IA per le compagnie assicurative, con i controlli che una verifica di esternalizzazione richiede
Standard Compute è il gateway IA con cui imprese di assicurazione e riassicurazione mettono Claude, GPT e modelli open source al servizio di liquidazione sinistri, assunzione dei rischi e servizio clienti, con i controlli che una verifica DORA e di esternalizzazione secondo Solvibilità II richiede. Con un'unica API, ogni passaggio va al modello più economico in grado di svolgerlo.
Con la regola Europa e la conservazione zero attive, i dati degli assicurati, compresi quelli sanitari, sono trattati in Europa, non vengono conservati da alcun fornitore, non sono mai usati per l’addestramento e passano solo dai fornitori che approvate, con un registro di ogni richiesta per 12 mesi.
Crea un account aziendaleoppure scriveteci a contact@standardcompute.com
Le risposte brevi
- Cosa chiede il Codice delle assicurazioni private quando un’impresa esternalizza?
- L’articolo 30-septies stabilisce che l’impresa che esternalizza funzioni o attività resta pienamente responsabile dei propri obblighi. L’esternalizzazione di funzioni o attività essenziali o importanti non deve aumentare indebitamente il rischio operativo né compromettere un servizio continuo e soddisfacente agli assicurati, e l’impresa informa tempestivamente l’IVASS prima dell’esternalizzazione. Il Regolamento IVASS n. 38/2018, Capo VIII, disciplina politica di esternalizzazione, accordi e controlli.
- Cosa si aspetta l’IVASS per i fornitori ICT e cloud?
- La lettera al mercato dell’11 marzo 2025 ricorda che DORA si applica alle imprese di assicurazione dal 17 gennaio 2025, che il Regolamento IVASS n. 38/2018 continua ad applicarsi insieme alle clausole contrattuali dell’articolo 30 di DORA e che il ricorso a subfornitori ICT non riduce la responsabilità dell’organo amministrativo. Per il registro delle informazioni, Standard Compute indica dove avviene il trattamento con la regola Europa e pubblica ogni sub-responsabile con 14 giorni di preavviso.
- La tariffazione nelle assicurazioni vita e malattia è un uso ad alto rischio secondo l’AI Act?
- L’allegato III, punto 5, lettera c), riguarda i sistemi di IA destinati alla valutazione dei rischi e alla determinazione dei prezzi per le persone fisiche nelle assicurazioni sulla vita e sanitarie. La Legge 132/2025 conferma l’IVASS come autorità di vigilanza del mercato per il settore. La qualificazione dipende dall’uso previsto dall’impresa, in quanto deployer (articolo 26). Con una chiave per applicazione e modelli approvati per chiave, un’applicazione di tariffazione resta separata dall’uso quotidiano dei team.
I vostri requisiti, collegati ai controlli del prodotto
Ciò che la funzione di gestione dei rischi e il responsabile della protezione dei dati di una compagnia verificano prima che i dati degli assicurati raggiungano un modello di IA, e il controllo che risponde a ogni punto.
| Cosa chiedono le norme | Come lo gestisce Standard Compute |
|---|---|
| Un fornitore soggetto alla stessa riservatezza dell’impresa (Regolamento delegato 2015/35, art. 274, par. 3, lett. f) | Attivate la conservazione zero dei dati e ogni richiesta va solo a endpoint di inferenza che si impegnano a non conservare alcuna copia dei vostri dati. Elaboriamo i prompt in memoria e non li scriviamo mai su disco né nei log. |
| Condizioni di subesternalizzazione note (art. 274, par. 4, lett. k) | Firmate il DPA nella dashboard in pochi minuti: nessun addestramento sui vostri dati, nessuna conservazione dei contenuti, notifica delle violazioni entro 72 ore. Ogni sub-responsabile è pubblicato, con 14 giorni di preavviso prima di aggiungerne uno nuovo. |
| Luoghi di trattamento indicati nel contratto e nel registro delle informazioni (DORA, artt. 28 e 30) | Impostate una regola Europa per l'azienda, un team o una singola chiave. Ogni richiesta, compresi i nuovi tentativi e i fallback, viene servita solo da endpoint di inferenza europei approvati, e una richiesta che nessun endpoint europeo può servire viene rifiutata prima che il prompt venga inviato. I dati di account e di utilizzo sono conservati a Francoforte e il gateway UE gira in Finlandia. I registri delle richieste contengono solo metadati (modello, fornitore, token, costo e stato), mai prompt o risposte. |
| I dati sanitari degli assicurati non addestrano modelli (GDPR, art. 9) | Standard Compute non addestra mai modelli sui vostri prompt o sulle risposte. Con una regola di regione o la conservazione zero attiva, ogni richiesta va solo a fornitori che si impegnano a non usarla per l'addestramento. |
| Rischio di concentrazione e scelta dei fornitori sotto controllo (DORA, art. 29) | Scegliete esattamente quali fornitori di inferenza possono trattare i vostri dati, per l'azienda, un team o una chiave. I livelli inferiori possono solo restringere l'elenco, nessun nuovo fornitore entra senza l'approvazione di un amministratore e i fallback non lo aggirano mai. |
| Tariffazione vita e malattia separata dall’uso quotidiano (AI Act, allegato III, 5 c, e art. 26) | Decidete quali modelli può usare ogni chiave, così ogni applicazione e ogni persona ha esattamente i modelli che approvate. GLM, DeepSeek e MiniMax sono serviti da fornitori europei per gli spazi limitati all'Europa. |
| Accesso gestito dalla directory aziendale | Collegate Microsoft Entra ID o qualsiasi identity provider SAML. Chi appartiene al vostro dominio verificato entra automaticamente nell'azienda, e l'accesso a Claude Desktop e Claude Code segue i vostri gruppi Entra tramite SCIM. |
| Una traccia per la revisione interna e la funzione attuariale | Ogni modifica di un amministratore viene registrata con i valori prima e dopo. Esportate un registro di ogni richiesta con il modello, il fornitore che l'ha servita e la regola di regione in vigore, conservato per 12 mesi. |
| Servizio continuo e soddisfacente agli assicurati (Solvibilità II, art. 49) | Se un fornitore va giù, la richiesta passa automaticamente a un altro fornitore approvato dello stesso modello, senza uscire dalle vostre regole di regione e di fornitore. Enterprise include uno SLA di disponibilità mensile del 99,9% con crediti di servizio. |
| Controllo dei costi per applicazione e per persona | Ogni persona e ogni applicazione riceve un budget mensile fisso che non viene mai superato, con limiti di spesa per chiave e per l'intera azienda. |
Pronto in un pomeriggio
Create l'account aziendale
Invitate i colleghi via e-mail, organizzateli in team e date a ogni persona e a ogni applicazione la propria chiave.
Impostate la regola Europa e la conservazione zero
Impostatele per tutta l'azienda. Team e chiavi le ereditano e non possono mai disattivarle.
Collegate Microsoft Entra ID
Le persone accedono con l'account di lavoro e usano Claude Desktop e Claude Code con l'account Microsoft tramite il nostro gateway UE.
Approvate fornitori e modelli, poi firmate il DPA
Scegliete quali fornitori di inferenza e quali modelli può usare ogni chiave, fissate i budget e firmate il DPA nella dashboard.
Le norme alla fonte
Le norme che le funzioni di gestione dei rischi, compliance e attuariale consultano per prime, con il link al testo ufficiale. Sono una base per la vostra valutazione e non costituiscono una consulenza legale.
Link verificati il 9 novembre 2026.
Domande da IT, sicurezza e acquisti
- Esiste un registro per singola richiesta per la revisione interna?
- Sì. Esportate un registro di ogni richiesta con il modello, il fornitore che l’ha servita e la regola di regione in vigore, conservato per 12 mesi. I registri contengono solo metadati, mai prompt o risposte.
- Firmate un accordo sul trattamento dei dati?
- Sì. Firmate il nostro DPA nella dashboard in pochi minuti. Ci impegna a non addestrare modelli sui vostri dati, a non conservare i vostri contenuti e a notificare le violazioni entro 72 ore.
- I liquidatori possono usare Claude Desktop e Claude Code con l’account Microsoft?
- Sì. I dipendenti accedono a Claude Desktop e Claude Code con il proprio account di lavoro Microsoft tramite il nostro gateway UE, senza chiavi API da distribuire. L’accesso segue i vostri gruppi Microsoft Entra tramite SCIM.
- Chi è Standard Compute?
- Standard Compute AS è una società norvegese (n. di organizzazione 938 498 806) con sede a Oslo. Il nostro DPA è regolato dal diritto norvegese.
Da leggere
Altri settori
Create l'account aziendale, impostate la regola Europa e la conservazione zero, e le vostre persone possono iniziare lo stesso giorno.