What is the AI Evidence Chain™?

The AI Evidence Chain™ is RaaSify.AI's seven-stage framework for producing audit-ready evidence of AI governance. The stages are Business Intent, Data, Build, Validation, Deployment, Monitoring and Incident Response. It was created by Ma Cherie Cortez, PhD, and is a registered trademark (BOIP Reg. No. 1551399).

What is the difference between an AI audit trail and AI logging?

Logging records what happened inside a system. An audit trail also records the decisions people made around it: why the system was adopted, who approved it, how it was tested and what was done after an incident. Logs are one input to the Monitoring stage. They are not the whole trail.

Does a small business need an AI audit trail?

Yes, if AI influences decisions about people, such as hiring, lending or customer service, or if a customer, investor, partner or board member asks how you govern AI. Legal duties under the EU AI Act depend on the risk tier of each system and on whether you are its provider or deployer. A basic trail is still worth keeping for lower-risk tools, because it is what you show when someone asks.

How long should AI records be kept?

For high-risk systems under the EU AI Act, automatically generated logs must be kept for at least six months (Article 19 for providers, Article 26(6) for deployers). Providers must keep technical documentation for 10 years (Article 18). Other laws, contracts and sector rules can require longer. Logs often contain personal data, so the retention period also has to respect data protection law.

Do I need software to build an AI audit trail?

No. A spreadsheet and a shared folder are enough for a company with a handful of AI tools. Governance platforms earn their cost when you have many systems, several teams, or systems you build yourself. Decide after the inventory, when you know what you have.

Do I need a consultant to build an AI audit trail?

Not always. If you use a handful of low-risk AI tools and someone inside the company has time to own the work, you can start on your own. Outside help is worth it when AI influences decisions about people, when a customer, auditor or regulator has asked for evidence, when you face a deadline, or when nobody in-house can judge what counts as sufficient evidence. A fixed-scope assessment is usually enough to find out which case you are in.

Should I map to the EU AI Act, ISO/IEC 42001 or the NIST AI RMF?

They do different jobs. The EU AI Act is law for organizations that provide or use AI systems in the EU. ISO/IEC 42001 is a certifiable management system standard. The NIST AI RMF is a voluntary framework from the US National Institute of Standards and Technology. The AI Evidence Chain™ maps to all three, so one set of evidence can serve whichever applies to you.

When do the EU AI Act high-risk obligations apply?

Stand-alone high-risk systems listed in Annex III must comply by 2 December 2027. High-risk AI embedded in regulated products under Annex I must comply by 2 August 2028. Both dates were moved by the Digital Omnibus on AI in 2026. The delay does not cover prohibited practices, general-purpose AI model obligations or the general transparency rules.

Governance dell'IA

Come costruire una traccia di controllo dell'IA: la catena di prove dell'IA in 7 fasi™

Mio caro Cortez
6 ottobre 2026

Come creare una traccia di controllo per l'IA | AI Evidence Chain™

Come creare una traccia di controllo dell'IA: la catena di prove dell'IA in 7 fasi™ per le piccole imprese

Una policy di intelligenza artificiale stabilisce cosa dovrebbe accadere. Una traccia di controllo dimostra cosa è effettivamente accaduto.

Risposta breve: Una traccia di controllo dell'IA è l'insieme di registrazioni che consente a una persona esterna al team di ricostruire come un sistema di IA è stato approvato, quali dati utilizza, come è stato testato, chi lo ha messo in funzione e come si è comportato da allora. L'AI Evidence Chain™ è il framework in sette fasi di RaaSify.AI per la creazione di questa traccia: Intento aziendale, Dati, Sviluppo, Validazione, Implementazione, Monitoraggio e Gestione degli incidenti.

La maggior parte delle guide sui registri di controllo dell'IA è pensata per aziende con un team dedicato alla piattaforma. Si parla di archivi di log immutabili, hash crittografici e ID di correlazione. Questo è utile se si sviluppano prodotti basati sull'IA, ma non è di alcun aiuto per un'azienda di 40 persone che utilizza Microsoft Copilot, ChatGPT e le funzionalità di IA integrate nei propri software HR e CRM.

Questa guida è pensata per quell'azienda. Illustra cosa potrebbero richiedere un revisore, un ente regolatore o un cliente, le sette fasi che verranno verificate, i punti in cui solitamente si verificano interruzioni nelle tracce di audit e come verificare se le vostre tracce reggerebbero a un'eventuale verifica.

Che cos'è una traccia di controllo dell'IA?

Una traccia di controllo dell'IA è una documentazione, conservata per l'intero ciclo di vita di un sistema di IA, che risponde a cinque domande:

Che cosa fa il sistema e perché lo utilizziamo?
Quali dati vengono inseriti e siamo autorizzati a utilizzarli?
Come è stato configurato e testato prima che le persone iniziassero a utilizzarlo?
Chi l'ha approvato e chi è responsabile del controllo dei risultati?
Cos'è successo da allora, compreso il momento in cui le cose sono andate storte?

Una traccia di controllo è più ampia di un registro. Un registro documenta gli eventi interni al sistema. Una traccia di controllo, invece, registra anche le decisioni umane che li riguardano: l'approvazione, la convalida del test, la revisione mensile, il follow-up degli incidenti.

Un'azienda può avere registri completi e tuttavia non disporre di una traccia di controllo, perché nessuno può dimostrare chi ha deciso che il sistema fosse idoneo all'uso.

Perché una politica sull'IA non è sufficiente?

Una politica è una dichiarazione di intenti. Gli enti regolatori, i revisori dei conti e i clienti verificano che la politica sia stata effettivamente rispettata.

La domanda di solito suona così: "Mostratemi come questo sistema di intelligenza artificiale prende decisioni e dimostratemi che lo state monitorando." Un documento di policy non può fornire una risposta. Un'approvazione datata, un registro dei test e le note di revisione relative a tre mesi possono invece farlo.

Tre gruppi si pongono questa domanda:

Elettrodi. La legge europea sull'IA richiede documentazione tecnica, tenuta dei registri, supervisione umana e monitoraggio per i sistemi di IA ad alto rischio. Per i sistemi ad alto rischio autonomi, tali obblighi si applicano a partire dal 2 dicembre 2027, in seguito alla modifica della legge omnibus digitale sull'IA (Digital Omnibus on AI) che ha posticipato la data dal 2 agosto 2026.
Revisori dei conti. ISO/IEC 42001 è uno standard per i sistemi di gestione. La certificazione si basa su informazioni documentate, audit interni e riesami della direzione, non sulla sola politica aziendale.
Clienti. I clienti e i partner più importanti stanno iniziando a chiedere come gestite l'IA prima di firmare un contratto. Una risposta convincente richiede dei dati concreti.

Il tempo extra non è una pausa. È la finestra di tempo per raccogliere le prove prima che qualcuno le richieda.

Che cos'è l'AI Evidence Chain™?

AI Evidence Chain™ è un framework di governance dell'IA in sette fasi creato da Ma Cherie Cortez, PhD, fondatrice di RaaSify.AI. Crea una tracciabilità completa dell'intero ciclo di vita di un sistema di IA, in modo che ogni decisione supportata dall'IA possa essere giustificata di fronte a un ente regolatore, un revisore dei conti o un consiglio di amministrazione.

Si chiama catena perché ogni fase dipende da quella precedente. Un rapporto di monitoraggio ha poco valore se nessuno è in grado di dimostrare per cosa il sistema è stato autorizzato a fare. Un anello mancante interrompe la catena.

Le sette fasi sono:

Intento commerciale. Perché esiste ciascun sistema di intelligenza artificiale, a cosa serve, chi lo possiede e chi lo ha approvato. Questa sezione copre ogni sistema in uso, inclusa l'IA ombra e le funzionalità di IA integrate nei software che già paghi.
Dati. Quali dati alimentano ciascun sistema, da dove provengono (la loro provenienza dei dati) e se tale utilizzo è lecito e appropriato.
Costruire. Come è stato costruito o configurato il sistema e la documentazione relativa a tale configurazione.
Validazione. Come il sistema è stato testato in termini di accuratezza, imparzialità e sicurezza prima della messa in funzione, con risultati che potete mostrare.
Implementazione. Chi ha approvato l'avvio del sistema, a quali condizioni e quali misure di sicurezza e supervisione umana sono state implementate.
Monitoraggio. Come viene monitorato il comportamento nel mondo reale dopo il lancio e chi lo esamina.
Risposta agli incidenti. Cosa succede quando il sistema causa un problema: chi interviene, chi viene informato e cosa viene registrato.

La maggior parte delle organizzazioni è in grado di descrivere alcune di queste fasi durante una conversazione. Pochissime, tuttavia, possono fornire prove a supporto di tutte e sette. È proprio questo divario tra la conoscenza della governance e la capacità di dimostrarla che viene colmato da una traccia di audit.

Dove si interrompono solitamente le tracce di controllo dell'IA?

Ogni fase risponde a una domanda che un revisore dei conti, un ente regolatore o un cliente potrebbero porsi. La tabella mostra la domanda e come si presenta tipicamente una lacuna in una piccola azienda.

La catena di prove AI Evidence Chain™ mappa ogni fase rispetto agli articoli pertinenti della legge europea sull'intelligenza artificiale, alle clausole della norma ISO/IEC 42001 e alle funzioni del framework NIST per la gestione del rischio AI, in modo che un unico insieme di prove sia valido per tutti e tre. Questa mappatura clausola per clausola, applicata ai vostri sistemi, è ciò che offre l'audit AI Evidence Chain™.

Come si crea una traccia di controllo per l'intelligenza artificiale?

Si crea una traccia di controllo dell'IA un sistema alla volta, producendo prove per ciascuna delle sette fasi in ordine. In sintesi:

Scegli un sistema. Iniziate dal sistema di intelligenza artificiale che ha il maggiore impatto sui vostri clienti o dipendenti.
Registrare l'intento commerciale. Perché esiste questo sistema, chi ne è il proprietario e chi lo ha approvato.
Traccia i dati. Cosa contiene, da dove proviene e se è consentito utilizzarlo.
Documentare la fase di realizzazione. Come è configurato il sistema e cosa è cambiato dal lancio.
Conservare la prova di convalida. Come è stato testato prima che le persone vi facessero affidamento.
Registrare la decisione di implementazione. Chi ha approvato la messa in produzione, a quali condizioni e chi ne supervisiona i risultati.
Monitorare e intervenire. Analizza il comportamento del sistema a intervalli regolari e registra cosa accade quando si verifica un problema.

Quindi, ripetere il procedimento per il sistema successivo. Ciò che viene considerato una prova sufficiente in ogni fase dipende dal livello di rischio del sistema e dalle regole applicabili. È in questo ambito che risiede la maggior parte del giudizio.

È possibile per una piccola azienda creare una traccia di controllo basata sull'intelligenza artificiale senza un team dedicato alla conformità?

Sì. Una piccola azienda non ha bisogno di un reparto di conformità o di una piattaforma di registrazione per iniziare. Le servono tre cose: un responsabile designato per ogni sistema di IA, un unico luogo in cui archiviare i dati e una revisione mensile che venga effettivamente effettuata. Questi KPI di governance dell'IA forniscono a tale revisione un parametro di misurazione.

Prima di iniziare qualsiasi progetto, scoprite a che punto siete. Prendete il sistema di intelligenza artificiale che ha il maggiore impatto sui vostri clienti o dipendenti e rispondete a sette domande, una per ogni fase:

Sapresti indicare chi l'ha approvato e perché l'azienda lo utilizza?
Sai quali dati vengono utilizzati e se ti è consentito usarli in questo modo?
Potresti mostrarci com'è configurato oggi e cosa è cambiato dal lancio?
Esiste una documentazione che attesti come è stato testato prima che le persone vi facessero affidamento?
Una persona specifica è responsabile del controllo dell'output?
Qualcuno ha verificato come si è comportato negli ultimi tre mesi?
Se domani dovesse causare un problema, tutti saprebbero cosa fare e dove verrebbe registrato?

Ogni "no" rappresenta un anello spezzato nella catena. La maggior parte delle aziende ne trova diversi. Molte scoprono anche più sistemi di intelligenza artificiale di quanto si aspettassero: in genere, una volta effettuato un inventario accurato, le organizzazioni scoprono il 30-40% in più di sistemi di intelligenza artificiale rispetto a quanto pensavano di avere.

Come fai a sapere se il tuo sistema di tracciamento delle attività basato sull'IA funziona correttamente?

Esegui il test di sei mesi. Scegli una decisione presa con il supporto dell'intelligenza artificiale sei mesi fa e prova a ricostruirla basandoti esclusivamente sui dati, senza chiedere a nessuno cosa ricorda.

Dovresti essere in grado di dimostrare quale sistema è stato utilizzato, come era configurato al momento, quali dati conteneva, chi ne ha approvato l'uso, chi ha esaminato l'output e se si sono verificati problemi in seguito. Ogni domanda a cui non è possibile rispondere consultando la documentazione è un collegamento non funzionante.

Cinque errori comuni che compromettono la maggior parte dei sentieri:

Acquistare un attrezzo prima di fare l'inventario. Una piattaforma di registrazione non può registrare sistemi di cui nessuno è a conoscenza.
Conservare le prove nelle caselle di posta e nelle menti. Se l'approvazione risiede nell'indirizzo email di una persona, viene revocata quando quella persona la revoca.
Vengono salvati solo i test superati. I test falliti e le conseguenti correzioni sono la prova più convincente che la validazione è stata reale.
Considerare l'IA del fornitore come un problema del fornitore stesso. Ai sensi della legge europea sull'intelligenza artificiale, un'azienda che utilizza un sistema ad alto rischio ha specifici obblighi in qualità di implementatore, tra cui la supervisione umana, il monitoraggio e la tenuta dei registri.
Lo faccio una volta sola. Una traccia che si interrompe il giorno del lancio dimostra che il sistema era governato il giorno del lancio.

Domande frequenti

Che cos'è l'AI Evidence Chain™?

AI Evidence Chain™ è il framework in sette fasi di RaaSify.AI per la produzione di prove di governance dell'IA pronte per l'audit. Le fasi sono: Intento aziendale, Dati, Sviluppo, Validazione, Implementazione, Monitoraggio e Risposta agli incidenti. È stato creato da Ma Cherie Cortez, PhD, ed è un marchio registrato (BOIP Reg. No. 1551399).

Qual è la differenza tra una traccia di controllo dell'IA e la registrazione dei dati dell'IA?

I log registrano ciò che è accaduto all'interno di un sistema. Un registro di controllo (audit trail) registra anche le decisioni prese in merito: perché il sistema è stato adottato, chi lo ha approvato, come è stato testato e cosa è stato fatto dopo un incidente. I log sono un input per la fase di monitoraggio, ma non costituiscono l'intera traccia.

Le piccole imprese hanno bisogno di una traccia di controllo basata sull'intelligenza artificiale?

Sì, se l'IA influenza decisioni che riguardano le persone, come assunzioni, prestiti o assistenza clienti, oppure se un cliente, un investitore, un partner o un membro del consiglio di amministrazione chiede come gestite l'IA. Gli obblighi legali previsti dalla legge europea sull'IA dipendono dal livello di rischio di ciascun sistema e dal fatto che siate il fornitore o l'installatore. Per gli strumenti a basso rischio, è comunque consigliabile conservare una traccia di base, perché è ciò che si mostra quando qualcuno la richiede.

Per quanto tempo devono essere conservati i dati relativi all'IA?

Ai sensi della legge europea sull'IA, per i sistemi ad alto rischio, i log generati automaticamente devono essere conservati per almeno sei mesi (articolo 19 per i fornitori, articolo 26(6) per gli implementatori). I fornitori devono conservare la documentazione tecnica per 10 anni (articolo 18). Altre leggi, contratti e normative di settore possono prevedere periodi di conservazione più lunghi. I log spesso contengono dati personali, pertanto il periodo di conservazione deve essere conforme alla normativa sulla protezione dei dati.

Ho bisogno di un software per creare una traccia di controllo dell'IA?

No. Un foglio di calcolo e una cartella condivisa sono sufficienti per un'azienda con pochi strumenti di intelligenza artificiale. Le piattaforme di governance giustificano il loro costo quando si hanno molti sistemi, diversi team o sistemi sviluppati internamente. Decidete dopo l'inventario, quando sapete cosa avete.

Ho bisogno di un consulente per creare una traccia di controllo dell'IA?

Non sempre. Se si utilizzano alcuni strumenti di IA a basso rischio e qualcuno all'interno dell'azienda ha il tempo di occuparsene, si può iniziare in autonomia. L'aiuto esterno è utile quando l'IA influenza le decisioni che riguardano le persone, quando un cliente, un revisore o un ente regolatore richiede prove, quando si ha una scadenza da rispettare o quando nessuno in azienda è in grado di valutare cosa costituisca una prova sufficiente. Una valutazione a portata fissa è solitamente sufficiente per capire in quale caso ci si trova.

Devo fare riferimento alla legge europea sull'intelligenza artificiale, alla norma ISO/IEC 42001 o al quadro di riferimento NIST sull'intelligenza artificiale?

Svolgono funzioni diverse. L'EU AI Act è la legge che si applica alle organizzazioni che forniscono o utilizzano sistemi di intelligenza artificiale nell'UE. ISO/IEC 42001 è uno standard per sistemi di gestione certificabili. Il NIST AI RMF è un framework volontario del National Institute of Standards and Technology degli Stati Uniti. L'AI Evidence Chain™ si collega a tutti e tre, quindi un unico insieme di prove può essere utilizzato per quello che si applica al vostro caso.

Quando si applicano gli obblighi relativi agli investimenti ad alto rischio previsti dalla legge europea sull'intelligenza artificiale?

I sistemi autonomi ad alto rischio elencati nell'allegato III devono essere conformi entro il 2 dicembre 2027. L'intelligenza artificiale ad alto rischio integrata in prodotti regolamentati ai sensi dell'allegato I deve essere conforme entro il 2 agosto 2028. Entrambe le date sono state posticipate dalla Digital Omnibus sull'IA nel 2026. Il rinvio non riguarda le pratiche proibite, gli obblighi relativi ai modelli di IA di uso generale o le norme generali sulla trasparenza.

Da dove iniziare?

Inizia con l'autovalutazione di sette domande e il test di sei mesi su un sistema. Se emergono delle lacune, o se preferisci che siano individuate per te, l'Audit AI Evidence Chain™ fa proprio questo.

Si tratta di una valutazione a portata fissa, della durata di 4 settimane, dei vostri sistemi di intelligenza artificiale rispetto a tutte e sette le fasi, in conformità con la legge europea sull'IA, la norma ISO/IEC 42001 e il framework NIST AI RMF. Riceverete un inventario completo dei sistemi di IA, un report sulle lacune riscontrate fase per fase e una roadmap di intervento prioritaria. Non vi è alcun obbligo di proseguire in seguito.

Se sai già che il sentiero deve essere costruito entro una data limite, Lo Sprint di Governance di 90 giorni lo crea. Se esiste e deve essere mantenuto attivo ogni mese, questo è l'AI Governance as a Service.

Prenota la tua consulenza di valutazione per l'audit AI Evidence Chain™

Informazioni sull'autore

Ma Cherie Cortez, PhD, è la fondatrice di RaaSify.AI e la creatrice dell'AI Evidence Chain™. Vanta 27 anni di esperienza nella leadership IT a livello globale, maturata lavorando sulla governance dell'IA aziendale presso Philips, AB InBev, DLL e Lloyds Banking Group. Ora mette a frutto questa esperienza per aiutare le piccole e medie imprese a prepararsi per l'entrata in vigore dell'EU-AI Act e della norma ISO/IEC 42001. RaaSify.AI è un partner di formazione certificato EXIN.

AI Evidence Chain™ è un marchio registrato di Ma Cherie Cortez, PhD. Numero di registrazione BOIP: 1551399, registrato il 25 agosto 2026.

Fonti