Uno dei requisiti tecnici più concreti che l’AI Act impone ai sistemi di IA ad alto rischio è la registrazione automatica: il sistema deve essere in grado di generare log che permettano di ricostruire il suo comportamento dopo aver preso o assistito una decisione.
Non è un requisito astratto. L’AI Act specifica il tipo di informazioni che devono essere registrate, e agosto 2026 è la data in cui questi obblighi entrano in vigore per la maggior parte dei sistemi. Questa guida spiega cosa registrare, come e per quanto tempo.
Cos’è un audit trail nei sistemi di IA
Un audit trail è una sequenza cronologica di registrazioni che documenta gli input, l’elaborazione e gli output di un sistema nel tempo. Nei sistemi convenzionali esiste da decenni per scopi di sicurezza e conformità. Nei sistemi di IA ad alto rischio, l’AI Act lo rende obbligatorio e specifica il contenuto minimo di tali registrazioni.
L’obiettivo regolatorio è concreto: se un sistema di IA assiste una decisione che riguarda una persona — valutare un candidato, rifiutare un credito o raccomandare una diagnosi — deve essere possibile ricostruire esattamente quali input il sistema ha ricevuto e quali output ha generato.
Quali informazioni l’AI Act richiede di registrare
- Identificare il periodo di funzionamento del sistema
- Registrare gli input elaborati per ogni decisione o assistenza
- Registrare gli output per ogni decisione
- Identificare le persone responsabili della supervisione del sistema
- Rilevare e registrare situazioni di rischio o anomalie operative
| Campo | Descrizione |
|---|---|
| timestamp | Data e ora esatta di ogni operazione |
| input_hash o input_id | Riferimento ai dati di input (senza necessariamente salvare i dati grezzi) |
| output | La decisione o raccomandazione generata |
| model_version | Versione del modello che ha generato l’output |
| confidence_score | Punteggio di confidenza o probabilità se applicabile |
| human_override | Se è intervenuto un umano per modificare o rifiutare l’output |
| operator_id | Identificatore dell’operatore o supervisore umano |
| context_flags | Eventuali segnali di anomalia o situazioni di rischio rilevate |
Per quanto tempo conservare i registri
L’AI Act prevede che i registri debbano essere conservati per un periodo minimo di sei mesi, salvo disposizioni diverse del diritto dell’Unione o nazionale applicabile. In pratica, per molti sistemi in settori regolamentati come la finanza o la sanità, i periodi di conservazione possono essere molto più lunghi — 2, 5 o anche 10 anni.
Privacy e log: il conflitto con il GDPR
La sfida tecnica più grande dell’audit trail nell’IA è l’intersezione con il GDPR. I dati di input possono contenere dati personali, e il GDPR obbliga a minimizzarli e a non conservarli più del necessario.
- Pseudonimizzazione: gli input vengono salvati con un ID di riferimento, non con i dati personali grezzi
- Hashing degli input: salvare l’hash dell’input, non l’input stesso
- Separazione dei log: il log di audit dell’AI Act e il log dei dati personali sono sistemi separati con accessi differenziati
Cosa succede se l’audit trail è incompleto o assente
L’assenza di registrazioni adeguate in un sistema ad alto rischio costituisce inadempimento dell’AI Act, sanzionabile con multe fino a 15 milioni di euro o il 3% del fatturato globale. Oltre alla multa, l’impossibilità di auditare una decisione può generare responsabilità civile aggiuntiva.
Progettare per l’audit trail fin dall’inizio
La conclusione pratica è che un audit trail è significativamente meno costoso da implementare quando è progettato fin dall’inizio rispetto a quando viene aggiunto a un sistema già in produzione.
Come può aiutarti Yeeply
In Yeeply lavoriamo con aziende certificate specializzate in architetture di IA che integrano già i requisiti di logging dell’AI Act nei loro pattern di progettazione. Che tu debba auditare un sistema esistente o progettarne uno nuovo con la conformità integrata, possiamo metterti in contatto con il team tecnico giusto.
Per i progetti con budget ridotto, collaboriamo anche con team spagnoli specializzati che offrono le stesse garanzie tecniche a un costo del 30–40% inferiore. Usa il pulsante Richiedi un preventivo su yeeply.com/it o scrivi a sales@yeeply.com.
Post relativi
Divieti dell’AI Act già in vigore: cosa è vietato nell’IA in Europa dal 2025
Quali usi dell'intelligenza artificiale sono vietati in Europa dal febbraio 2025 in base all'AI Act: riconoscimento delle emozioni, scoring sociale, identificazione biometrica in tempo reale e altro.
Cos’è il RAG e come creare un’IA che risponde con i dati della tua azienda
Cos'è il RAG e come creare un'IA che risponde con i dati della tua azienda: fonti, permessi, sicurezza, costi e casi d'uso, con calcolatore di prezzo.
AI Act europeo 2026: la roadmap per le aziende, scadenze e cosa fare prima
Guida pratica alla conformità all'AI Act 2026: quali scadenze sono già passate, cosa porta agosto 2026 e come prioritizzare le azioni in base al tipo di sistema di IA che sviluppi o utilizzi.
Cos’è l’AI Act europeo e chi deve rispettarlo nel 2026: guida pratica
Guida pratica all'AI Act europeo 2026: piramide dei rischi, a chi si applica, scadenze già in vigore e sanzioni fino a 35 M€. Tutto quello che le aziende che sviluppano o usano l'IA devono sapere.
Quanto costa integrare l’IA in un’applicazione aziendale nel 2026?
Costi reali dell'integrazione IA nelle app aziendali italiane nel 2026: chatbot, elaborazione documenti, fine-tuning. Più i costi nascosti che nessuno cita.
CSRD e sistemi informativi: gli adattamenti tecnici che le aziende italiane devono pianificare ora
Quali adattamenti tecnici la CSRD impone ai sistemi informativi delle aziende italiane: integrazione dati, Scope 3, pista di audit e calendario realistico.