Quando l’AI entra nelle infrastrutture critiche, il primo problema non è soltanto sapere quali modelli siano in uso. Occorre capire che cosa fanno, quale rischio comportano, chi ne risponde e quali documenti devono accompagnarli. Per una multiutility italiana, Elite Software ha trasformato questa esigenza in AI Registry: una piattaforma oggi in produzione che organizza gli obblighi del Regolamento UE 2024/1689 in un processo strutturato, tracciabile e ripetibile.
Il progetto nasce in vista degli obblighi applicabili ai sistemi ad alto rischio dal 2 agosto 2026. Il cliente utilizza sistemi AI compresi nel perimetro dell’Annex III, punto 2, relativo alle infrastrutture critiche.
La necessità era costruire un inventario affidabile, classificare ogni sistema, predisporre la documentazione e dimostrare in qualsiasi momento lo stato di conformità alle autorità di vigilanza.
Indice degli argomenti
Una single source of truth per sistemi e modelli
Il modulo Inventario AI tratta ogni sistema come un’entità con un proprio ciclo di vita, articolato su sette stati. Anche i modelli GPAI sono censiti come entità autonome, così da conservare la distinzione richiesta dal Regolamento e ricostruire le relazioni con i sistemi che li impiegano. L’inventario diventa così la base comune su cui lavorano compliance, responsabili tecnologici e funzioni di controllo.
La classificazione segue un wizard in quattro fasi: pratiche vietate, prodotti regolamentati, casi dell’Annex III con le deroghe previste dall’articolo 6.3 e obblighi di trasparenza dell’articolo 50. Ogni domanda rimanda a un riferimento normativo puntuale. In parallelo, un copilota basato su grounded generation e su una knowledge base normativa propone una classificazione, una motivazione e un confidence score.
La decisione, tuttavia, resta umana. Il Compliance Officer può modificare la proposta e ogni override deve essere giustificato e registrato. La piattaforma non automatizza la decisione regolatoria: usa l’AI per accelerare l’analisi, mantenendo esplicite responsabilità e tracciabilità. È questo human-in-the-loop strutturale uno degli elementi distintivi indicati da Elite.
Dalla classificazione ai documenti per l’audit
Una volta definiti rischio e ruolo dell’organizzazione, il modulo documentale calcola gli adempimenti richiesti: le nove sottosezioni dell’Annex IV, la dichiarazione di conformità, la valutazione d’impatto sui diritti fondamentali e i log di utilizzo. La piattaforma segnala gap e scadenze, seleziona la sezione corretta dell’Annex VIII e valida i dati prima dell’export verso il database europeo.
La governance prosegue dopo la registrazione. Un modulo intercetta modifiche del Regolamento, atti delegati, aggiornamenti dell’Annex III e linee guida della Commissione, indicando i sistemi che richiedono una riclassificazione guidata. Un altro genera piani di mitigazione calibrati per settore, con riferimenti anche a NIS2 e IEC 62443.
L’architettura è cloud-native, basata su Cloud Run, Cloud SQL PostgreSQL e Cloud Storage, protetta da WAF. Il controllo degli accessi segue un modello RBAC; l’audit log è immutabile e prevede una conservazione decennale. La soluzione può essere erogata come SaaS multi-tenant o on premise.
Un modello replicabile oltre le utility
Elite indica come benefici la conformità nei tempi previsti, una maggiore difendibilità in audit, la riduzione del rischio operativo e consumi cloud prevedibili. Il modello dati è indipendente dal settore e il modulo di mitigazione può essere adattato a pubblica amministrazione e servizi finanziari, oltre che a energia e utility. La roadmap prevede un’estensione multi-framework verso NIS2 e DORA e API con i sistemi europei.
Anche il processo di sviluppo contiene una seconda applicazione dell’AI: il progetto è stato realizzato attraverso un Dev Portal agentico che automatizza analisi, generazione, test e rilascio. Il risultato è una piattaforma che utilizza l’AI per governare l’AI, senza confondere velocità operativa e responsabilità regolatoria.
Il progetto concorre ai Digital360 Awards 2026 nella categoria “Digital Process Innovation”.
Partecipa alla community