CTO startup e AI Act
Per il CTO di una scaleup AI il tempo che hai per la compliance è una variabile di sopravvivenza. I tuoi clienti enterprise — banche, assicurazioni, sanità — inizieranno a chiederti l'Allegato IV come parte della due diligence procurement a partire da ottobre 2026. Non averlo significa perdere il deal. Avere il deal significa aver implementato la pipeline di evidenze nel codice — non in un PDF redatto a posteriori.
L'Allegato IV diventa un artefatto del tuo build, non un documento Word. Audit log integrato nel runtime LLM, classificazione del sistema fatta una volta sola, IFU generata da codice.
Cosa devi fare, in ordine di urgenza.
- Art. 6 + Annex IIIClassificare ogni sistema (o feature AI-driven del prodotto) ai sensi Annex III prima del go-live.
- Art. 12Strumentare logging automatico (Art. 12) — input hash, output, metadati di inferenza — in append-only storage.
- Art. 14Implementare sorveglianza umana (Art. 14) lato prodotto — non un disclaimer, un meccanismo: override, monitoring, kill switch.
- Art. 11 + Annex IVRedigere e mantenere l'Allegato IV — meglio se rigenerato in CI ad ogni release significativa.
- Art. 72Pianificare il post-market monitoring (Art. 72) — quali metriche raccogli, con che frequenza, soglie di alert.
I workflow che useresti ogni settimana.
Registro come single source of truth
Un sistema = una entry nel registro, con metadati editabili dal cruscotto o via API. Il riaggiornamento della classificazione resta esplicito: chiami l'endpoint o premi il pulsante quando il prodotto cambia.
Classificatore richiamabile via API
L'endpoint `POST /api/v1/classifications` accetta input strutturato — lo puoi richiamare da uno script o da una pipeline CI per ottenere il verdetto programmaticamente. Non c'è un'integrazione GitHub Actions dedicata: si scrive uno step bash di pochi comandi.
Allegato IV come build artifact
Konformia genera il PDF Annex IV sui dati di registro: lo allinei a ogni release con un singolo POST. Per i CTO che già fanno docs-as-code è il pattern naturale.
Codice di verifica SHA-256 stampato sul PDF
Ogni PDF Allegato IV emesso porta l'hash SHA-256 stampato sulla pagina: lo puoi includere nelle release notes o condividerlo con i compliance officer dei clienti enterprise come prova di integrità.
Il ruolo di CTO startup mappa direttamente al profilo AI Architect della norma UNI 11621-8:2026 — la prima norma italiana sui ruoli AI in allineamento con il Regolamento (UE) 2024/1689.
Apri la scheda AI-ARCHQuello che chiedono nel tuo ruolo.
Sono una startup pre-seed. È prematuro pensare all'AI Act?
Dipende dal tuo go-to-market. Se vendi B2B a settori regolamentati (banche, assicurazioni, sanità) i tuoi clienti chiederanno Allegato IV già nel 2026. Costruirlo retroattivamente costa 6 settimane di engineering; costruirlo in continuous è una decisione architetturale di 2 giorni iniziali + decoratore.Uso GPT-4o via API. Sono provider o deployer?
Quasi sempre deployer del sistema che hai costruito sopra GPT-4o. OpenAI è il provider del modello GPAI. Se ridistribuisci il sistema sotto il tuo marchio (caso tipico delle scaleup B2B), sei provider del sistema integrato — l'Allegato IV è su di te.L'audit log Postgres è abbastanza per Art. 12?
Sì, se implementato bene: una tabella append-only (trigger che blocca UPDATE/DELETE), una riga per ogni inferenza, JSONB strutturato con campi di tracciabilità. È esattamente il pattern che Konformia usa internamente per il proprio audit log e che documenta nella propria trust page.Devo certificare il prodotto presso un organismo notificato?
Per i sistemi Annex III, no: la valutazione di conformità è interna (autodichiarazione tramite Allegato IV + DoC). Per i sistemi Annex II (componenti di sicurezza di prodotti regolamentati MDR, macchinari) sì, va integrata nella valutazione MDR/MD esistente.
Continua sugli altri profili.
DPO (Data Protection Officer)
Cosa cambia per il DPO con l'AI Act: registro sistemi AI, FRIA Art. 27, integrazione DPIA, supporto AgID e Garante. Workflow Konformia.
Compliance Officer
AI Act per compliance officer: integrazione GDPR + NIS2 + DORA + AI Act, gestione registro sistemi, FRIA, audit interno con Konformia.
Commercialista e studio professionale
AI Act per commercialisti: nuova linea servizi compliance AI per clienti PMI, multi-cliente in Konformia, revenue share, dashboard partner.
Konformia per CTO startup.
Workflow tarati sul tuo ruolo, registro condiviso col team, audit log opponibile. Tre minuti di setup, dieci anni di documentazione tecnica.