Vai al contenuto principale
La maggior parte del lavoro di compliance AI è lavoro sulle evidenze: dimostrare che i controlli richiesti da un framework sono effettivamente in esecuzione sul percorso usato dai tuoi agent, e consegnare a un auditor qualcosa che possa verificare senza doversi fidare della tua parola. OrcaRouter trasforma un framework in un insieme funzionante di controlli e in un report firmato in pochi passi — installi un pack, lo osservi in observe mode, poi attivi l’applicazione e generi le evidenze. Questa pagina è l’hub. Spiega le parti in movimento e rimanda alla pagina dedicata a ciascuna.

​
1. Cosa significa compliance AI sul gateway

Un pack di compliance è un framework espresso come controlli. Installare un pack materializza due oggetti reali e modificabili nel tuo workspace:
  • un Guardrail — i controlli del piano dei contenuti (PII, segreti, output non sicuro) che il framework si aspetta su richieste e risposte;
  • una policy Firewall e le sue regole — i controlli del piano delle azioni (quali chiamate a tool, dispatch MCP e destinazioni egress sono consentite).
Poiché gli oggetti sono reali, il pack non è una casella da spuntare — è la stessa macchina di guardrail e firewall che usa il resto del tuo workspace, taggata al framework così che i report possano leggerne lo stato.
Sfogliare il catalogo, i pack installati e la readiness è aperto a ogni Member del workspace ed è gratuito. Installare un pack e andare live richiedono il ruolo Admin del workspace e un piano a pagamento. Generare un report è anch’esso Admin — il piano gratuito include un report PDF; gli export CSV/JSON e i report aggiuntivi richiedono un piano a pagamento. Impostare la residency è anch’esso Admin-gated. Vedi Plan gating.

​
2. Osserva prima di applicare

Un pack appena installato atterra in observe mode: le azioni del guardrail sono forzate a flag (annota, non bloccare) e la policy del firewall gira in shadow (logga [shadow] would … invece di negare). Nulla di ciò che fanno i tuoi agent viene interrotto mentre apprendi cosa avrebbero intercettato i controlli. Quando i feed di match ed eventi appaiono puliti, vai live — gli stessi oggetti passano all’applicazione reale. Questo arco osserva-poi-applica è l’abitudine più importante nel rollout di compliance, e ha una sua pagina dedicata.

Observe vs enforce

L’arco completo del rollout — cosa logga l’observe mode, come il go-live lo ribalta, e come leggere il segnale prima di impegnarti.

Cosa contiene un pack

Gli esatti oggetti guardrail e firewall che un pack materializza, e come mappano sui controlli del framework.

​
3. Scegli un framework

Il catalogo copre framework generali di sicurezza e di governance dell’AI (soc2, iso_27001, iso_42001, nist_ai_rmf, eu_ai_act, owasp_llm), regimi settoriali (hipaa, pci_dss, glba, nist_800_53), e un’ampia serie di leggi regionali sulla privacy (gdpr, uk_gdpr, ccpa, e altre). Sfoglia l’elenco live anziché codificarlo a mano.

SOC 2

HIPAA

GDPR

EU AI Act

ISO 27001

ISO 42001

NIST AI RMF

OWASP LLM Top 10

PCI DSS

CCPA

Tutti i framework

Matrice dei controlli

​
4. Installa un pack (un flusso concreto)

L’installazione si avvia dalla console sotto Compliance → Catalog, come Admin del workspace. L’azione è server-gated a un piano a pagamento; materializza gli oggetti guardrail e firewall in observe mode. La console guida per te questa rotta di management (usa la tua sessione, non una chiave di relay): 
POST /api/compliance/packs/soc2/install
Authorization: Bearer <your console session>
Dopo l’installazione, apri Readiness per vedere quali controlli sono soddisfatti, osserva i feed per una settimana, poi vai live. La pagina Installa un pack percorre l’intera sequenza; Export delle evidenze copre cosa esce dall’altro capo.
Le letture restano aperte ai Member così i tuoi revisori di sicurezza e di audit possono osservare la readiness senza accesso in scrittura. Solo l’Admin che possiede il rollout ha bisogno della capability di installazione e go-live.

​
5. Report firmati e verificabili

Un report di compliance è un’evidenza di cui un auditor può fidarsi senza fidarsi di te. Ogni report porta un hash di contenuto SHA-256 e una firma Ed25519 su quell’hash, ed è esportabile come CSV, JSON o PDF. La firma è verificabile pubblicamente — chiunque possieda il report e la chiave pubblica di OrcaRouter può confermare che non è stato alterato.
Un Admin del workspace genera il report; viene hashato e firmato alla creazione. Vedi Report firmato.
Recupera la chiave pubblica da GET /api/public/compliance/pubkey e fai POST /api/public/compliance/verify del report — nessun account necessario. Vedi Verifica un report.
Genera un link in sola lettura che il tuo auditor apre su GET /api/public/compliance/share/:token — con scope su un solo report, senza login. Vedi Export delle evidenze.

​
6. Data residency per le evidenze

La residency sul gateway governa dove vengono archiviati e serviti i tuoi report di compliance firmati — non dove gira l’inferenza. Ogni report è marcato con la regione che hai dichiarato, e un report viene servito solo sotto una regione dichiarata corrispondente; una lettura cross-region viene trattenuta. La regione è una tra us, eu, uk, ap, cn o global, impostabile da un Admin del workspace: 
PUT /api/compliance/residency
Authorization: Bearer <your console session>

{ "region": "eu" }
La residency è una proprietà dell’artefatto report, non una garanzia che il traffico del modello sia geo-bloccato. Se una regolamentazione richiede che l’inferenza resti in una regione, quella è una decisione di routing upstream, separata da dove vivono le evidenze.

Data residency

Imposta e cambia la regione sotto cui le tue evidenze sono archiviate e servite.

Letture cross-region

Perché un report marcato per una regione non viene servito sotto un’altra, e come gestire i programmi multi-region.

​
7. Retention ed erasure

Due orologi contano per la compliance AI, ed entrambi hanno default osservabili dal cliente:
SoggettoDefaultLimite massimo
Retention dei log delle richieste30 giorni180 giorni (server-clamped)
Grazia per cancellazione utente30 giorni, poi scrub delle PII—
Il diritto alla cancellazione è integrato: una self-delete avvia una finestra di grazia di 30 giorni, dopo la quale le PII vengono ripulite e il cascade purga match dei guardrail, log delle richieste ed eventi del firewall. Le pagine Retention, Diritto alla cancellazione e Consenso coprono la meccanica delle DSAR.

​
8. Dove si colloca

La compliance legge gli stessi controlli configurati dal resto del modello di sicurezza. Se atterri qui per primo, parti dai concetti:

Responsabilità condivisa

Cosa protegge il gateway rispetto a ciò che rimane tuo — la mappa onesta dei confini per qualsiasi rivendicazione di compliance.

Modalità di applicazione

Observe, audit ed enforce — il vocabolario condiviso dietro il go-live.

Il control stack

Chiavi, guardrail, firewall e audit in un’unica immagine.

Glossario

Pack, readiness, residency, attestazione e il resto dei termini.
Un programma di compliance su OrcaRouter è sempre lo stesso loop: installa il pack, osserva cosa intercetta, vai live, e consegna al tuo auditor un report firmato che può verificare da sé.