Traduzione automatica: non ancora revisionata da un traduttore professionista. (Machine translation — not yet professionally reviewed)
Cytra Playbook di conformità
Come implementiamo le categorie standard di NIST AI RMF, ISO/IEC 42001 e dell’EU AI Act.
I cinque pilastri di CARGO — Control, Assessment, Records, Guardrails e Oversight — sono il modo in cui organizziamo le categorie di controllo standard di quei quadri in venti aree obiettivo. Non abbiamo inventato le categorie e non lo affermiamo; CARGO è la lente che le mappa una volta, così potete dimostrarle ovunque. Cytra vi tiene allineati e pronti per un audit, non certificati.
CARGO — Cytra AI Regulatory and Governance Objectives — è il quadro aperto che Cytra ha sviluppato e pubblica. Le stesse cinque lettere ne nominano i cinque pilastri: Control, Assessment, Records, Guardrails e Oversight. La lente è nostra ed è pubblicata apertamente; «CARGO» è solo la nostra convenzione di nome interno. Gli obiettivi di controllo in sé non sono nuovi e non sono un’invenzione di Cytra — sono i requisiti standard di NIST AI RMF e ISO/IEC 42001:2023, allineati all’EU AI Act. Gli standard fanno il lavoro.
Conformità come registro
Il playbook non è un faldone — si alimenta di ciò che viene eseguito.
Cytra Gateway, il nostro gateway gestito per le chiamate agli strumenti degli agenti di IA, tratta ogni chiamata governata come un registro strutturato e firmato. Quei registri confluiscono negli stessi cinque pilastri che il playbook descrive, così l’evidenza dietro un controllo è telemetria di esecuzione continua — mappata sugli obiettivi di controllo di NIST AI RMF, ISO/IEC 42001 e dell’EU AI Act — e non un documento assemblato dopo.
Per essere precisi sulla postura: Cytra è allineato, non certificato. Mappiamo l’evidenza su questi quadri; non affermiamo che sia stata concessa alcuna certificazione, e Cytra Gateway è attualmente in beta privata.
Cinque pilastri, venti aree obiettivo
I cinque pilastri di CARGO — e le categorie standard che ciascuno porta.
Controllo e responsabilità
NIST AI RMF Govern · ISO/IEC 42001:2023 §5 · EU AI Act Art. 4
La spina dorsale della governance — chi possiede il rischio dell’IA, e la policy e le persone che rendono il resto esigibile.
- Struttura di governance e responsabilità — titolari nominati e un comitato trasversale sul rischio IA.
- Policy, standard e propensione al rischio.
- Ruoli, competenza e alfabetizzazione sull’IA (EU AI Act Art. 4).
- Governance di terze parti e della catena di fornitura — fornitori di modelli, venditori di dati, strumenti degli agenti.
Valutazione e rischio
NIST AI RMF Map · Measure · ISO/IEC 42001:2023 §6 · EU AI Act Art. 6, 9, 10, 27
Sapere quale IA eseguite, classificarla per rischio e valutarne l’impatto su un ciclo di vita continuo.
- Inventario IA e classificazione del sistema (EU AI Act Art. 6 / Annex III).
- Valutazione di rischio e impatto, inclusa la valutazione d’impatto sui diritti fondamentali (Art. 27).
- Ciclo di vita continuo di gestione del rischio (Art. 9).
- Governance e qualità dei dati (Art. 10).
Registri ed evidenze
NIST AI RMF Measure · ISO/IEC 42001:2023 §7.5, §9.2 · EU AI Act Art. 11, 12 · Annex IV
Lo strato di prova — il pilastro più difficile da soddisfare con i soli documenti, perché chiede evidenza di ciò che l’IA ha fatto.
- Documentazione tecnica (EU AI Act Art. 11 / Annex IV).
- Registrazione automatica e conservazione dei registri (Art. 12).
- Evidenza a prova di manomissione e conservazione — un registro hash-chain / WORM per tenant.
- Preparazione alla conformità e all’audit (Art. 43).
Salvaguardie e operazioni
NIST AI RMF Manage · ISO/IEC 42001:2023 §8 · EU AI Act Art. 14, 15
Controlli che agiscono dove l’IA viene eseguita, prima che un’azione si completi — inclusa ogni chiamata a uno strumento di un agente.
- Salvaguardie operative e policy di esecuzione — varchi di approvazione, tetti di budget, un interruttore di arresto per l’operatore.
- Sicurezza, robustezza e resilienza (Art. 15).
- Monitoraggio di bias, equità e prestazioni — misurazione pianificata su dataset di valutazione configurati, con eventi di scostamento verificabili.
- Governance degli agenti e delle identità non umane (NHI).
Supervisione e miglioramento
NIST AI RMF Manage · Govern · ISO/IEC 42001:2023 §9, §10 · EU AI Act Art. 13, 14, 50, 72, 73
Tenere le persone al comando e chiudere il ciclo mentre rischi e norme evolvono.
- Supervisione e intervento umani (Art. 14) — Understand, Monitor, Intervene, Stop.
- Trasparenza e comunicazione (Art. 13, Art. 50).
- Monitoraggio post-commercializzazione e risposta agli incidenti (Art. 72, Art. 73).
- Riesame, audit interno e miglioramento continuo.
Istantanea del quadro
- Pilastri
- 05
- Aree obiettivo
- 20
- Postura
- Allineato
Allineato e pronto per l’audit, non certificato.
Quadro aperto CC BY 4.0
Prendete il quadro. È vostro.
Il quadro CARGO è pubblicato gratis sotto Creative Commons Attribution 4.0 (CC BY 4.0) — adottatelo, adattatelo e costruiteci sopra, con attribuzione. I nomi e i loghi «CARGO» e «Cytra» restano nostri; gli obiettivi di controllo sono quelli standard di NIST AI RMF, ISO/IEC 42001 e dell’EU AI Act, quindi il quadro appartiene a tutti. La v0.1 è nella revisione pubblica finale — lasciate l’e-mail e invieremo il PDF completo nel momento in cui si apre la bozza pubblica.
Passo successivo mettere in opera il playbook
Trasformate gli standard in un registro di come gira la vostra IA.
Cytra mappa i vostri controlli una volta e trasforma il modo in cui la vostra IA gira in evidenza continua su tutti e cinque i pilastri — così potete dimostrare l’allineamento a NIST AI RMF, ISO/IEC 42001 e all’EU AI Act senza duplicare lo sforzo. Il gateway gestito che genera l’evidenza è in beta privata; raccontateci la vostra IA e delimitiamo l’accesso anticipato.