Consulenza · Governance e compliance
Consulenza AI, governance e compliance per aziende in settori regolamentati
Analisi normativa del sistema di intelligenza artificiale che hai — o che stai per comprare — portata fino all’architettura che deve reggerla. Per organizzazioni in cui un output ha conseguenze: sanità e distribuzione farmaceutica, banche e assicurazioni, energia, ingegneria, logistica, manifattura.
Dynamics Consulting è uno studio indipendente di consulenza e ingegneria AI, guidato da Corrado Patierno, che lavora su infrastruttura AI sovrana, governance dell’AI e ambienti regolamentati. Consulenza e implementazione stanno nello stesso studio: chi scrive il requisito è in grado di costruire il sistema che lo soddisfa.
A chi serve
La richiesta arriva quasi sempre da tre posti: un CTO o un CIO che deve rispondere dell’architettura, una funzione compliance o risk che deve rispondere dell’obbligo, un consiglio di amministrazione che ha scoperto che le due risposte non coincidono.
Vale allo stesso modo per un sistema comprato da un fornitore e per uno costruito in casa. Gli obblighi di chi mette in esercizio un sistema di AI non dipendono da chi ha scritto il codice.
I problemi che affronta
Un sistema entra in produzione e nessuno sa dire quali regimi normativi lo raggiungono, in quale ruolo, con quali scadenze già passate.
Esiste una policy e l’architettura fa un’altra cosa. Il documento dice che gli output sono tracciabili; il sistema non conserva traccia di quale revisione del documento ha prodotto una risposta.
Si applicano più regimi insieme e vengono gestiti come programmi separati: lo stesso controllo si costruisce due volte, e nello spazio fra i due si concentrano le omissioni.
Si dà per scontato che la responsabilità sia del fornitore, e il contratto non lo dice. Dal 9 dicembre 2026 la direttiva europea sulla responsabilità da prodotto include il software fra i prodotti, e questo cambia quanto vale una clausola di limitazione.
Che cosa facciamo, concretamente
Posizionamento normativo del sistema
Quali regimi raggiungono davvero il sistema che hai o che stai comprando, in quale ruolo — fornitore, deployer, distributore — e quali obblighi discendono da quel ruolo, non dalla classificazione commerciale del venditore.
Revisione architetturale rispetto agli obblighi
Confini del retrieval, residenza dei dati, identità e segregazione degli accessi, profondità dei log, retention, catena di fornitura del modello, punti di approvazione umana. Ogni obbligo è ricondotto al componente che lo regge, oppure registrato come scoperto.
Analisi degli incroci
Dove due regimi chiedono lo stesso controllo — gestione degli accessi, audit log, change management, gestione degli incidenti — il controllo si dichiara una volta e si documenta su entrambi, invece di costruirlo due volte. È a questo che serve CEPF.
Disegno della governance
Chi decide, chi approva, chi viene informato ed entro quanto. Ruoli, escalation e obblighi di segnalazione scritti come procedure che l’organizzazione può eseguire davvero, non come policy che nessuno apre.
Sequenza di rimedio
Cosa va fatto, in che ordine, con quale urgenza, distinguendo ciò che è già scaduto da ciò che ha una data futura — e quanto costa in effort, per ruolo.
Implementazione
Quando la conclusione è che l’architettura deve cambiare, lo stesso studio la progetta e la costruisce: retrieval, identità, audit e approval gate come lavoro di ingegneria, sulla tua infrastruttura o su Nexus MDS Core.
Che cosa ricevi
Documenti, non presentazioni. Ogni affermazione è classificata: cosa è verificato sulla documentazione fornita, cosa è dedotto, cosa richiede un accertamento fuori dal perimetro concordato. Il documento è firmato, e chi lo firma risponde professionalmente di quello che c’è scritto.
- Rapporto di esposizione normativa. Quali regimi si applicano, in quale ruolo, con quali obblighi già dovuti e quali ancora davanti.
- Mappa di responsabilità architetturale. Ogni obbligo ricondotto al componente che lo regge, o registrato come scoperto.
- Registro degli incroci. I controlli condivisi fra regimi, dichiarati una volta e documentati su ciascuno.
- Modello di governance. Decisione, approvazione, escalation e segnalazione, con i ruoli nominati.
- Piano di rimedio. Azioni in sequenza, effort per ruolo, distinguendo lo scaduto dal programmato.
Regimi e framework nel perimetro
Sono i regimi che la metodologia tratta come obblighi operativi, non come principi. Dove un obbligo appartiene a una funzione fuori da questo perimetro — sicurezza di rete, continuità operativa, protezione dei dati sul piano legale — l’analisi segnala il punto di incrocio e indica che cosa consegnare a chi se ne occupa, senza fingere di valutarlo.
- AI Act — Regolamento (UE) 2024/1689 — classificazione, obblighi del deployer, trasparenza, alfabetizzazione AI
- GDPR — Regolamento (UE) 2016/679 — base giuridica, minimizzazione all’ingestion, diritti degli interessati
- PLD 2024 — Direttiva sulla responsabilità da prodotto — il software è un prodotto dal 9 dicembre 2026
- NIS2 — Direttiva (UE) 2022/2555 — sicurezza delle reti e dei sistemi informativi
- DORA — Regolamento (UE) 2022/2554 — resilienza operativa per il settore finanziario
- Cyber Resilience Act — Regolamento (UE) 2024/2847 — compreso l’obbligo di segnalazione dell’articolo 14
- ISO/IEC 27001:2022 — Sistema di gestione della sicurezza delle informazioni
- ISO 56001:2024 — Sistema di gestione dell’innovazione
La compliance non è documentazione aggiunta alla fine
Un sistema che non sa dire quale revisione di un documento ha prodotto una risposta non diventa tracciabile perché una policy lo afferma. Governance, tracciabilità, confini del dato, controllo degli accessi, auditabilità e approvazione umana sono vincoli architetturali: si decidono quando il sistema si progetta, e metterli dopo costa più che costruirli subito.
È la ragione per cui consulenza e ingegneria stanno nello stesso studio. L’analisi smette di essere un parere nel punto in cui qualcuno deve mettere le mani su una pipeline di retrieval — ed è lì che quasi tutto il lavoro di compliance viene abbandonato.
Gli strumenti
CEPF — la metodologia
Il Compliance-Epistemic Project Framework è un catalogo di incroci normativi: i regimi scomposti nei deliverable che richiedono davvero, nei ruoli che li producono, nell’effort che portano e nei punti in cui due regimi chiedono lo stesso controllo. Versione 7, snapshot luglio 2026 — 19 framework, 247 requisiti, 24 gruppi di sovrapposizione, 695 template documentali.
CEPF in dettaglio →Calibra — il software
Calibra implementa CEPF. Oltre al catalogo normativo gestisce rischi, tempi, flusso operativo, Gantt e milestone: è quello che trasforma un piano di rimedio in un programma con date e responsabili. Sulla pagina CEPF gira una demo ridotta, in italiano.
Che cos’è Calibra →Nexus MDS Core — la piattaforma
Sedici servizi orchestrati per ambienti regolamentati: indicizzazione, retrieval e audit locali, identità Zero-Trust, motore di workflow, generazione esterna sostituibile. È la strada implementativa quando l’analisi conclude che deve cambiare l’architettura.
Nexus MDS Core →Come si parte
Assessment di esposizione. È il punto di ingresso a perimetro fisso, e un singolo incarico dentro questa consulenza, non la consulenza intera: tre giornate su contratti, architettura e catena di fornitura, 4.500 euro più IVA, consegna entro quindici giorni lavorativi con documento firmato. Se entro novanta giorni si apre un’implementazione o un incarico continuativo, l’importo viene scomputato. Perimetro e condizioni.
Consulenza continuativa. Disegno della governance e revisione architetturale lungo la vita di un programma, anche nella forma del fractional CTO, quando la decisione deve essere presa dentro l’organizzazione e non raccomandata da fuori.
Implementazione. Progettazione e realizzazione di quello che l’analisi richiede — retrieval, identità, audit, approval gate — sulla tua infrastruttura o su Nexus MDS Core.
In che cosa è diversa dalla consulenza legale
Un parere legale dice cosa prevede la norma. Non apre la pipeline di retrieval per verificare se fra diciotto mesi sarà ancora possibile ricostruire la risposta che il sistema ha dato. Questo lavoro lo fa, e dichiara quale componente regge ciascun obbligo.
Quello che non viene consegnato è una certificazione di conformità — e non esiste consulente che possa consegnarla. La conformità la stabilisce la valutazione prevista dal regolamento, non un parere e non la topologia del deployment. Pareri legali, contrattualistica e rapporti con le autorità restano agli avvocati: il documento è scritto per essere letto da un consiglio e usato da un legale.
In produzione, non in teoria
Federfarma Lombarda — assistente normativo per oltre 1.000 farmacie delle province di Milano, Lodi e Monza Brianza, circa 2.000 interrogazioni al giorno. Catena di versioni esplicita, così le risposte citano ciò che è in vigore e non ciò che è soltanto pertinente; dati personali esclusi all’ingestion; registro inalterabile. Leggi il caso.
Gli incarichi sono seguiti direttamente da Corrado Patierno: venticinque anni di architettura di sistemi enterprise in ambienti regolamentati e business-critical, Innovation Manager certificato dal Ministero delle Imprese, membro del consiglio direttivo di ENTD dal 2020 al 2025.
Percorsi per settore: sanità, farmaceutico, finanza e compliance, ingegneria e norme tecniche. Il quadro generale sta in Sovereign AI Italia.
Domande frequenti
- È consulenza legale?
- No. Il lavoro è tecnico e organizzativo: cosa la norma chiede ai sistemi e ai processi, cosa fa oggi l’architettura, dove le due cose divergono. Pareri legali, contrattualistica e rapporti con le autorità restano agli avvocati dell’organizzazione — il documento è scritto per essere consegnato a loro.
- Rilasciate una certificazione di conformità?
- Nessun consulente può rilasciarla. La conformità la stabilisce la valutazione prevista dal regolamento, non un parere e non la topologia del deployment. Quello che ricevi è un documento firmato che dice cosa hai, cosa ti manca e in che ordine chiudere il divario: in un’ispezione vale, un’autodichiarazione di conformità no.
- Da dove parte di solito un incarico?
- Dall’assessment di esposizione: tre giornate di lavoro su contratti, architettura e catena di fornitura, con un documento firmato. È un incarico a perimetro fisso, non l’intera consulenza. Se il quadro è già chiaro, si parte direttamente dalla progettazione o dall’implementazione.
- Bisogna adottare Nexus MDS Core?
- No. Gran parte del lavoro di advisory si svolge su sistemi costruiti da altri fornitori e lì rimane. Nexus MDS Core è la strada implementativa quando l’analisi conclude che deve cambiare l’architettura: è una piattaforma che progettiamo e gestiamo, non un prerequisito della consulenza.
- Che differenza c’è fra CEPF e Calibra?
- CEPF — Compliance-Epistemic Project Framework — è la metodologia: il catalogo che mappa i regimi normativi sugli obblighi operativi che ciascuno produce e sui punti in cui questi si sovrappongono. Calibra è il software che implementa CEPF e aggiunge rischi, tempi, flusso operativo, Gantt e milestone. Entrambi sono proprietari di Dynamics Consulting e si usano dentro gli incarichi.
Dove si ferma la responsabilità del tuo fornitore, e dove comincia la tua?
Dal 9 dicembre 2026 la direttiva europea sulla responsabilità da prodotto include il software fra i prodotti. L'assessment di esposizione stabilisce, per la tua organizzazione, dove passa il confine — ed è da lì che parte quasi ogni incarico di governance.
Assessment di esposizione →