Il controllo parte da domande concrete: di chi sono le informazioni, chi può usarle, dove vengono elaborate, cosa può uscire e come si ripristina. Rispondiamo nell'architettura, prima di sviluppare qualsiasi cosa.
I vostri dati, i modelli che scegliete e le applicazioni che sviluppiamo sono vostri. Vengono eseguiti nell'ambiente richiesto dal vostro profilo di rischio, e pianifichiamo la strategia di uscita all'inizio, non alla fine.
Sui vostri server, anche su hardware IT standard, con modelli di IA locali dove necessario.
Hosting europeo con contratti approvati da voi e una scelta di modelli di IA ospitati nell'UE.
Dati sensibili on-premise, altri carichi di lavoro nel cloud, un unico modello di governance; nel paese dove la legge lo richiede.
Indipendente dal modello. Usiamo i modelli di IA consentiti dalla vostra policy: in hosting, ospitati nell'UE o eseguiti in locale.
«Non esce mai» è una promessa che nessun fornitore onesto può fare per ogni configurazione. Noi facciamo qualcosa di più utile: elenchiamo ogni flusso di dati, e voi decidete su ciascuno.
Un servizio di IA remoto può comportare l'uscita dei dati dal vostro ambiente. Quando è accettabile, si tratta di una scelta registrata, non di un'impostazione predefinita.
Selezionate fornitori e modelli in base ai requisiti di ciascuna applicazione. Runtime remoti, runtime locali gestiti esternamente e runtime locali qualificati gestiti da Cygnus hanno confini operativi diversi.
Un'API remota può comportare l'uscita di dati dal deployment.
Un servizio locale gestito dall'operatore non è coperto automaticamente dalle garanzie di memoria di Cygnus.
Un runtime locale gestito da Cygnus richiede la qualificazione della combinazione esatta di modello, runtime, configurazione e dispositivo.
Dal nome di un prodotto non deriva alcuna promessa universale di funzionamento offline, residenza dei dati o privacy. Supporto IA previsto e limiti
L'IA propone, le persone decidono. Le nostre applicazioni danno ai team compliance, rischi e audit ciò che serve per la sorveglianza umana dell'IA.
L'IA utilizza solo i documenti e i sistemi che collegate, e mostra quali ha usato.
Le azioni rilevanti attendono il via libera di un responsabile identificato. Un agente IA non può approvare la propria modifica né ampliare da solo i propri accessi.
Chi ha chiesto, cosa è stato usato, cosa è stato deciso e quando, archiviato nel vostro ambiente.
Testiamo le risposte prima del rollout e continuiamo a migliorarle con casi reali.
Misurato nei progetti realizzati
89%
delle richieste nelle 12 categorie automatizzate risolto senza intervento umano; casi complessi inoltrati alle persone
Un backup conta solo quando il ripristino è stato testato. Gli accessi vengono verificati prima di mostrare qualsiasi cosa. E la piattaforma mantiene una via di ritorno se un componente o un fornitore di IA viene meno.
I permessi vengono verificati prima che i dati siano mostrati, cercati o classificati, così le informazioni negate non trapelano tramite conteggi o indizi.
Documenti e output dell'IA sono trattati come contenuti da esaminare. Solo i vostri permessi possono autorizzare un'azione.
Punti di ripristino, test di ripristino e relative evidenze: NatusAI Gemini (Roadmap). Oggi: ripristino e uscita vengono pianificati in ogni progetto.
Ogni incidente è collegato all'applicazione e al rilascio interessati: NatusAI Draco (Roadmap).
Supportiamo i vostri obblighi. Non certifichiamo i vostri sistemi né sostituiamo la vostra valutazione legale.
| Quadro normativo | Situazione attuale | Cosa i nostri controlli sono progettati per supportare |
|---|---|---|
| GDPR | In vigore in tutta l'UE/SEE. | Deployment nel vostro ambiente, minimizzazione dei dati fin dalla progettazione e un elenco documentato dei flussi di dati. |
| AI Act (UE) | I divieti e gli obblighi per l'IA per finalità generali si applicano già. In base all'accordo provvisorio sul Digital Omnibus, gli obblighi per i sistemi ad alto rischio autonomi sono attesi dal 2 dicembre 2027 e quelli per i sistemi integrati in prodotti regolamentati dal 2 agosto 2028, in attesa dell'adozione definitiva. | Registrazione dei log, flussi di sorveglianza umana, trasparenza sulle fonti e documentazione di data governance a supporto dei vostri obblighi di deployer (artt. 9–15 e 26). |
| DORA | Direttamente applicabile alle entità finanziarie dal 17 gennaio 2025; per loro prevale sulla NIS2 dove le due normative si sovrappongono. | Deployment on-premise o nell'UE, una strategia di uscita documentata, informazioni per il vostro registro dei fornitori terzi ICT ed evidenze di ripristino (NatusAI Gemini nella roadmap). |
| NIS2 | Il recepimento varia da uno Stato membro all'altro. Gli operatori dell'energia e delle telecomunicazioni sono soggetti essenziali. | Esercizio self-hosted entro il vostro perimetro di sicurezza, controllo degli accessi e audit trail. |
| Solvency II · EIOPA | Aspettative su sistema di governance ed esternalizzazione per le compagnie che usano l'IA e fornitori ICT esterni. | Gli stessi controlli (sorveglianza umana, registrazione, flussi di dati documentati e strategia di uscita) come base per la vostra documentazione di governance ed esternalizzazione. |
| KVKK (Turchia) | Modificata nel 2024: i trasferimenti transfrontalieri si basano su adeguatezza, clausole contrattuali standard (con notifica all'Autorità entro 5 giorni lavorativi) o norme vincolanti d'impresa. | Deployment nel paese o on-premise, così non serve alcun trasferimento. |
| NIST AI RMF (USA) | Quadro volontario statunitense con quattro funzioni: Govern, Map, Measure, Manage. | Una mappatura dei nostri controlli sulle sue quattro funzioni, su richiesta. |
| SOC 2 · ISO/IEC 27001 · ISO/IEC 42001 | Riferimenti comuni di procurement per la sicurezza e la gestione dell'IA. | Documentazione su sicurezza e gestione dell'IA su richiesta. |
NatusAI supporta il vostro programma di compliance; non sostituisce la vostra valutazione legale né certifica i vostri sistemi. Dati normativi verificati l'ultima volta: ottobre 2026.
Fuori dall'UE? Gli stessi controlli (mappa dei flussi di dati, piano di uscita, approvazione da parte di persone identificate e registri di audit) sono il nostro punto di partenza anche per altri regimi. Diteci quali regole si applicano a voi e le esamineremo insieme durante un briefing.
Conservazione, blocchi per finalità legali (legal hold), backup e derivati esportati richiedono policy esplicite.
Il confine crittografico previsto per gruppo di storage non equivale alla promessa di una cancellazione crittografica automatica per singola persona. Ogni progetto deve valutare cancellazione e recupero dello spazio sull'intera architettura effettiva di storage e ripristino.
L'architettura di prodotto non è una certificazione di conformità né sostituisce la valutazione legale e operativa dell'organizzazione.
Risposte dirette. Per i dettagli, richiedete il nostro pacchetto governance o una sessione con il vostro CISO e il vostro DPO.
Solo dove lo decidete voi. Ogni flusso di dati è elencato e approvato; un modello di IA remoto è una scelta registrata, non un'impostazione predefinita. Il deployment on-premise con modelli locali mantiene l'elaborazione all'interno delle vostre mura.
Su questo sito non dichiariamo alcuna certificazione. Chiedeteci lo stato attuale delle nostre certificazioni e la documentazione di sicurezza: le condividiamo prima di qualsiasi fase di procurement.
Nessun prodotto può affermarlo al posto vostro: la conformità dipende da come un sistema viene utilizzato. I nostri controlli (registrazione dei log, sorveglianza umana, trasparenza sulle fonti e data governance) sono progettati per supportare i vostri obblighi di deployer.
Deployment on-premise o nell'UE, una strategia di uscita documentata, informazioni per il vostro registro dei fornitori terzi ICT e pianificazione del ripristino in ogni progetto.
Le vostre persone. Le azioni rilevanti attendono il via libera di un responsabile identificato. Un agente IA non può approvare la propria modifica né attribuirsi accessi.
Conservate i vostri dati, i modelli che avete scelto e le applicazioni che abbiamo sviluppato. Il piano di uscita viene redatto all'inizio ed elenca cosa ricevete e come effettuate il trasferimento.
Illustreremo al vostro CISO, al DPO e al team rischi l'architettura, i flussi di dati e il piano di uscita.
Oppure scriveteci a contact@natusai.com
NatusAI