Cos'è l'AI Act Compliance as Code?

L'AI Act Compliance as Code è la pratica di eseguire i controlli richiesti dall'AI Act come test automatici dentro la pipeline di consegna del software, invece che come verifiche manuali a ridosso dell'audit. La stessa idea del Compliance as Code nato in ambito cloud e sicurezza, applicata ai sistemi di IA: ogni obbligo diventa una regola leggibile dalla macchina, ogni rilascio attraversa un gate pre-ship che restituisce pass o fail, e ogni esecuzione produce log di evidenza che alimentano la documentazione tecnica richiesta dall'Allegato IV del regolamento (UE) 2024/1689. Il riferimento è il testo consolidato su EUR-Lex. Thoughtworks e la Cloud Security Alliance la descrivono allo stesso modo: policy eseguite come test con audit trail e monitoraggio continuo dei controlli spostato a sinistra nel ciclo di vita. Per chi sviluppa o usa un sistema di IA, la conformità diventa un artefatto generato dalla pipeline e verificabile a ogni commit.

Leggi anche: AI Act · Il regolamento europeo sull'AI basato sul rischio: dal 2 agosto 2026 si applicano trasparenza, GPAI e sanzioni, con l'alto rischio in parte rinviato.

Come funziona in pratica

Il meccanismo ha tre pezzi. Il manifest dichiara il sistema, i controlli applicabili e le soglie: è la versione eseguibile della classificazione del rischio, versionata come il codice. Il gate esegue i controlli a ogni pull request e blocca con un pass o fail ciò che viola le regole, in un formato leggibile anche dal legale. Il registro delle evidenze conserva i log di ogni esecuzione con data e versione del modello, così la documentazione dell'Allegato IV si ricostruisce da artefatti reali invece che da ricordi. L'implementazione aperta di riferimento è OpenComplAI: rule engine, interfaccia a riga di comando e SDK Python, con manifest, gate pre-commit e in pipeline, ed evidenze generate in automatico. Per il risk management, l'art. 9 trova un punto di partenza operativo nel Compliance Checker ufficiale dell'AI Act Service Desk UE, e chi segue gli standard armonizzati, le norme tecniche europee di riferimento, è considerato conforme fino a prova contraria.

La ricerca va nello stesso senso: uno studio del 2026 mappa il Compliance as Code sul Cyber Resilience Act, e le linee guida di Schrader e colleghi per l'AI Act nello sviluppo agile vanno nella stessa direzione. I controlli restano allineati a ISO/IEC 42001 e al NIST AI RMF, i quadri di riferimento che gli auditor già usano.

Un esempio enterprise

Un fornitore di scoring creditizio rilascia il modello ogni due settimane e l'Allegato IV gli chiedeva una settimana di lavoro manuale a ogni versione. Con il gate in pipeline il manifest dichiara controlli su dati di addestramento, metriche di robustezza e sorveglianza umana; se la documentazione di conformità non è aggiornata o un test fallisce, il rilascio si ferma prima della produzione. L'audit successivo non riparte da interviste ma dai log: ogni versione del modello punta alle evidenze generate al momento del rilascio. Il lavoro del legale si sposta dalla rincorsa dei documenti alla revisione delle regole codificate nel gate.

Perché conta per chi decide

Per chi decide il vantaggio è duplice: i rilasci non aspettano il parere legale perché il parere è già codificato nel gate, e l'ispezione trova prove ordinate per versione del modello. Resta un confine netto: il gate automatizza le verifiche ripetibili, non il giudizio sul rischio, e non sostituisce né la vigilanza italiana sui sistemi né i poteri della Commissione sui modelli GPAI, che hanno voci proprie. Chi adotta il gate guadagna velocità di rilascio con la tracciabilità incorporata, e il parere legale resta a monte, nella revisione delle regole che il gate esegue.

Questa voce è informativa e non costituisce consulenza legale: per decisioni su dati regolamentati coinvolgi il tuo DPO o il tuo legale.