Cosa deve contenere una gara per un gateway LLM o una piattaforma di IA?

Dove sono trattati i dati, cosa viene conservato, chi può usarli per l'addestramento, i sub-responsabili e l'accordo sul trattamento dei dati, identità e accesso (SSO, SCIM, chiavi), il controllo della spesa, quali modelli e fornitori sono consentiti, i log di audit e la loro esportazione, il supporto agli obblighi del deployer secondo l'AI Act, le condizioni di uscita e lo SLA. Questo capitolato copre ogni area con 43 requisiti e le prove da richiedere.

Le stazioni appaltanti possono usare questo capitolato in una gara pubblica?

Sì. È libero da copiare e modificare. Le stazioni appaltanti lo usano in genere come allegato tecnico al capitolato e aggiungono al contratto le clausole contrattuali tipo dell'UE per l'IA (MCC-AI), che sono volontarie. Verificate i requisiti alla luce della normativa sugli appalti che vi si applica e segnate quelli obbligatori prima della pubblicazione.

Cosa sono le clausole contrattuali tipo dell'UE per l'IA?

Clausole modello per l'acquisto di sistemi di IA, pubblicate dalla Community of Practice on Public Procurement of AI sulla Public Buyers Community della Commissione europea. L'aggiornamento di marzo 2025 comprende una versione completa per l'IA ad alto rischio e una versione ridotta (Light) per le altre IA. Sono volontarie e pensate come allegato a un contratto, che deve comunque disciplinare protezione dei dati, responsabilità e proprietà intellettuale.

Un fornitore di modelli è un sub-responsabile di un gateway di IA?

Di norma sì. Quando un gateway inoltra a un fornitore di modelli prompt che contengono dati personali, quel fornitore tratta i dati per conto del gateway. Per questo le righe 13 e 14 chiedono un elenco dei sub-responsabili che comprenda i fornitori di inferenza e un preavviso prima che se ne aggiungano di nuovi.

Per quanto tempo una piattaforma di IA dovrebbe conservare i log delle richieste?

Per gli usi ad alto rischio, l'articolo 26, paragrafo 6, dell'AI Act chiede ai deployer di conservare i log sotto il loro controllo per almeno sei mesi, salvo diversa disposizione di altre norme. Molti acquirenti chiedono 12 mesi di registrazioni delle richieste con soli metadati e nessun contenuto conservato.

Capitolato tecnico per la gara di un gateway LLM o di una piattaforma di IA

Aggiornato il 9 novembre 2026. Libero da copiare, modificare e usare nei vostri documenti di gara.

Un'azienda o un ente pubblico che acquista accesso ai modelli linguistici di grandi dimensioni per il personale e le applicazioni acquista di solito un gateway: un account e un'API davanti a più fornitori di modelli. Questo capitolato elenca 43 requisiti per questo acquisto, raggruppati nell'ordine in cui li affronta una verifica di sicurezza e di procurement. Per ogni requisito indica perché conta e quale prova chiedere all'offerente.

È neutrale rispetto al fornitore e funziona come allegato tecnico per una richiesta di offerta, una gara pubblica o una valutazione di sicurezza dei fornitori. Per le condizioni contrattuali specifiche dell'IA, abbinatelo alle clausole contrattuali tipo dell'UE per l'IA (MCC-AI), volontarie, pubblicate nel marzo 2025 sulla Public Buyers Community della Commissione europea.

Scarica il capitolato (.md)Foglio di calcolo (.csv)

Il CSV si apre in Excel, Google Sheets o Numbers, con colonne vuote per il peso, la risposta dell'offerente e la prova ricevuta.

I requisiti

Ogni requisito è formulato in modo che l'offerente possa rispondere in un paragrafo e allegare la prova. Segnate quelli obbligatori per voi, pesate gli altri ed eliminate ciò che non si applica.

1. Ubicazione dei dati

N.	Requisito	Perché conta	Prova da richiedere
1	Regione di trattamento. Il fornitore può limitare l'inferenza a una regione indicata dalla stazione appaltante, come UE/SEE o Europa, per l'intera organizzazione, un team o una singola chiave API, compresi nuovi tentativi e fallback.	Perché contaI gateway passano da un fornitore all'altro in caso di guasto. Senza una regola di regione che copra ogni tentativo, un fallback può spostare un prompt in un'altra giurisdizione senza che nessuno se ne accorga.	Prova da richiedereLa politica di instradamento per il traffico limitato, gli endpoint ammessi per ogni regione con la loro ubicazione e cosa accade quando nessun endpoint della regione può servire una richiesta.
2	Definizione della regione. Il fornitore indica quali paesi comprende ogni regione, per esempio solo UE/SEE, oppure anche Regno Unito, Svizzera o altri paesi.	Perché contaI materiali commerciali usano spesso Europa e UE come sinonimi. La vostra valutazione dei trasferimenti dipende dall'elenco esatto.	Prova da richiedereUna definizione scritta di ogni regione e il luogo di trattamento di ciascun sub-responsabile che ne fa parte.
3	Ubicazione dell'ingresso e del gateway. Il fornitore indica dove termina TLS, dove gira il gateway e quale nome host usare per il trattamento regionale.	Perché contaUna richiesta può essere servita da un modello nella regione giusta e passare comunque prima per una rete edge globale.	Prova da richiedereI nomi host per regione, il fornitore di hosting e la regione del load balancer e del gateway, e un diagramma del flusso dei dati.
4	Ubicazione di metadati e log. Il fornitore indica dove sono conservati e trattati dati dell'account, registrazioni d'uso, log operativi, backup ed email.	Perché contaLe risposte sulla residenza dei dati riguardano spesso solo i prompt. Anche i metadati contengono dati personali come nomi, indirizzi email e indirizzi IP.	Prova da richiedereUn luogo di conservazione per ogni categoria di dati, compresi backup ed email transazionali.

2. Durata di conservazione e conservazione zero dei dati

N.	Requisito	Perché conta	Prova da richiedere
5	Nessuna conservazione dei contenuti da parte del fornitore. Il fornitore tratta prompt e output solo per servire la richiesta, oppure indica esattamente quali contenuti conserva, dove e per quanto tempo.	Perché contaIl gateway vede ogni prompt inviato dalla vostra organizzazione. La sua conservazione è la prima esposizione da verificare.	Prova da richiedereUna descrizione del flusso dei dati, lo schema dei log con i campi scritti e la clausola corrispondente dell'accordo sul trattamento dei dati.
6	Conservazione zero dei dati presso i fornitori di modelli. La stazione appaltante può esigere che le richieste vadano solo a endpoint di modelli che si impegnano a non conservare alcuna copia dei contenuti, a livello di organizzazione, team o chiave, senza che i livelli inferiori possano disattivarlo.	Perché contaI fornitori di modelli conservano di norma i prompt per un periodo a fini di monitoraggio degli abusi, salvo che per l'endpoint valga un accordo di conservazione zero.	Prova da richiedereLe condizioni di conservazione di ogni fornitore, come l'impostazione viene applicata a ogni richiesta e quali funzioni sono disattivate mentre è attiva.
7	Funzioni che conservano contenuti. Il fornitore elenca ogni funzione che conserva contenuti (caching dei prompt, risposte memorizzate, stato della conversazione, file, job batch) con il periodo di conservazione e l'impostazione che la disattiva.	Perché contaGli impegni di conservazione prevedono di solito eccezioni per alcune funzioni. L'elenco mostra dove si trovano.	Prova da richiedereUn elenco delle funzioni con il periodo di conservazione di ciascuna e il controllo che la disattiva.
8	Cancellazione a fine contratto. Il fornitore cancella o restituisce i dati della stazione appaltante entro un termine stabilito dopo la fine del servizio e lo conferma per iscritto.	Perché contaL'articolo 28, paragrafo 3, lettera g), del GDPR richiede che il contratto con il responsabile del trattamento disciplini la cancellazione o la restituzione al termine della prestazione dei servizi.	Prova da richiedereLa clausola dell'accordo sul trattamento dei dati con il termine, la gestione dei backup e un esempio di conferma di cancellazione.

3. Addestramento e uso dei dati

N.	Requisito	Perché conta	Prova da richiedere
9	Nessun addestramento da parte del fornitore. Il fornitore non usa prompt, output o metadati per addestrare o migliorare modelli.	Perché contaL'addestramento è l'uso che gli acquirenti escludono più spesso, e l'esclusione vincola solo se è nel contratto.	Prova da richiedereLa clausola del contratto o dell'accordo sul trattamento dei dati e la sezione corrispondente dell'informativa privacy.
10	Nessun addestramento da parte dei fornitori di modelli. Il fornitore instrada il traffico della stazione appaltante solo verso fornitori che si impegnano a non usarlo per l'addestramento, e spiega come ciò viene applicato a ogni richiesta.	Perché contaL'impegno del gateway non vincola i fornitori di modelli che stanno dietro.	Prova da richiedereLe condizioni di ogni fornitore per endpoint, il meccanismo di applicazione e il traffico che copre.
11	Altri usi secondari. Il fornitore indica se contenuti o metadati sono usati per analisi, benchmark, miglioramento del prodotto o revisione umana, e come opporsi.	Perché contaGli usi secondari restano fuori dalle istruzioni che un titolare del trattamento dà a un responsabile, salvo che siano concordati.	Prova da richiedereUn elenco degli usi secondari, la politica di revisione umana e l'impostazione per opporsi.

4. Sub-responsabili e accordo sul trattamento dei dati

N.	Requisito	Perché conta	Prova da richiedere
12	Accordo sul trattamento dei dati. Un accordo ai sensi dell'articolo 28 del GDPR è disponibile prima della firma e disciplina materia, durata, istruzioni, riservatezza, sicurezza, assistenza, cancellazione e audit.	Perché contaL'articolo 28, paragrafo 3, elenca ciò che il contratto con il responsabile del trattamento deve contenere. Un gateway tratta dati personali in ogni prompt che menziona una persona.	Prova da richiedereIl testo dell'accordo, la legge applicabile e le modalità di firma.
13	Elenco dei sub-responsabili. Il fornitore pubblica ogni sub-responsabile del trattamento con la finalità, i dati trattati e l'ubicazione, compresi i fornitori di modelli e di inferenza.	Perché contaIn un gateway, ogni fornitore di modelli che può servire il vostro traffico è un sub-responsabile.	Prova da richiedereL'URL dell'elenco e la data dell'ultima modifica.
14	Preavviso di nuovi sub-responsabili. Il fornitore dà un preavviso di durata stabilita prima di aggiungere o sostituire un sub-responsabile, con diritto di opposizione.	Perché contaL'articolo 28, paragrafo 2, richiede che il titolare del trattamento sia informato delle modifiche e abbia la possibilità di opporsi.	Prova da richiedereLa clausola dell'accordo con il termine di preavviso e il canale usato per le comunicazioni.
15	Trasferimenti internazionali. Per ogni trattamento fuori dal SEE, il fornitore indica lo strumento di trasferimento (decisione di adeguatezza, clausole contrattuali tipo, UK IDTA).	Perché contaI trasferimenti richiedono una base giuridica ai sensi del capo V del GDPR, e la stazione appaltante documenta la propria valutazione.	Prova da richiedereGli allegati delle clausole contrattuali tipo e una sintesi della valutazione d'impatto sui trasferimenti del fornitore.
16	Notifica delle violazioni. Il fornitore notifica le violazioni dei dati personali senza ingiustificato ritardo ed entro un numero di ore stabilito.	Perché contaIl titolare del trattamento ha 72 ore per notificare l'autorità di controllo ai sensi dell'articolo 33, quindi il termine del responsabile deve essere uguale o più breve.	Prova da richiedereLa clausola dell'accordo, una sintesi del processo di risposta agli incidenti e il contatto per la sicurezza.

5. Identità e accesso

N.	Requisito	Perché conta	Prova da richiedere
17	Single sign-on. Accesso con SAML 2.0 o OpenID Connect tramite il provider di identità della stazione appaltante, come Microsoft Entra ID, Okta o Google Workspace, per la console di amministrazione e per gli utenti.	Perché contaGli account di lavoro legano l'accesso al rapporto di lavoro e applicano le politiche di MFA e di accesso dell'acquirente.	Prova da richiedereProtocolli e provider di identità supportati, la guida di configurazione e una connessione di prova.
18	SSO obbligatorio. La stazione appaltante può imporre l'SSO a tutti gli utenti e disattivare password e altri metodi di accesso.	Perché contaUn SSO affiancato alle password lascia account fuori dal controllo del provider di identità.	Prova da richiedereL'impostazione e come tratta le sessioni aperte e le chiavi API esistenti.
19	Provisioning degli utenti. Provisioning e deprovisioning SCIM 2.0 dal provider di identità, con mappatura dei gruppi su ruoli o team.	Perché contaSenza deprovisioning, chi lascia l'organizzazione mantiene l'accesso finché qualcuno non si ricorda di toglierlo.	Prova da richiedereLe risorse SCIM supportate (utenti, gruppi) e in quanto tempo il deprovisioning revoca sessioni e chiavi.
20	Ruoli e chiavi API. Accesso basato sui ruoli, una chiave per persona e per applicazione, chiavi con ambito limitato e revoca immediata.	Perché contaLe chiavi condivise nascondono chi ha inviato quale richiesta e non si possono revocare per una sola persona.	Prova da richiedereLa matrice dei ruoli e il ciclo di vita delle chiavi: creazione, ambito, rotazione e revoca.
21	App desktop e agenti di programmazione. Il fornitore indica come i dipendenti si autenticano nelle app di IA desktop e negli agenti di programmazione (per esempio Claude Desktop, Claude Code ed estensioni per IDE): con l'account di lavoro o con chiavi distribuite.	Perché contaÈ in questi strumenti che compaiono account personali e chiavi copiate al di fuori del procurement.	Prova da richiedereLa guida di configurazione e l'elenco degli strumenti supportati.

6. Controllo della spesa

N.	Requisito	Perché conta	Prova da richiedere
22	Budget ai livelli che gestite. Limiti mensili rigidi per utente, per applicazione e per team o reparto, che bloccano la spesa al raggiungimento del limite.	Perché contaAgenti e job batch possono consumare in poche ore il budget di un mese. Un limite che si limita ad avvisare è solo un report.	Prova da richiedereI livelli supportati e cosa accade al limite: blocco, avviso o sforamento fatturato.
23	Tetto per l'organizzazione e avvisi. Un tetto per l'intera organizzazione e avvisi prima che un limite venga raggiunto.	Perché contaL'amministrazione ha bisogno di una cifra che non può essere superata, qualunque cosa accada ai livelli inferiori.	Prova da richiedereLe impostazioni e i canali di avviso.
24	Prezzi e fatturazione. Prezzo per modello o per piano, la valuta di fatturazione, fatture con i dati aziendali e la partita IVA dell'acquirente, e report dei costi per utente e applicazione per il riaddebito interno.	Perché contaI prezzi per token variano tra i modelli di ordini di grandezza, quindi la valutazione richiede la base di prezzo e la reportistica.	Prova da richiedereIl listino prezzi, una fattura di esempio e un report d'uso di esempio.

7. Accesso ai modelli ed elenchi consentiti

N.	Requisito	Perché conta	Prova da richiedere
25	Catalogo dei modelli. I modelli di frontiera e open-weight offerti, e quali sono disponibili con ciascuna regola di regione.	Perché contaUn modello non disponibile nella vostra regione non è più disponibile per voi appena la regola di regione è attiva.	Prova da richiedereUn elenco dei modelli per regione e la politica di aggiunta di nuovi modelli.
26	Elenchi di modelli consentiti. Gli amministratori scelgono quali modelli può usare ogni team, applicazione o chiave. Le richieste ad altri modelli vengono rifiutate.	Perché contaUn'approvazione di modello che esiste solo in un documento di policy non impedisce a nessuno di chiamare un altro modello.	Prova da richiedereL'impostazione e l'errore restituito per un modello non consentito.
27	Elenchi di fornitori consentiti. Gli amministratori scelgono quali fornitori di inferenza possono servire il traffico. I fallback rispettano l'elenco e nessun nuovo fornitore viene aggiunto senza approvazione.	Perché contaUn fornitore aggiunto dall'offerente è un nuovo luogo in cui i vostri dati vengono trattati.	Prova da richiedereL'impostazione, come i fallback la applicano e cosa accade quando l'offerente aggiunge un fornitore.
28	Modifiche ai modelli. Il fornitore dà preavviso del ritiro dei modelli e dei cambi di versione, e la stazione appaltante può fissare una versione.	Perché contaUn cambio di modello silenzioso altera la qualità degli output e può invalidare la valutazione fatta per un caso d'uso.	Prova da richiedereLa politica di ritiro dei modelli e il canale di comunicazione.
29	Trasparenza dell'instradamento. Se il fornitore instrada automaticamente tra modelli o fornitori, per costo o disponibilità, documenta le regole e registra quale modello e quale fornitore hanno servito ogni richiesta.	Perché contaL'instradamento automatico ha valore solo se potete vedere dove è andata ogni richiesta.	Prova da richiedereLa documentazione dell'instradamento e una registrazione di esempio per richiesta.

8. Log di audit ed esportazione

N.	Requisito	Perché conta	Prova da richiedere
30	Log di audit amministrativo. Ogni modifica a utenti, chiavi, budget e policy, con autore, data e ora, e valori precedente e nuovo.	Perché contaI revisori chiedono chi ha cambiato una policy e quando. Senza i valori precedente e nuovo, il log non può dire cosa è cambiato.	Prova da richiedereUna voce di log di esempio e il periodo di conservazione.
31	Log delle richieste. Per ogni richiesta: data e ora, utente o chiave, modello, fornitore che l'ha servita, regola di regione, stato, token e costo, senza contenuti salvo attivazione da parte dell'acquirente, con un periodo di conservazione stabilito.	Perché contaPer gli usi ad alto rischio, l'articolo 26, paragrafo 6, dell'AI Act chiede ai deployer di conservare i log sotto il loro controllo per almeno sei mesi. Il log delle richieste è anche la prova dell'inventario dell'IA.	Prova da richiedereL'elenco dei campi, il periodo di conservazione e un'esportazione di esempio.
32	Esportazione. I log si esportano in CSV o tramite API e possono essere inviati al SIEM della stazione appaltante.	Perché contaLe registrazioni che l'acquirente non può estrarre non gli servono per il proprio audit.	Prova da richiedereFormati, limiti di righe o di periodo e documentazione dell'API.

9. Obblighi del deployer secondo l'AI Act

N.	Requisito	Perché conta	Prova da richiedere
33	Supporto per inventario e alfabetizzazione. Il fornitore fornisce le informazioni di cui l'acquirente ha bisogno per l'inventario dell'IA e per le misure di alfabetizzazione in materia di IA dell'articolo 4: i modelli usati da ogni applicazione, i loro fornitori e i loro limiti documentati.	Perché contaL'articolo 4 si applica dal 2 febbraio 2025, e l'inventario è il punto di partenza di ogni altro obbligo dell'AI Act.	Prova da richiedereRegistrazioni di modello e fornitore per applicazione e link alla documentazione dei modelli.
34	Usi ad alto rischio. Se l'acquirente userà il servizio per una finalità elencata nell'allegato III, il fornitore indica il proprio ruolo ai sensi dell'AI Act e accetta le clausole pertinenti delle clausole contrattuali tipo dell'UE per l'IA.	Perché contaGli obblighi del deployer per l'allegato III si applicano dal 2 dicembre 2027 e dipendono da informazioni che hanno solo il fornitore e il fornitore del modello.	Prova da richiedereLa dichiarazione del fornitore sul proprio ruolo e un allegato MCC-AI compilato (High Risk o Light).
35	Documentazione dei modelli di IA per finalità generali. Per ogni modello di IA per finalità generali offerto, il fornitore indica il link alla documentazione che il suo fornitore mette a disposizione dei fornitori a valle e alla sintesi pubblica dei contenuti usati per l'addestramento.	Perché contaL'articolo 53 obbliga i fornitori di modelli di IA per finalità generali a renderla disponibile, e gli acquirenti la archiviano per modello.	Prova da richiedereI link per modello e la data di consultazione.
36	Trasparenza. Il fornitore indica se gli output recano una marcatura leggibile da una macchina e come supporta gli obblighi di informazione dell'acquirente.	Perché contaGli obblighi di trasparenza dell'articolo 50 si applicano dal 2 agosto 2026.	Prova da richiedereLe informazioni sulla marcatura per modello e indicazioni per l'informativa.

10. Uscita e portabilità

N.	Requisito	Perché conta	Prova da richiedere
37	Interfaccia standard. L'API segue un'interfaccia diffusa, come il formato chat completions compatibile con OpenAI, così che le applicazioni possano cambiare fornitore senza essere riscritte.	Perché contaUn'interfaccia proprietaria trasforma il cambio di fornitore in un progetto software.	Prova da richiedereIl riferimento dell'API e gli SDK e gli strumenti noti per funzionare con essa.
38	Esportazione dei dati all'uscita. La stazione appaltante può esportare configurazione, utenti, metadati delle chiavi, utilizzo e log in un formato leggibile da una macchina prima e dopo la cessazione del contratto.	Perché contaSe il servizio è un servizio di trattamento dei dati ai sensi del regolamento sui dati (Data Act), il capo VI dà al cliente diritti di passaggio ad altro fornitore, e dal 12 gennaio 2027 non possono essere imposte tariffe di passaggio.	Prova da richiedereI formati di esportazione, l'assistenza offerta per la transizione e per quanto tempo i dati restano disponibili dopo la disdetta.
39	Durata e disdetta. Durata del contratto, termine di preavviso, eventuali corrispettivi per la cessazione e periodo di transizione.	Perché contaDurate lunghe e corrispettivi di cessazione determinano quanto costa uscire.	Prova da richiedereLe condizioni commerciali e la clausola di cessazione.

11. Supporto e SLA

N.	Requisito	Perché conta	Prova da richiedere
40	SLA di disponibilità. Un impegno di disponibilità mensile con crediti di servizio, il metodo di misura e le esclusioni.	Perché contaL'IA sta entrando nei processi produttivi, dove un'interruzione ha un costo.	Prova da richiedereIl documento SLA, la pagina di stato pubblica e la disponibilità degli ultimi 12 mesi.
41	Failover tra fornitori. Quando un fornitore di modelli non è disponibile, le richieste passano a un altro fornitore approvato dello stesso modello, nel rispetto delle regole di regione e degli elenchi consentiti.	Perché contaUn failover che ignora la regione o l'elenco consentito viola le regole proprio quando un incidente è già in corso.	Prova da richiedereIl design del failover e il numero di fornitori per modello con ogni regola di regione.
42	Supporto e comunicazione degli incidenti. Canali di supporto, tempi di risposta per gravità, lingue e modalità di comunicazione degli incidenti.	Perché contaIl processo di gestione degli incidenti dell'acquirente dipende da quello del fornitore.	Prova da richiedereLa politica di supporto, l'URL della pagina di stato e i rapporti sugli incidenti recenti.
43	Documentazione di sicurezza. Una panoramica della sicurezza, un questionario di sicurezza compilato e i report di assurance o le certificazioni del fornitore e dei suoi fornitori di hosting.	Perché contaÈ ciò che il team di sicurezza dell'acquirente esamina prima dell'approvazione. Chiederlo già in gara fa risparmiare un giro.	Prova da richiedereLa pagina sulla sicurezza, un questionario compilato come il questionario di sicurezza aperto per gateway LLM ed eventuali report.

Scarica il capitolato (.md)Foglio di calcolo (.csv)

Le risposte di Standard Compute

Standard Compute è un gateway di IA europeo: un account aziendale e un'API per Claude, GPT, Gemini e modelli aperti, gestito da Standard Compute AS a Oslo. Queste sono le nostre risposte ai requisiti sopra, con la formulazione che usiamo nella pagina sulla sicurezza e nel nostro accordo sul trattamento dei dati. I numeri si riferiscono alle righe del capitolato.

N.	Stato	La nostra risposta
N. 1	Disponibile, da attivare	Impostate una regola Europa per la vostra azienda, un team o una singola chiave, e ogni richiesta, compresi nuovi tentativi e fallback, è servita solo da endpoint di inferenza europei approvati. Se nessun endpoint europeo può servirla, la richiesta viene rifiutata prima che il vostro prompt sia inviato.
N. 2	Disponibile	Una regola Europa ammette solo gli endpoint di inferenza europei approvati indicati nel nostro elenco dei sub-responsabili, ciascuno con il proprio luogo di trattamento.
N. 3	Disponibile	Il nostro gateway UE su eu.stdcmpt.com termina TLS e gira in Finlandia, e i dati del vostro account sono conservati a Francoforte.
N. 4	Disponibile	I dati del vostro account e di utilizzo sono conservati a Francoforte, in Germania. Le registrazioni delle richieste contengono solo metadati (modello, fornitore, token, costo e stato), mai i vostri prompt o output. Ogni sub-responsabile della piattaforma è indicato con la sua ubicazione.
N. 5	Disponibile	Trattiamo i vostri prompt in memoria per servire ogni richiesta e non li scriviamo mai su supporti di memorizzazione o nei log.
N. 6	Disponibile, da attivare	Attivate la conservazione zero dei dati per la vostra azienda, un team o una chiave, e ogni richiesta viene instradata solo verso endpoint di inferenza che si impegnano a non conservare alcuna copia dei vostri dati. Team e chiavi ereditano il requisito e non possono mai disattivarlo.
N. 8	Disponibile	L'accordo sul trattamento dei dati prevede la cancellazione o la restituzione di tutti gli altri dati personali del cliente entro 30 giorni dalla cessazione (sezione 10).
N. 9, 10	Disponibile	Standard Compute non addestra mai modelli con i vostri prompt o output. Con una regola di regione o la conservazione zero attiva, ogni richiesta va solo a fornitori che si impegnano a non usarla per l'addestramento.
N. 12, 16	Disponibile	Firmate il nostro accordo sul trattamento dei dati nella dashboard in pochi minuti. Ci impegna a non addestrare modelli con i vostri dati, a non conservare i vostri contenuti e a notificare le violazioni entro 72 ore. L'accordo è regolato dal diritto norvegese.
N. 13, 14	Disponibile	Pubblichiamo ogni sub-responsabile con finalità, dati e ubicazione, e vi diamo 14 giorni di preavviso prima di aggiungerne uno nuovo.
N. 15	Disponibile	I trasferimenti fuori dal SEE o dal Regno Unito verso un paese senza decisione di adeguatezza sono regolati dalle clausole contrattuali tipo dell'UE e, per i dati del Regno Unito, dall'UK IDTA (accordo sul trattamento dei dati, sezione 6).
N. 17	Disponibile	Collegate Microsoft Entra ID o qualsiasi provider di identità SAML, così il vostro personale accede a Standard Compute con l'account di lavoro. Chi appartiene al vostro dominio verificato entra automaticamente nella vostra azienda.
N. 18	In parte	L'accesso SAML è disponibile per ogni azienda con SSO. L'accesso con password resta disponibile accanto a esso, quindi l'SSO non è l'unica via d'accesso.
N. 19, 21	Disponibile	I dipendenti accedono a Claude Desktop e Claude Code con il loro account di lavoro Microsoft, attraverso il nostro gateway UE, senza chiavi API da distribuire. L'accesso segue i vostri gruppi di Microsoft Entra tramite provisioning SCIM.
N. 20	Disponibile	Organizzate la vostra azienda in team, invitate i colleghi via email e date a ogni persona e a ogni app la propria chiave, tutto sotto un unico account aziendale. I ruoli sono amministratore e membro.
N. 22, 23	In parte	Ogni persona e ogni app ha un budget mensile fisso che non viene mai superato, e potete fissare limiti di spesa per chiave e per l'intera azienda. Non esiste un budget distinto per team: i team si gestiscono attraverso i budget delle loro persone e app.
N. 24	Disponibile	Piani mensili fissi per persona o app, senza sorprese sui token, e fatture Stripe con la ragione sociale e la partita IVA della vostra azienda. I prezzi sono in dollari statunitensi.
N. 25	Disponibile	Usate i principali modelli aperti, tra cui GLM, DeepSeek, MiniMax e Kimi, insieme a Claude, GPT e Gemini attraverso un'unica API. GLM, DeepSeek e MiniMax sono serviti anche da fornitori europei per gli spazi di lavoro limitati all'Europa.
N. 26	Disponibile	Decidete quali modelli può usare ogni chiave, così ogni app e ogni membro del team ha esattamente i modelli che approvate.
N. 27	Disponibile	Scegliete esattamente quali fornitori di inferenza possono trattare i vostri dati, per l'intera azienda, un team o una singola chiave. I livelli inferiori possono solo restringere le regole, nessun nuovo fornitore viene aggiunto senza l'approvazione di un amministratore e i fallback non possono mai aggirare il vostro elenco.
N. 29	Disponibile	Ogni passaggio va al modello più economico in grado di svolgerlo e al fornitore più economico abbastanza veloce da servirlo, e la registrazione della richiesta mostra il modello e il fornitore che l'ha servita.
N. 30, 31, 32	Disponibile	Ogni modifica amministrativa è registrata con i valori precedente e nuovo, e potete esportare una registrazione di ogni richiesta con il modello, il fornitore che l'ha servita e la regola di regione in vigore, conservata per 12 mesi. Le esportazioni sono in CSV.
N. 33	Disponibile	Una chiave per persona e per app, i modelli che ogni chiave può usare, e il modello e il fornitore di ogni richiesta: le registrazioni che chiede la nostra checklist AI Act per il deployer.
N. 37	Disponibile	Un'API compatibile con OpenAI (formato chat completions) per ogni modello, documentata nel riferimento dell'API.
N. 40, 41	Disponibile	Se un fornitore va giù, la vostra richiesta passa automaticamente a un altro fornitore approvato dello stesso modello, senza uscire dalle vostre regole di regione o di fornitore. Enterprise include uno SLA di disponibilità mensile del 99,9% con crediti di servizio. Lo stato in tempo reale è pubblico su /status.
N. 43	Disponibile	La nostra pagina sulla sicurezza, il nostro questionario di sicurezza compilato, l'elenco dei sub-responsabili e l'accordo sul trattamento dei dati sono pubblici.

Le righe non elencate si rispondono nella vostra offerta insieme al vostro referente in Standard Compute. Il capitolato sopra resta neutrale: usatelo con qualsiasi fornitore.

Crea un account aziendale

Domande

Cosa deve contenere una gara per un gateway LLM o una piattaforma di IA?: Dove sono trattati i dati, cosa viene conservato, chi può usarli per l'addestramento, i sub-responsabili e l'accordo sul trattamento dei dati, identità e accesso (SSO, SCIM, chiavi), il controllo della spesa, quali modelli e fornitori sono consentiti, i log di audit e la loro esportazione, il supporto agli obblighi del deployer secondo l'AI Act, le condizioni di uscita e lo SLA. Questo capitolato copre ogni area con 43 requisiti e le prove da richiedere.
Le stazioni appaltanti possono usare questo capitolato in una gara pubblica?: Sì. È libero da copiare e modificare. Le stazioni appaltanti lo usano in genere come allegato tecnico al capitolato e aggiungono al contratto le clausole contrattuali tipo dell'UE per l'IA (MCC-AI), che sono volontarie. Verificate i requisiti alla luce della normativa sugli appalti che vi si applica e segnate quelli obbligatori prima della pubblicazione.
Cosa sono le clausole contrattuali tipo dell'UE per l'IA?: Clausole modello per l'acquisto di sistemi di IA, pubblicate dalla Community of Practice on Public Procurement of AI sulla Public Buyers Community della Commissione europea. L'aggiornamento di marzo 2025 comprende una versione completa per l'IA ad alto rischio e una versione ridotta (Light) per le altre IA. Sono volontarie e pensate come allegato a un contratto, che deve comunque disciplinare protezione dei dati, responsabilità e proprietà intellettuale.
Un fornitore di modelli è un sub-responsabile di un gateway di IA?: Di norma sì. Quando un gateway inoltra a un fornitore di modelli prompt che contengono dati personali, quel fornitore tratta i dati per conto del gateway. Per questo le righe 13 e 14 chiedono un elenco dei sub-responsabili che comprenda i fornitori di inferenza e un preavviso prima che se ne aggiungano di nuovi.
Per quanto tempo una piattaforma di IA dovrebbe conservare i log delle richieste?: Per gli usi ad alto rischio, l'articolo 26, paragrafo 6, dell'AI Act chiede ai deployer di conservare i log sotto il loro controllo per almeno sei mesi, salvo diversa disposizione di altre norme. Molti acquirenti chiedono 12 mesi di registrazioni delle richieste con soli metadati e nessun contenuto conservato.

Fonti

Rispondete all'intero capitolato con un solo fornitore: un gateway europeo verso modelli di frontiera e aperti, con tutti i controlli in un unico account aziendale.