Metodologia — come Vigilia valuta la governance dell’IA

Il suo sistema di IA, letto come un grafo.

Vigilia rappresenta il suo sistema di IA come un grafo orientato: agenti, approvatori umani, fonti di dati, politiche di governance, sistemi di monitoraggio e punti di decisione sono vertici. Le loro relazioni — orchestra, accede, approva, monitora, è vincolato da — sono archi.

I segnali di conformità vengono poi estratti dalla topologia del grafo. Gli archi mancanti, per esempio un agente che prende decisioni senza alcuna catena di approvazione umana, fanno scattare il rilievo di una lacuna. Ogni rilievo è mappato sull’articolo specifico della normativa che lo disciplina, con l’agente interessato indicato per nome.

Il punteggio è deterministico. L’IA è usata solo per arricchire la descrizione delle lacune — mai per stabilire se una lacuna esista.

Framework supportati

AI Act europeo — trasparenza dell’articolo 50 dal 2 agosto 2026; alto rischio dell’allegato III dal 2 dicembre 2027, rinviato dal Digital Omnibus
NIST AI Risk Management Framework 1.0
ISO/IEC 42001 — sistema di gestione dell’IA
Ordine esecutivo statunitense 14110 sull’IA
Principi di regolamentazione dell’IA del Regno Unito

Quattro livelli. Il livello decide quali articoli si applicano.

Ogni spazio di lavoro è classificato in base al tipo di decisioni che prendono i suoi agenti. Gli articoli che non si applicano al suo livello sono esclusi del tutto — non risultano né superati né falliti, e quindi non possono gonfiare il punteggio.

Rischio minimoCasi d’uso a bassa posta in gioco — filtri antispam, sistemi di raccomandazione. Si applicano gli obblighi di trasparenza ordinari.

Rischio limitatoIA rivolta all’utente — chatbot, generazione di contenuti. Si applicano gli obblighi di informativa previsti dall’articolo 50.

Alto rischioCasi d’uso dell’allegato III — selezione del personale, credito, sanità, istruzione, attività di contrasto. Sono richieste valutazione della conformità, sistema di gestione dei rischi, sorveglianza umana e documentazione tecnica.

Rischio inaccettabilePratiche vietate dall’articolo 5 — punteggio sociale, identificazione biometrica in tempo reale in spazi pubblici, IA manipolativa. L’utilizzo può essere illecito.

Che cosa misura davvero ciascuna dimensione.

Ogni dimensione riceve un punteggio a partire dal suo grafo. Il segnale è la relazione strutturale che determina il punteggio; l’articolo è la disposizione dell’AI Act europeo su cui è mappata.

Dimensioni di governance — segnale e mappatura
Dimensione	Segnale nel grafo	AI Act
Sorveglianza umana	Rapporto APPROVES / ESCALATES_TO	Art. 14
Sicurezza dei dati	Densità di ACCESSES + CONSTRAINED_BY	Art. 10
Trasparenza	Flussi MONITORING_SYSTEM + AUDIT_LOG	Art. 13
Responsabilità	Tracciabilità di DECISION_OUTPUT	Art. 14 + Art. 9
Affidabilità	Profondità della catena ORCHESTRATES	Art. 9
Conformità normativa	Copertura di GOVERNANCE_POLICY	Art. 9

Rilevati dal grafo, non da un questionario.

Ogni rilevamento genera una lacuna con una gravità, un massimo di legge e un passo di rimedio.

01Collo di bottiglia su un solo approvatoreAttivazione: Un solo approvatore controlla più del 50% delle decisioniArt. 14

02Ciclo decisionale senza auditAttivazione: Esiti decisionali privi di flusso AUDIT_LOGArt. 13

03Accesso eccessivo ai datiAttivazione: Un agente accede a 3 o più fonti di dati senza alcuna politica di governance associataArt. 10

04Monocoltura di agentiAttivazione: Tutti gli agenti usano lo stesso fornitore e la stessa famiglia di modelliArt. 9

05Agente ombraAttivazione: Un agente senza monitoraggio, senza politica e senza sorveglianza umanaArt. 9 + Art. 11

06Catena di orchestrazione fragileAttivazione: Profondità della catena ORCHESTRATES ≥4 senza percorso di escalationArt. 9

07Lacuna di responsabilitàAttivazione: Esiti decisionali privi di un responsabile umano tracciabileArt. 14

08Agente ad alto rischio non documentatoAttivazione: Caso d’uso dell’allegato III dell’AI Act europeo senza documentazione di governanceArt. 9

Come si calcola un punteggio.

Per ciascun framework selezionato:

Vigilia carica ogni articolo applicabile al livello di rischio rilevato.
Ogni articolo porta con sé un segnale nel grafo — una condizione strutturale che deve valere, per esempio “ogni agente ad alto rischio deve avere almeno un arco APPROVES proveniente da un HUMAN_APPROVER”.
La condizione è valutata rispetto all’indice del suo grafo. Se vale, l’articolo è superato. In caso contrario diventa una lacuna, con i nomi degli agenti interessati.
Il punteggio di conformità al framework è passing_articles / total_applicable_articles.
Il punteggio complessivo è la media tra i framework selezionati.

Valutazioni di gravità e di sforzo

Ogni lacuna porta con sé una gravità — critica · alta · media · bassa — che riflette il massimo di legge associato all’articolo e la probabilità di un’azione di vigilanza, e una valutazione dello sforzo — basso · medio · alto — che stima la complessità di attuazione. Entrambe sono indicatori relativi, utili a stabilire le priorità di rimedio; non sono pareri legali.

Le cifre citate in un risultato sono i massimi di legge previsti dalla normativa di riferimento. Ciò da cui dipenderebbe davvero un’eventuale azione di vigilanza sono il suo fatturato, le circostanze specifiche e la discrezionalità dell’autorità di controllo.

Che cosa questa metodologia non fa

Non valuta il comportamento in esecuzione — solo il grafo documentato che lei fornisce.
Non costituisce consulenza legale né una valutazione della conformità formale.
Non verifica la veridicità delle descrizioni dei suoi agenti; il risultato è accurato quanto lo sono i dati che lei trasmette.
Non garantisce alcun esito normativo. Un risultato superato è la prova di un impianto di governance strutturalmente solido, non la prova di conformità.

L’autoverifica sul regolamento è pensata per dare a team di compliance, consulenti legali e regolatori un punto di partenza chiaro e strutturale. La usi insieme a una consulenza legale qualificata.

Come viene assegnato il grado a un’osservazione.

Il registro usa uno strumento diverso dall’autoverifica di questa pagina: non legge alcuna descrizione, fa una visita identificata. Ogni osservazione riceve uno di cinque gradi secondo una funzione pubblicata delle prove. Grado 1: l’interfaccia ha dichiarato di essere un sistema di IA prima di qualsiasi interazione. Grado 2: lo ha dichiarato su richiesta, quando le è stata posta l’unica domanda. Grado 3: nessuna dichiarazione prima dell’interazione, e nessuna su richiesta. Grado 4: l’interfaccia ha negato di essere un sistema di IA quando le è stato chiesto. Grado U: non osservabile con una visita automatizzata — nessuna interfaccia trovata, un divieto in robots.txt, una protezione anti-bot, un passaggio a un operatore umano o una risposta inutilizzabile — e mai presentato come un rilievo sfavorevole. La stessa funzione assegna il grado a ogni scheda, che l’organizzazione paghi o no. Come funziona una visita

Come Vigilia valuta la governance dell’IA.