall'EU AI Act, così che un singolo intervento di remediation possa soddisfare contemporaneamente più esigenze di governance, sicurezza e compliance.
Per ogni area vengono formalizzati Current State (controlli e processi presenti), Gap (distanza dal livello atteso), Risk (rischio associato), Priority (priorità di intervento) e Recommended Action (attività di remediation suggerita).
Correlazione ai requisiti applicabili in tema di gestione del rischio, governance dei dati, documentazione tecnica, logging, supervisione umana, robustezza e cybersecurity.
Allineamento delle evidenze alle funzioni GOVERN, MAP, MEASURE e MANAGE.
Mapping verso i gruppi Annex A: policy, organizzazione, impatto, ciclo di vita, dati, informazioni, uso, terze parti.
Documenti utilizzabili da board, CISO, CIO, Risk Management e Compliance - non un semplice punteggio.
Maturità complessiva, aree di esposizione, rischi prioritari, punti di forza, gap e raccomandazioni strategiche.
Matrice dei 12 controlli: stato, evidenze raccolte, gap, livello di rischio, owner, remediation e priorità.
Vista sintetica delle aree di rischio, immediatamente leggibile da management, CISO, CIO e Compliance.
Mapping di evidenze e gap verso i requisiti applicabili dell'EU AI Act, NIST AI RMF, ISO/IEC 42001 e ADG.
Piano operativo per priorità e complessità: Quick Win, Priority Actions e Strategic Initiatives.
Si parte dall'auto-valutazione gratuita, si approfondisce con l'assessment completo, si consolida con la governance continuativa.
Prima fotografia del livello di maturità AI, generata in autonomia e senza rilascio di dati personali.
Ideale per: management, PMI e organizzazioni nelle prime fasi di adozione dell'AI.
Avvia ora · GratuitoValutazione approfondita dell'intero ecosistema AI aziendale, condotta dal nostro team con verifica delle evidenze.
Ideale per: organizzazioni che utilizzano già AI in processi o ambienti di produzione.
Richiedi il Full AssessmentAccompagnamento continuo nell'implementazione e nel mantenimento dei controlli, con reporting verso management e board.
Ideale per: organizzazioni che vogliono trasformare l'assessment in un programma strutturato.
Parla con un consulenteMolto probabilmente sì. Il Regolamento ha portata extraterritoriale: si applica a chi immette sistemi o modelli di AI sul mercato dell'Unione, a chi li utilizza essendo stabilito nell'UE e, a determinate condizioni, anche a soggetti di Paesi terzi quando l'output del sistema viene utilizzato nell'Unione. Per un'organizzazione che serve clienti europei il perimetro va verificato sistema per sistema: è esattamente il primo esito dell'assessment.
No. Non chiediamo nome, email, ragione sociale né alcun dato identificativo. Il questionario si svolge interamente nel browser; raccogliamo solo statistiche aggregate e anonime (numero di assessment completati e distribuzione dei punteggi) per calibrare il servizio.
Dipende dal perimetro: numero di sistemi AI, ambienti coinvolti e disponibilità delle evidenze. In media un assessment completo si articola su alcune settimane tra discovery, interviste, verifica documentale e produzione dei deliverable. Il perimetro viene definito insieme prima dell'avvio.
No. L'assenza di documentazione è essa stessa un risultato dell'assessment: il metodo è progettato per fotografare la situazione reale, non per premiare la carta. Nelle prime fasi di adozione l'assessment serve proprio a definire da dove partire.
No. Il crosswalk correla i controlli e le evidenze ai principali riferimenti di governance e sicurezza dell'AI, supportando la preparazione alla compliance e riducendo il lavoro duplicato. Non costituisce una certificazione né una verifica formale di conformità normativa, che restano di competenza degli organismi accreditati.
Sì. Il registro di tool, API e capability accessibili all'AI (MC-7), i limiti di autorità degli agent, il monitoraggio runtime (MC-8) e i playbook di incident response AI-specifici (MC-9) sono parte integrante del perimetro di valutazione.
Tipicamente IT, Security, Risk, Compliance, Legal e i referenti di business che hanno introdotto o utilizzano soluzioni AI. La combinazione dei punti di vista è ciò che fa emergere lo scarto tra AI dichiarata e AI effettivamente in uso.
L'AI Quick Assessment è gratuito, anonimo e immediato. Al termine ottenete un report con il vostro maturity score, le aree di esposizione, il livello di preparazione rispetto alle aree di requisito dell'EU AI Act e le priorità di intervento.
