Compliance-Epistemic Project Framework (CEPF)

CEPF è un catalogo di incroci normativi: mappa i regimi regolatori sugli obblighi operativi che ciascuno produce, e sui punti in cui quegli obblighi si sovrappongono. Esiste perché un’organizzazione soggetta a più regimi insieme non ha davanti una somma di programmi di compliance separati: ha un solo programma con controlli condivisi, ed è proprio nei controlli condivisi che si concentrano sia i costi sia le omissioni.

Il framework lavora sugli obblighi, non sui principi. Ogni regime viene scomposto nei deliverable che richiede davvero, nei ruoli che li producono e nell’impegno che ciascuno comporta. Dove due regimi chiedono lo stesso controllo — gestione degli accessi, audit logging, change management, gestione degli incidenti — il controllo si definisce una volta sola e si documenta rispetto a ciascun regime, invece di costruirlo due volte.

CEPF è proprietario di Dynamics Consulting ed è lo strumento su cui si basano l’assessment di esposizione e, più in generale, il lavoro di consulenza su governance e compliance dell’AI.

CEPF v7 — 19 framework, 247 requisiti, 24 gruppi di sovrapposizione tra framework, 695 template documentali — snapshot luglio 2026

Un gruppo di sovrapposizione è un punto in cui due o più regimi richiedono lo stesso controllo: non un principio simile, ma un artefatto o un processo che si può costruire una volta e documentare rispetto a ciascun regime. Gestione degli accessi, audit logging, change management, gestione degli incidenti, uno SBOM, un fascicolo tecnico, un piano di sorveglianza post-commercializzazione. Un programma costruito regime per regime fa quel lavoro due volte e lascia comunque buchi nei punti di giunzione; un programma costruito sugli incroci lo fa una volta e lo documenta rispetto a ciascuno.

Quali gruppi esistono, quali requisiti rientrano in ciascuno e quanto vale in termini di impegno il controllo condiviso restano dentro il framework: quella mappatura è lo strumento, e si applica negli incarichi, non si pubblica.