Best EU AI Act compliance software 2026: A buyer's guide
Aggiornato a ottobre 2026. Il software di conformità all'EU AI Act si divide in quattro categorie: automazione GRC, governance dell'IA aziendale, osservabilità degli LLM e control plane a runtime. Come scegliere, dove acquistare e quanto costa per GDPR e AI Act insieme, con le dichiarazioni dei fornitori verificate a ottobre 2026 e una scheda di valutazione.
Risposta breve
Scegliete in base al compito. L'automazione GRC (Vanta, Drata, Secureframe) gestisce GDPR e AI Act in un unico programma. La governance dell'IA aziendale (OneTrust, Credo AI, Holistic AI, IBM watsonx.governance) tiene l'inventario dell'IA e le valutazioni d'impatto. L'osservabilità degli LLM serve l'ingegneria. Un control plane a runtime trattiene le azioni ad alto rischio per l'approvazione e registra le evidenze. KLA, editore di questa guida, vende quest'ultima categoria.
Per le aziende
Usa una piattaforma di governance IA enterprise (OneTrust, Credo AI, Holistic AI) come sistema di record per discovery e valutazioni d’impatto, poi aggiungi un control plane runtime (KLA) per applicare e dimostrare la supervisione umana sui Processes ad alto rischio.
Per le startup
Se l’IA è uno dei framework SOC 2, ISO 27001 e GDPR, una piattaforma GRC (Vanta, Drata) è il punto di partenza più economico. Se il prodotto è IA ad alto rischio o agentica, dai priorità a un control plane runtime per evidenze pronte per l’audit sulle decisioni con esposizione normativa.
Per GDPR + AI Act
Abbina un sistema di record per la governance a un control plane runtime. Un’unica traccia di audit delle decisioni automatizzate e della supervisione umana serve sia un’autorità di protezione dei dati (articoli 22 e 35 GDPR) sia un’autorità di vigilanza del mercato (articoli 14 e 27 AI Act).
Dichiarazione di interesse: KLA pubblica questa guida e vende KLA Control Plane, che rientra nella categoria dei control plane a runtime. Descriviamo gli altri fornitori a partire dalle loro pagine di prodotto e di prezzo, verificate a ottobre 2026, e colleghiamo ogni fonte. La guida raggruppa i prodotti per compito e non li classifica.
"Software di conformità per l'IA" copre quattro tipi di prodotto: automazione GRC, governance dell'IA aziendale, osservabilità di LLM e agenti, e control plane a runtime. I confini si sono spostati nel 2026. Drata e Vanta annunciano prodotti di governance degli agenti, e OneTrust e Holistic AI descrivono il blocco o l'escalation delle azioni degli agenti a runtime. Usate le categorie per fissare il compito e mettete alla prova ogni fornitore su quel compito.
Le scadenze sono ormai legge. Il Digital Omnibus on AI è stato pubblicato in Gazzetta ufficiale come Regolamento (UE) 2026/1744 il 24 luglio 2026 ed è in vigore dal 27 luglio 2026. I sistemi ad alto rischio autonomi (Allegato III) devono essere conformi dal 2 dicembre 2027, e l'IA ad alto rischio incorporata in prodotti regolamentati (Allegato I) dal 2 agosto 2028. Gli obblighi di trasparenza dell'articolo 50 si applicano dal 2 agosto 2026; il periodo di grazia per la marcatura dei contenuti generati dall'IA termina il 2 dicembre 2026.
Anche la prima norma armonizzata è disponibile. Il 14 ottobre 2026 la Commissione ha citato la EN 18286:2026, la norma sul sistema di gestione della qualità, in Gazzetta ufficiale (Decisione di esecuzione (UE) 2026/2274). I provider che la applicano ottengono una presunzione di conformità per i requisiti dell'articolo 17 che copre.
In sintesi
Per prima cosa definisca il suo sistema di record, di solito una piattaforma di AI governance enterprise, o una piattaforma GRC se l’AI rientra in un programma più ampio. Poi decida se i suoi workflow a più alto rischio richiedono anche un control plane runtime per applicare e documentare la decisione effettiva. La maggior parte dei deployer regolamentati finisce per usarli entrambi, perché un record di governance e una prova di esecuzione a livello di singolo caso sono due cose diverse.
Ultimo aggiornamento: 20 ottobre 2026 · Versione v3.0 · Non costituisce consulenza legale.
Risposta citabile
Oggetto di citazione
Fonti primarie
- EUR-Lex: Regolamento (UE) 2024/1689 (Regolamento sull’IA)
- Commissione europea: calendario di attuazione del Regolamento sull’IA
- Consiglio dell’UE: comunicato sull’AI Omnibus
Aggiornamento:
Come KLA Control Plane implementa questo controllo
- Capacità
- /platform/live-intercepts
- Riferimento tecnico
- /resources/evidence-room-sample
- Risorsa pratica
- Selettore di software EU AI Act
La risposta in 30 secondi
| Categoria | Compito principale | Esempi | Massima aderenza all'EU AI Act | Cosa verificare | Sceglietela quando |
|---|---|---|---|---|---|
| Automazione GRC | Gestire la conformità dell'IA in un programma multi-framework che copre già il GDPR | Vanta, Drata, Secureframe | Gestione del programma, inventari, evidenze trasversali (SOC 2, ISO 27001, ISO 42001, GDPR, AI Act) | La governance degli agenti è recente: Vanta indica una lista d'attesa, Drata una disponibilità limitata | L'IA è un ambito di rischio tra tanti e volete un'unica sede per tutti |
| Governance dell'IA aziendale | Un sistema di riferimento per l'IA: individuazione, classificazione, valutazioni d'impatto | OneTrust, Credo AI, Holistic AI, IBM watsonx.governance | Articoli 9 e 11, valutazioni d'impatto, governance trasversale | Quali ambienti di esecuzione supporta l'applicazione delle regole e come viene registrata un'approvazione umana | Serve una governance strutturata su un ampio portafoglio di sistemi di IA |
| Osservabilità di LLM e agenti | Tracciare, valutare e monitorare le applicazioni LLM | LangSmith, Langfuse, Arize AI | Log di ingegneria utili per l'articolo 12 e i test dell'articolo 15 | Durata di conservazione, formato di esportazione e chi può modificare una traccia | L'ingegneria deve fare debug e valutare modelli e agenti |
| Control plane a runtime | Valutare ogni azione ad alto impatto di un agente prima dell'esecuzione, trattenerla per l'approvazione umana e registrare evidenze verificabili | KLA (editore di questa guida) | Supervisione dell'articolo 14, registrazioni dell'articolo 12 con controllo di integrità, evidenze dell'Allegato IV per i workflow governati | Framework di agenti e percorsi di integrazione supportati | Gli agenti compiono azioni ad alto rischio e dovete mostrare a un auditor chi ha approvato cosa |
GDPR e AI Act insieme: come scegliere, dove acquistare, quanto costa
GDPR e AI Act chiedono registrazioni che si sovrappongono. Un sistema di IA che usa dati personali per prendere o preparare decisioni sulle persone spesso richiede una valutazione d'impatto sulla protezione dei dati (DPIA, articolo 35 del GDPR). Se il sistema è ad alto rischio, il deployer può dover svolgere anche una valutazione d'impatto sui diritti fondamentali (FRIA, articolo 27 dell'AI Act) dal 2 dicembre 2027. L'articolo 26, paragrafo 9, chiede ai deployer di usare le istruzioni per l'uso del provider (articolo 13) per la loro DPIA, e l'articolo 27, paragrafo 4, prevede che la FRIA integri una DPIA che copre già parte dei suoi punti. Un software per entrambe le norme deve tenere un'unica descrizione del sistema e un'unica catena di evidenze dietro le due valutazioni.
Come scegliere. (1) Annotate i vostri ruoli: titolare o responsabile del trattamento secondo il GDPR, provider o deployer secondo l'AI Act. (2) Segnate nella tabella gli obblighi che vi riguardano. (3) Chiedete a ogni fornitore di mostrare un record che serva a un'autorità per la protezione dei dati e a un'autorità di vigilanza del mercato, per esempio una decisione automatizzata riesaminata con il revisore, le informazioni mostrate e l'esito. (4) Valutate le risposte con la scheda di valutazione.
Dove acquistare. Tutti i fornitori di questa guida vendono direttamente. Langfuse, LangSmith e Arize pubblicano piani self-service; le piattaforme GRC, di governance dell'IA e di controllo a runtime lavorano su preventivo. Prima di firmare, chiedete una regione di hosting nell'UE, un accordo sul trattamento dei dati ai sensi dell'articolo 28 del GDPR, l'elenco dei sub-responsabili, il meccanismo di trasferimento extra UE e un'esportazione completa dei vostri dati se cambiate fornitore.
Quanto costa. Prezzi pubblicati a ottobre 2026: Langfuse Cloud Hobby gratuito, Core 29 USD, Pro 199 USD ed Enterprise 2.499 USD al mese, gratuito in self-hosting; LangSmith Developer gratuito e Plus 39 USD per utente al mese; Arize AX Free e AX Pro 50 USD al mese. Lo SAFR Production Sprint di KLA parte da 5.000 EUR per quattro settimane, e Production è fatturato per applicazione di IA, modello o processo governato. L'uso oltre il volume incluso si paga a parte. Per le piattaforme su preventivo chiedete l'unità di prezzo, il prezzo del secondo anno e il costo delle esportazioni in uscita.
Le modifiche al GDPR sono ancora una proposta. La proposta Digital Omnibus della Commissione del 19 novembre 2025 (COM(2025) 837) modificherebbe parti del GDPR. A ottobre 2026 attendeva una decisione di commissione al Parlamento europeo (procedura 2025/0360(COD)), quindi acquistate secondo il GDPR vigente. Il generatore DPIA e FRIA gratuito svolge le due valutazioni in un solo passaggio con un registro dei rischi comune.
| Obbligo | GDPR | EU AI Act | Cosa deve conservare il software |
|---|---|---|---|
| Valutazione d'impatto | DPIA per i trattamenti ad alto rischio (art. 35) | FRIA per alcuni deployer di sistemi dell'Allegato III dal 2 dic. 2027 (art. 27); la FRIA integra una DPIA esistente (art. 27, par. 4) | Una descrizione del sistema, un elenco dei rischi e un elenco dei responsabili comuni alle due valutazioni |
| Decisioni sulle persone | Diritti sulle decisioni interamente automatizzate con effetti giuridici o analoghi, incluso l'intervento umano (art. 22) | Supervisione umana dei sistemi ad alto rischio (art. 14); i deployer affidano la supervisione a persone competenti (art. 26, par. 2) | Ogni caso riesaminato: revisore, informazioni mostrate, decisione, ora |
| Registri | Registro delle attività di trattamento (art. 30) | Log automatici (art. 12); i deployer conservano i log per almeno sei mesi (art. 26, par. 6) | Un registro dei trattamenti e log per esecuzione con una regola di conservazione |
| Informazioni alle persone | Informative agli interessati (artt. 13 e 14) | Trasparenza dell'articolo 50 dal 2 ago. 2026; i deployer di sistemi dell'Allegato III informano le persone interessate (art. 26, par. 11) | Versioni delle informative e date in cui ciascuna è stata mostrata |
| Informazioni del provider | Il titolare si basa sull'accordo con il responsabile (art. 28) | I deployer usano le istruzioni per l'uso del provider (art. 13) per la loro DPIA (art. 26, par. 9) | Documentazione del provider conservata con DPIA e FRIA |
Cosa dichiara di fare ogni fornitore (verificato a ottobre 2026)
Ogni riga riassume la pagina pubblica del fornitore. Queste pagine cambiano spesso e descrivono le funzioni con le parole del fornitore; verificate disponibilità e ambito in una demo. KLA è l'editore di questa guida.
In una conversazione con un acquirente, una società di servizi professionali che crea molti agenti in un builder low-code ospitato ci ha chiesto approvazioni e controlli sull'uso degli strumenti per agenti che girano nel cloud di un altro fornitore. La questione di progetto era dove si trova il punto di controllo. Il controllo in linea richiede che ogni chiamata a uno strumento passi dal punto di controllo prima dell'esecuzione. Leggere in seguito il log di audit della piattaforma di agenti consente solo il rilevamento. Chiedete a ogni fornitore quale delle due opzioni offre per la vostra piattaforma di agenti.
| Fornitore | Categoria | Cosa descrive la pagina del fornitore | Disponibilità indicata | Fonte |
|---|---|---|---|---|
| Vanta | Automazione GRC | Modelli e controlli ISO 42001 riutilizzabili per l'EU AI Act. Un prodotto di governance dell'IA che mappa agenti, modelli, prompt e dati, attesta i casi d'uso dell'EU AI Act e avvisa in caso di attività fuori dai limiti approvati. | Governance dell'IA: lista d'attesa | AI governance, ISO 42001 |
| Drata | Automazione GRC | Framework ISO 42001. AI Agent Governance individua gli agenti, confronta comandi e chiamate agli strumenti con le regole, blocca le violazioni prima dell'esecuzione e registra ogni decisione in modo non alterabile, con corrispondenza a ISO 42001, EU AI Act e AIUC-1. | Governance degli agenti: disponibilità limitata | Agent governance, ISO 42001 |
| Secureframe | Automazione GRC | Framework supportati: ISO 42001, NIST AI RMF ed EU AI Act, con mappatura dei controlli, test automatici ed evidenze trasversali. | Non indicata | Framework offering |
| OneTrust | Governance dell'IA aziendale | Inventario di sistemi di IA, agenti, modelli, dataset e fornitori. Modelli per EU AI Act, NIST AI RMF e ISO 42001. Monitoraggio a runtime per Amazon Bedrock e Microsoft Foundry. Applicazione di guardrail che può bloccare, consentire, oscurare, inoltrare in escalation o reindirizzare. | Non indicata | AI governance |
| Credo AI | Governance dell'IA aziendale | AI Registry per sistemi, agenti, fornitori e modelli. Policy pack per EU AI Act, NIST AI RMF e ISO 42001. Monitoraggio tramite strumenti di osservabilità collegati. | Agent Governor: anteprima di ricerca | credo.ai |
| Holistic AI | Governance dell'IA aziendale | Individuazione e inventario. Controlli mappati su EU AI Act, NIST AI RMF e ISO/IEC 42001. Test su bias, allucinazioni e prompt injection. Agenti che bloccano o sospendono le azioni non conformi degli agenti. | Non indicata | holisticai.com |
| IBM watsonx.governance | Governance dell'IA aziendale | Governance del ciclo di vita, gestione del rischio, rilevamento della shadow AI e applicazione delle policy. Elenca l'EU AI Act tra i framework supportati. | Prova di 14 giorni | watsonx.governance |
| LangSmith | Osservabilità | Tracciamento e valutazione di applicazioni LLM e agenti. Cloud negli USA o nell'UE, ibrido o self-hosted con Enterprise. | Developer gratuito; Plus 39 USD per utente al mese | Pricing |
| Langfuse | Osservabilità | Tracciamento e valutazione open source. Regioni cloud negli USA, nell'UE e in Giappone. | Self-hosting gratuito; cloud da gratuito a 2.499 USD al mese | Pricing |
| Arize AI | Osservabilità | Phoenix (open source) e Arize AX: tracciamento, valutazioni, monitor e code di annotazione umana. | AX Free; AX Pro 50 USD al mese | Pricing |
| KLA (editore) | Control plane a runtime | Valuta ogni azione proposta da un agente come allow, warn, require_approval o block; invia le approvazioni a Decision Desk; esporta un Sealed Evidence Bundle con una verifica indipendente. | SAFR Production Sprint da 5.000 EUR | Prezzi |
Di quale layer ha davvero bisogno?
Abbini il sintomo alla categoria prima di confrontare le funzionalità.
“Gestiamo SOC 2, ISO 27001 e GDPR, e l’AI è il prossimo framework.”
“Abbiamo decine di sistemi AI e nessun luogo unico per inventariarli, classificarli e valutarli.”
“I nostri ingegneri devono fare debugging di prompt, latenza e comportamento dei modelli.”
“Stiamo lasciando che un agente compia azioni che richiedono un umano nel loop, e dovremo dimostrarlo a un regolatore.”
“È vero più di uno dei punti precedenti.”
Cosa richiede davvero l'EU AI Act
Sistema di gestione del rischio (Articolo 9): identificazione e mitigazione continue dei rischi.
- Sistema di gestione del rischio (Articolo 9): identificazione e mitigazione continue dei rischi.
- Data governance (Articolo 10): standard di qualità per dati di training e validazione.
- Documentazione tecnica (Articolo 11 + Allegato IV): documentazione completa del sistema AI.
- Registrazione delle operazioni (Articolo 12): logging automatico delle operazioni del sistema.
- Trasparenza (Articolo 13): informazioni chiare per i deployer.
- Supervisione umana (Articolo 14): meccanismi per monitoraggio e intervento umano.
- Accuratezza, robustezza e cybersecurity (Articolo 15): standard di performance e sicurezza.
- Monitoraggio post-market (Articolo 72): sorveglianza continua dopo il rilascio.
Categorie di strumenti che i buyer confrontano davvero
Piattaforme GRC (governance, rischio e conformità)
Esempi: Vanta, Drata, Secureframe
Punti di forza
- Gestione multi-framework della compliance (SOC 2, ISO 27001, GDPR, EU AI Act).
- Monitoraggio continuo di infrastruttura cloud e sistemi aziendali.
- Automazione di documentazione, evidenze e workflow di compliance.
- Gestione del rischio di terze parti e questionari di sicurezza.
- Trust report e dashboard di compliance.
Limiti
- Non sempre offrono governance al livello esatto del singolo workflow o agente AI.
- Le evidenze tendono a concentrarsi su configurazioni, processi e artefatti di programma più che su ogni esecuzione.
- Le code di approvazione umana profondamente integrate nel percorso d’azione dell’agente non sono di solito il focus principale.
- La verifica indipendente dell’integrità delle evidenze non è sempre un capability di prodotto completo.
Ideale per: Organizzazioni che gestiscono più framework di compliance e vogliono includere l’EU AI Act in un programma più ampio. Particolarmente utili quando l’AI è una capability dentro un prodotto o un’operazione aziendale estesa.
Copertura EU AI Act: Forti su documentazione, inventory, raccolta di evidenze e gestione del programma. Più eterogenee quando serve governance operativa workflow per workflow.
Dashboard di AI governance
Esempi: OneTrust, Credo AI, Holistic AI, IBM watsonx.governance
Punti di forza
- Inventory e catalogazione dei sistemi AI.
- Assessment di impatto algoritmico e audit sul bias.
- Scoring e tracciamento del rischio dei modelli.
- Orchestrazione dei workflow di governance.
- Framework di policy per AI responsabile.
Limiti
- L’enforcement runtime non è di solito la capability distintiva principale.
- Le code di approvazione live per decisioni dell’agente non sono sempre integrate nell’esecuzione.
- Le evidenze tendono a basarsi su assessment e processi, non su ogni azione reale del sistema.
- L’integrazione diretta nel percorso operativo dell’agente può richiedere un’altra componente.
Ideale per: Organizzazioni che hanno bisogno di programmi strutturati di AI governance, inventory e workflow di assessment. Sono particolarmente utili per imprese con ampi portafogli di sistemi AI.
Copertura EU AI Act: Forti su risk management, inventory e documentazione. Più disomogenee quando si tratta di dimostrare supervisione umana operativa ai sensi dell’Articolo 14 in tempo reale.
Piattaforme di osservabilità per LLM
Esempi: LangSmith, Langfuse, Arize AI
Punti di forza
- Tracing e debugging di applicazioni LLM.
- Versioning dei prompt e sperimentazione.
- Monitoraggio di performance e latenza.
- Tracking dei costi su più provider LLM.
- Gestione dei dataset per la valutazione.
Limiti
- Non sono costruite per produrre evidenze di compliance: i log sono pensati per gli sviluppatori, non per gli auditor.
- Non offrono workflow di approvazione umana né output di documentazione di compliance.
- Non esiste una verifica dell’integrità su cui un revisore esterno possa fare affidamento.
Ideale per: Team di engineering che costruiscono e fanno debugging di applicazioni LLM. Sono essenziali per sviluppo e operations, ma non sostituiscono un layer di compliance.
Copertura EU AI Act: Possono supportare l’Articolo 12 tramite logging e trace, ma quel materiale è in genere pensato per sviluppatori, non per audit regolatori.
Control plane runtime
Esempi: KLA (editore di questa guida)
Punti di forza
- Applicazione di policy al momento della decisione.
- Code di approvazione umana con escalation e override.
- Raccolta di evidenze collegata a esecuzioni AI reali.
- Pacchetti di evidenze con integrità verificata per auditor.
- Controlli di governance a livello di workflow.
Limiti
- Non sono uno strumento GRC multi-framework né un orchestratore della governance a livello enterprise.
- Non sono una suite di osservabilità in fase di sviluppo, e non si occupano di training o sperimentazione dei modelli.
- Sono il layer per la decisione, non il programma che la circonda.
Ideale per: Organizzazioni che distribuiscono agenti AI con decisioni ad alto rischio che richiedono supervisione umana ed evidenze pronte per audit.
Copertura EU AI Act: Particolarmente forti su Articolo 14, Articolo 12 con garanzie di integrità e generazione di evidenze riutilizzabili per la documentazione dell’Allegato IV.
Quale obbligo copre ciascun layer?
| Obbligo | Cosa richiede | Layer che aiuta in via primaria |
|---|---|---|
| Gestione del rischio (Art. 9) | Identificazione e mitigazione continue dei rischi | Piattaforma di governance |
| Governance dei dati (Art. 10) | Standard di qualità per i dati di training e validazione | Piattaforma di governance |
| Documentazione tecnica (Art. 11 + Allegato IV) | Documentazione completa del sistema | Piattaforma di governance + evidenze runtime |
| Registrazione delle operazioni (Art. 12) | Logging automatico delle operazioni del sistema | Control plane runtime (livello auditor) / osservabilità (log per sviluppatori) |
| Trasparenza verso i deployer (Art. 13) | Informazioni chiare per i deployer | Piattaforma di governance |
| Supervisione umana (Art. 14) | Meccanismi per monitoraggio e intervento umano | Control plane runtime |
| Accuratezza, robustezza, cybersecurity (Art. 15) | Standard di performance e sicurezza | Osservabilità + piattaforma di governance |
| Sistema di gestione della qualità (Art. 17) | Un QMS documentato per i provider | Piattaforma GRC / di governance |
| Monitoraggio post-market (Art. 72) | Sorveglianza continua dopo il rilascio | Control plane runtime + piattaforma di governance |
| Segnalazione degli incidenti (Art. 73) | Segnalazione di incidenti gravi | Piattaforma di governance + evidenze runtime |
Come valutare i fornitori
Ruolo e ambito
Chiarisca se sta acquistando per un provider, per un deployer o per entrambi, e se questo strumento è il suo sistema di record o un layer specializzato.
Da cercare
- Chiarezza sulle responsabilità di provider e deployer.
- Supporto al suo modello operativo di governance tra team legale, compliance ed engineering.
- Una risposta realistica sul fatto che questo strumento sia il suo sistema di record primario o un layer specializzato.
- Una visione chiara di dove un altro strumento dovrebbe completarlo in uno stack ad alto rischio.
Chiedi
- Quali obblighi dell’EU AI Act supportate per i provider, i deployer o entrambi?
- Siete il sistema di record, il control layer runtime o un complemento di un’altra piattaforma?
- Dove vi aspettate che un altro strumento vi completi in uno stack ad alto rischio?
Profondità runtime
Oggi la maggior parte dei fornitori dichiara "governance runtime". La vera domanda è se questo significhi guardrail e monitoraggio, oppure un’autorità reale su un’azione di business.
Da cercare
- Applicazione di policy al momento dell’esecuzione.
- Capacità di fermare, reindirizzare o richiedere un’approvazione prima che l’azione si completi.
- Integrazione nel percorso decisionale, non solo un flusso di monitoraggio a valle.
- Una distinzione chiara tra posture runtime, review a valle e gate di approvazione inline.
Chiedi
- Cosa succede nel prodotto quando un’azione ad alto rischio deve essere bloccata in attesa di review?
- Supportate approvatori nominati, percorsi di escalation e cattura degli override per le azioni di business?
- Quali controlli sono inline e quali sono monitoraggio o review a posteriori?
Evidenze e prontezza all’audit
Gli auditor hanno bisogno di evidenze, non di dashboard. La qualità delle evidenze conta moltissimo.
Da cercare
- Evidenze collegate a una specifica esecuzione AI.
- Mappatura chiara ai requisiti documentali dell’Allegato IV.
- Formati strutturati con cui gli auditor possano lavorare.
- Completezza del pacchetto di evidenze.
Chiedi
- Potete mostrarmi un esempio di export di evidenze collegato a una singola esecuzione?
- Come si mappa ai requisiti dell’Allegato IV?
- Quale formato riceve concretamente un auditor?
Verificabilità indipendente
È il discriminante più netto: un auditor può fidarsi delle evidenze, oppure deve fidarsi di voi?
Da cercare
- Verifica crittografica dell’integrità.
- Storage con evidenza di manomissione.
- Meccanismi di verifica indipendente.
- Documentazione della catena di custodia.
Chiedi
- Come può un auditor verificare che le evidenze non siano state modificate?
- Lo storage è a prova di manomissione, con documentazione della catena di custodia?
- La verifica può avvenire senza accedere alla vostra piattaforma?
Operatività dopo il go-live
Il modo in cui un prodotto si comporta una volta in produzione (sotto pressione di SLA, cambi di policy e retention pluriennale) è dove molti strumenti vengono silenziosamente meno.
Da cercare
- Workflow di approvazione che degradano in modo controllato quando un revisore manca uno SLA.
- Un processo definito per monitoraggio post-market, incidenti e cambi di policy.
- Retention ed export delle evidenze su più anni.
- Documentazione delle azioni di supervisione e degli override.
Chiedi
- Come si comportano i workflow di approvazione quando un revisore manca uno SLA?
- Come gestite monitoraggio post-market, incidenti e cambi di policy?
- Come si presenta la retention delle evidenze nell’arco di diversi anni?
Scheda di valutazione
Copiate questa tabella in un foglio di calcolo, aggiungete una colonna per fornitore e compilatela con demo e documenti. Annotate fonte e data di verifica, perché le pagine e la disponibilità cambiano. Assegnate a ogni riga 0 (non mostrato), 1 (descritto nella documentazione) o 2 (mostrato funzionante sui vostri dati).
| Criterio | Evidenza da richiedere | Fonte e data di verifica | Punteggio (0–2) |
|---|---|---|---|
| Aderenza ai ruoli | Quali ruoli dell'AI Act (provider, deployer) e del GDPR (titolare, responsabile) supporta il prodotto | ||
| DPIA e FRIA | Entrambe le valutazioni costruite da un'unica descrizione del sistema (GDPR art. 35, AI Act art. 27) | ||
| Supervisione umana | Un'approvazione registrata di un'azione con conseguenze: revisore, informazioni mostrate, decisione, ora | ||
| Controllo a runtime | Una demo dal vivo di un'azione trattenuta o bloccata prima dell'esecuzione, e cosa riceve l'agente | ||
| Registrazioni e conservazione | Schema dei log, impostazione di conservazione ed esportazione di un'esecuzione (AI Act artt. 12, 19, 26, par. 6) | ||
| Integrità delle evidenze | Come un revisore esterno verifica che un'esportazione non sia stata alterata, senza accedere al prodotto | ||
| Mappatura sulle norme | Per i provider: modelli di SGQ collegati alle clausole della EN 18286:2026 | ||
| Condizioni di protezione dei dati | Accordo ai sensi dell'art. 28 del GDPR, elenco dei sub-responsabili, regione di hosting UE, meccanismo di trasferimento | ||
| Costo | Unità di prezzo, prezzo del primo e del secondo anno, eccedenze, esportazione in uscita | ||
| Disponibilità | Se ogni funzione valutata è disponibile, in anteprima o in lista d'attesa |
Raccomandazioni per caso d'uso
GRC esteso con copertura EU AI Act
Vanta, Drata o OneTrust
Punti di forza
- Efficienza multi-framework
- Ecosistema di fornitori consolidato
- Reporting e trust report
Gap
- La governance runtime dell’AI può essere meno profonda rispetto al layer di programma
- Le evidenze sono spesso più vicine a configurazione e processo che a ogni singola esecuzione
Struttura di programma per AI governance
Credo AI o Holistic AI
Punti di forza
- Framework di governance specifici per AI
- Metodologie di assessment
- Template di policy
Gap
- L’enforcement runtime può richiedere un altro layer
- Le evidenze tendono a basarsi più su assessment che su esecuzione operativa
Osservabilità LLM orientata all’engineering
LangSmith, Langfuse o Arize AI
Punti di forza
- Esperienza sviluppatore
- Capacità di debugging
- Visibilità tecnica sulle performance
Gap
- Non sono progettate per evidenze di compliance
- Non sostituiscono workflow di governance
Governance decisionale ed evidenze pronte per audit
KLA
Punti di forza
- Governance runtime
- Controlli al momento della decisione
- Export di evidenze verificabili
Gap
- È più focalizzato sull’AI che sulla gestione multi-framework
- Richiede integrazione con il percorso di esecuzione AI
Servono sia la copertura della governance enterprise sia la prova runtime
OneTrust o Vanta più KLA
Punti di forza
- Sistema di record della governance più evidenze a livello di workflow
- Migliore allineamento tra policy, supervisione ed esecuzione in produzione
- Postura più difendibile per workflow ad alto rischio
Gap
- Maggiore coordinamento dell’implementazione
- Occorre definire quale strumento gestisce ciascun controllo
Uno stack di compliance realistico
GRC multi-framework
Categoria: Piattaforma GRC
Esempio: Vanta o OneTrust
Inventario e valutazioni IA
Categoria: Dashboard di AI governance
Esempio: Credo AI
Sviluppo e debugging LLM
Categoria: Piattaforma di osservabilità
Esempio: LangSmith
Governance runtime ed evidenze
Categoria: Control plane
Esempio: KLA
Cronoprogramma pratico verso le nuove scadenze
Ora (ottobre 2026)
- Completare l'inventario e la classificazione dei sistemi di IA.
- Annotare i ruoli: provider o deployer secondo l'AI Act, titolare o responsabile secondo il GDPR.
- Verificare la trasparenza dell'articolo 50, applicabile dal 2 agosto 2026.
Entro il 2 dicembre 2026
- Completare la marcatura leggibile da macchina dei contenuti generati dall'IA prima della fine del periodo di grazia.
- Verificare i sistemi rispetto ai nuovi divieti dell'articolo 5 applicabili da quella data.
Nel corso del 2027, fino al 2 dicembre 2027 (Allegato III)
- Completare documentazione tecnica, procedure di supervisione, la FRIA dove richiesta ed esportazioni delle evidenze.
- Provider: allineare il SGQ alla EN 18286:2026.
- Svolgere una prova di audit su campioni reali di workflow ed evidenze conservate.
Fino al 2 agosto 2028 (prodotti dell'Allegato I)
- Allineare le evidenze AI Act alla valutazione della conformità settoriale del prodotto.
- Convalidare conservazione, esportazione e monitoraggio successivo all'immissione sul mercato (articolo 72).
La decisione, in una riga
Nessun prodotto copre da solo strategia di governance, evidenze dei sistemi circostanti, osservabilità per gli sviluppatori e controllo a runtime a livello di workflow. Scegliete prima il vostro sistema di riferimento, poi decidete se i workflow più rischiosi hanno bisogno anche di un control plane a runtime. Chiedete a ogni fornitore tre cose: quanto arriva in profondità il suo controllo a runtime, quanto sono portabili e verificabili le sue evidenze e quali funzioni sono disponibili oggi.
La nostra categoria, detta chiaramente: KLA è uno strato di esecuzione che affianca la vostra piattaforma GRC o di governance dell'IA. Valuta ogni azione proposta da un agente rispetto alle regole nel percorso di esecuzione, invia le azioni ad alto impatto all'approvazione umana e sigilla le evidenze perché un auditor possa verificarle.
Se state scegliendo un sistema di riferimento, partite da una piattaforma di governance. Se state scegliendo come controllare e registrare le azioni di IA ad alto rischio, prenotate una demo o consultate i prezzi.
Domande frequenti
- Qual è il miglior software di conformità all'EU AI Act?
- Nessun prodotto è il migliore per ogni acquirente. Questo software si divide in quattro categorie (automazione GRC, governance dell'IA aziendale, osservabilità degli LLM e control plane a runtime) e molti team regolamentati ne usano due: un sistema di riferimento per la governance e un modo per controllare e registrare ciò che fa in produzione la loro IA più rischiosa. Valutate i candidati con la scheda di valutazione di questa pagina.
- Come scegliere un software di conformità per GDPR ed EU AI Act insieme?
- Partite dai vostri ruoli: titolare o responsabile del trattamento secondo il GDPR, provider o deployer secondo l'AI Act. Elencate gli obblighi comuni: valutazioni d'impatto (DPIA e FRIA), intervento umano sulle decisioni automatizzate (articolo 22 del GDPR, articolo 14 dell'AI Act), registri (articolo 30 del GDPR, articoli 12 e 26, paragrafo 6, dell'AI Act) e informazioni alle persone. Chiedete poi a ogni fornitore di mostrare un record che serva a entrambe le autorità e verificate il suo accordo sul trattamento dei dati ai sensi dell'articolo 28 del GDPR.
- Dove acquistare un software di conformità per GDPR ed EU AI Act?
- Direttamente dal fornitore. Gli strumenti di osservabilità come Langfuse, LangSmith e Arize pubblicano prezzi self-service. Le piattaforme GRC, di governance dell'IA e di controllo a runtime vendono su preventivo. Prima di firmare, chiedete una regione di hosting nell'UE, un accordo sul trattamento dei dati ai sensi dell'articolo 28 del GDPR, l'elenco dei sub-responsabili e un'esportazione completa dei vostri dati a fine contratto.
- Quanto costa un software di conformità per GDPR ed EU AI Act?
- Prezzi pubblicati a ottobre 2026: Langfuse Cloud da gratuito a 2.499 USD al mese, gratuito in self-hosting; LangSmith Plus 39 USD per utente al mese; Arize AX Pro 50 USD al mese. KLA inizia con uno SAFR Production Sprint di quattro settimane a partire da 5.000 EUR. Le piattaforme GRC e di governance dell'IA quotano per contratto: chiedete l'unità di prezzo (utenti, framework, sistemi di IA o agenti) e il prezzo del secondo anno.
- Quando si applicano gli obblighi ad alto rischio dell'EU AI Act?
- Il Regolamento (UE) 2026/1744, il Digital Omnibus on AI, è stato pubblicato in Gazzetta ufficiale il 24 luglio 2026 ed è in vigore dal 27 luglio 2026. Sposta al 2 dicembre 2027 gli obblighi per i sistemi ad alto rischio autonomi dell'Allegato III, la FRIA dell'articolo 27 e la registrazione dell'articolo 49, e al 2 agosto 2028 l'IA ad alto rischio incorporata nei prodotti dell'Allegato I. Gli obblighi di trasparenza dell'articolo 50 si applicano dal 2 agosto 2026; il periodo di grazia per la marcatura dei contenuti generati dall'IA termina il 2 dicembre 2026.
- La norma EN 18286 cambia cosa acquistare?
- Il 14 ottobre 2026 la Commissione ha pubblicato in Gazzetta ufficiale il riferimento della EN 18286:2026, la norma sul sistema di gestione della qualità ai fini dell'AI Act (Decisione di esecuzione (UE) 2026/2274). I provider che la applicano ottengono una presunzione di conformità ai sensi dell'articolo 40 per i requisiti dell'articolo 17 che copre. Se siete provider, chiedete ai fornitori se i loro modelli di SGQ rimandano alle clausole della EN 18286.
- KLA ha un interesse commerciale in questa guida?
- Sì. KLA pubblica questa guida e vende KLA Control Plane, un control plane a runtime. Gli altri fornitori sono descritti a partire dalle loro pagine pubbliche, verificate a ottobre 2026. La guida non stila classifiche.
Link correlati
Requisiti e guida all’acquisto del software di audit per agenti IA
/blog/ai-agent-audit-software-requirements-vendor-categories
Multe e sanzioni dell’Articolo 99
/blog/eu-ai-act-fines-article-99
Interattivo: quale categoria di software ti serve?
/tools/eu-ai-act-software-selector
KLA per il software di conformità all’EU AI Act
/eu-ai-act-compliance-software
KLA vs Vanta (GRC)
/compare/vanta
KLA vs OneTrust (governance IA)
/compare/onetrust
KLA vs LangSmith (osservabilità)
/compare/langsmith
Strumento gratuito: generatore FRIA
/tools/fria-generator
Strumento gratuito: generatore DPIA + FRIA (GDPR + AI Act)
/tools/dpia-fria-generator
Strumento gratuito: classificatore IA ad alto rischio
/tools/risk-classifier
Strumento gratuito: dichiarazione di applicabilità ISO 42001
/tools/iso-42001-soa
Strumento gratuito: verifica della preparazione all’AMLR 2027
/tools/amlr-readiness
Strumento gratuito: registro dell’Articolo 30 DORA
/tools/dora-article-30
Control Mapping
/control-mapping
Checklist del pacchetto di evidenze
/resources/evidence-pack-checklist
Avvia il pilota governato di 4 settimane
/book-demo
Fonti
EUR-Lex: Regolamento (UE) 2024/1689 (legge sull'intelligenza artificiale)
https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32024R1689
EUR-Lex: Regolamento (UE) 2026/1744 (Digital Omnibus on AI)
https://eur-lex.europa.eu/eli/reg/2026/1744/oj/ita
EUR-Lex: Decisione di esecuzione (UE) 2026/2274 (riferimento EN 18286:2026)
https://eur-lex.europa.eu/eli/dec_impl/2026/2274/oj
EUR-Lex: Regolamento (UE) 2016/679 (GDPR)
https://eur-lex.europa.eu/eli/reg/2016/679/oj/ita
Parlamento europeo, Osservatorio legislativo: Digital Omnibus 2025/0360(COD)
https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025/0360(COD)
BSI: EN 18286:2026 harmonized (14 October 2026)
https://www.bsigroup.com/en-GB/insights-and-media/media-centre/press-releases/2026/october/en-18286-2026-harmonized-a-significant-milestone-for-ai-act-compliance/
European Commission: AI Act
https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
Vanta: AI governance
https://www.vanta.com/products/ai-governance
Vanta: ISO 42001
https://www.vanta.com/products/iso-42001
Drata: AI agent governance
https://drata.com/products/agent-governance
Secureframe: framework offering
https://support.secureframe.com/en/articles/15111107-secureframe-framework-offering
OneTrust: AI governance
https://www.onetrust.com/solutions/ai-governance/
Credo AI
https://www.credo.ai/
Holistic AI
https://www.holisticai.com/
IBM watsonx.governance
https://www.ibm.com/products/watsonx-governance
LangSmith pricing
https://www.langchain.com/pricing
Langfuse pricing
https://langfuse.com/pricing
Arize AI pricing
https://arize.com/pricing/
Documentazione KLA
https://kla.digital/docs
Sicurezza KLA
https://kla.digital/security
Prezzi KLA
https://kla.digital/pricing
Execution lineage sample export (sanitized)
https://kla.digital/downloads/evidence-room-sample.pdf