Registro di audit dell'IA
Un registro di audit dell'IA è una traccia di chi ha cambiato le impostazioni di IA e di come è stata usata l'IA: le modifiche degli amministratori a persone, chiavi e regole e, per ogni richiesta, il modello e il provider che l'hanno servita e la regola in vigore.
Perché conta per le aziende
Revisioni di sicurezza, gestione degli incidenti e autorità di controllo chiedono tutte prove di come è controllato l'uso dell'IA, e un registro è quella prova.
Un registro di metadati, senza il contenuto dei prompt, fornisce la prova senza creare un nuovo archivio di testi riservati.
Esempio
Durante l'analisi di un incidente, il CISO esporta il record delle richieste di una chiave: ogni chiamata nel periodo, il modello, il provider che l'ha servita e la regola di regione applicata.
Cosa significa per un'azienda che usa API di IA
Decidete che cosa dovrete dimostrare in seguito e registrate quello: di solito chi ha cambiato quale impostazione e, per ogni richiesta, l'utente o la chiave, il modello, il provider, la regione e l'esito. Tenete i prompt fuori dal registro se non avete un motivo per conservarli, perché un log pieno di prompt diventa a sua volta un archivio di dati sensibili. Se usate un sistema di IA classificato ad alto rischio dall'AI Act, per esempio un'IA che seleziona le candidature, i deployer devono conservare i log generati automaticamente che sono sotto il loro controllo per almeno sei mesi.
Dove è definito: Per i sistemi di IA ad alto rischio le regole le fissa l'AI Act: l'articolo 12 prevede che questi sistemi consentano la registrazione automatica degli eventi («log»), e l'articolo 26, paragrafo 6, impone ai deployer di conservare tali log per almeno sei mesi. Per gli altri usi dell'IA nessuna legge prescrive un formato.
Cosa fa Standard Compute
Ogni modifica di un amministratore viene registrata con il valore precedente e quello nuovo, e potete esportare un record di ogni richiesta con il modello, il provider che l'ha servita e la regola di regione applicata, conservato per 12 mesi.
Domande frequenti delle aziende
- L'AI Act ci obbliga a registrare ogni prompt?
- No. Gli obblighi di registrazione degli articoli 12 e 26 riguardano i sistemi di IA ad alto rischio e gli eventi che quei sistemi registrano. Dopo l'omnibus digitale (regolamento (UE) 2026/1744), le regole sull'alto rischio per i sistemi dell'allegato III si applicano dal 2 dicembre 2027.
- Un registro di audit dell'IA deve contenere i prompt?
- Di solito no. Metadati come utente, chiave, modello, provider, token ed esito rispondono alla maggior parte delle domande di sicurezza e di costo. Conservare il testo dei prompt crea un'altra copia di dati riservati, che va protetta e ha bisogno di un periodo di conservazione.
- Per quanto tempo conservare i log dell'IA?
- Abbastanza a lungo per la gestione degli incidenti, gli audit e gli obblighi di legge. Per i sistemi di IA ad alto rischio l'AI Act prevede almeno sei mesi per i deployer, salvo diversamente disposto dal diritto dell'Unione o nazionale applicabile, in particolare in materia di protezione dei dati personali.