Registro aggiornato. Negli ultimi 30 giorni: 14.280 decisioni registrate su 6 agenti attivi. Breakdown: 11.920 pass silente, 1.840 segnalazione, 520 blocco.
AGENTE · AUDIT RECORDER
Ogni decisione automatica del runtime resta nel registro ispezionabile via SQL.
Audit Recorder è l'agente nativo del runtime di Polyant. Registra ogni decisione automatica di ciascun agente in un registro immutabile su tabelle PostgreSQL dedicate. DPO, compliance officer e auditor interrogano il registro con un client SQL standard, anche mesi dopo la decisione.
Audit Recorder al lavoro.
Mi serve l'export per l'ispezione: tutte le decisioni di blocco di Compliance Scan sugli ultimi 12 mesi, tipo contratto corporate.
Query pronta. Filtro: agent=compliance-scan, tipo=blocco, categoria=contratto-corporate, range=12 mesi. Risultato: 1.247 record con regola attivata, esito, motivazione, timestamp. Export CSV disponibile.
Perché esiste.
L'auditabilità delle decisioni automatiche è uno dei requisiti regolatori più strutturali per i sistemi AI in settori regolati. GDPR art. 22 richiede tracciabilità delle decisioni automatizzate su persona fisica. AI Act impone logging automatico per i sistemi ad alto rischio. IVASS, Banca d'Italia, ARERA richiedono accessibilità degli audit log per ispezione.
Cosa registra per ogni decisione.
Audit Recorder è l'agente nativo del runtime Polyant che registra ogni decisione di ciascun agente. Per ciascuna decisione: identificativo del runtime, identificativo dell'agente, identificativo della conversazione, fase della pipeline (input governance, output governance, tool call), tipo di gate attivato, policy applicata, esito (allow, block, warn), confidenza, motivazione strutturata, evidenza (JSONB), timestamp.
La decisione resta al team.
Il registro vive in tabelle PostgreSQL dedicate del database del cliente. DPO, compliance officer e auditor interrogano il registro con qualunque client SQL standard (DBeaver, psql, Datagrip) anche mesi dopo, senza dover passare da console proprietarie del fornitore.
Tre figure di controllo che trovano l'evidenza pronta quando serve.
DPO
Ha la traccia ispezionabile per audit GDPR art. 22 sulle decisioni automatizzate. Per le richieste del cliente (art. 15 sul diritto di accesso, art. 22 sul diritto di non essere sottoposto a decisione automatizzata), la risposta si costruisce dal registro.
fnol.receive 09:14:22 ALLOW
triage.classify 09:14:25 ALLOW
idd.check 09:14:31 WARN
liquidation.propose 09:15:02 ALLOW
SELECT * FROM audit_log WHERE claim_id = '2024-0847'
Compliance officer di settore
IVASS per assicurazioni, Banca d'Italia per banking, AGENAS per sanità, ARERA per utility: ha l'evidenza strutturata per audit periodici o ispezioni. L'export per l'ispettore è una query SQL standard.
Proposta n. 2024-081 In revisione
Disclosure mancante
art. 21 TUF · strumento finanziario regolato
Alt. 1 …nel rispetto dell'art. 21 TUF e delle disposizioni Consob vigenti.
Alt. 2 …con disclosure completa allegata al documento di offerta.
Traccia audit registrata · 14:31
Auditor esterno
Società di revisione, certificatori: possono eseguire la propria audit direttamente sul registro con i propri tool, senza dipendere dal fornitore. L'agente è il pattern di audit cardinale del runtime, applicabile cross-settore.
10 controlli attivi
policy.evaluate 14:02:11 ALLOW
pii-detector 14:01:58 BLOCK
tool.invoke 14:01:42 WARN
memory.write 14:01:09 BLOCK
Un'ispezione che si chiude in ore, non in settimane.
Decine di migliaia di decisioni al mese, tutte nel registro.
Per una banca con sei agenti Polyant in produzione (Compliance Scan, RevOps Brief, KYC/AML, Wealth Copilot, Branch Customer Care, AI Act High-Risk Validator), il registro audit gestisce decine di migliaia di decisioni al mese. Ogni evento dei sei agenti è già lì, pronto per essere interrogato.
Il compliance officer apre il proprio client SQL ed esegue la query.
Un ispettore Banca d'Italia chiede alla banca, durante un audit ordinario, l'evidenza delle decisioni automatizzate di Compliance Scan sui contratti corporate degli ultimi 12 mesi. Il compliance officer della banca apre il proprio client SQL standard, esegue la query sul registro audit filtrato per tipo contratto corporate e range temporale 12 mesi precedenti. Riceve l'output strutturato con: tipo di documento, regole attivate, esito (pass/segnalazione/blocco), motivazione, alternative proposte, decisione finale del commerciale.
L'ispettore esamina, fa domande puntuali, riceve risposte basate su dati.
L'export viene fornito all'ispettore in formato CSV o JSON secondo la procedura della banca. L'ispettore esamina, fa domande puntuali, riceve risposte basate su dati. L'audit si chiude in poche ore anziché in settimane.
Attivo di default nel runtime, retention configurabile per settore.
L'agente è nativo del runtime Polyant e non richiede configurazione editoriale separata. Le tabelle del registro audit sono create automaticamente all'avvio del runtime. La conservazione del registro è configurabile per istanza secondo i vincoli regolatori del cliente (es. 10 anni per Banca d'Italia, 5 anni per Reg. IVASS 41/2018, retention specifica per FSE 2.0).
- Linguaggio
- TypeScript (Node.js)
- Sistema sottostante
- PostgreSQL 16 (tabelle dedicate: governance_events, pipeline_traces, ai_logs)
- Schema audit
- pubblico, documentato in /docs/governance
- Conservazione
- configurabile per istanza, retention coerente con i vincoli regolatori del cliente
- Encryption a riposo
- gestita dal cliente sul database (Polyant non gestisce direttamente l'encryption del DB)
- Query
- client SQL standard (DBeaver, psql, Datagrip)
- Esposizione
- append-only, nessuna API di modifica o cancellazione
- Registro
- immutabile, interrogabile con client SQL standard
Domande frequenti sull'agente.
Il registro è append-only sul database PostgreSQL. Polyant non espone API per modificare o cancellare record. La conservazione tecnica dell'immutabilità dipende dal cliente: chi ha accesso amministrativo al database può tecnicamente modificare i dati con SQL diretto. Per audit a cui si richiede protezione assoluta, la configurazione delle policy di accesso al database è responsabilità del team IT del cliente.
L'export è una query SQL standard configurabile dal team compliance del cliente. Pattern tipici: filtro per range temporale, per tipo di agente, per tipo di decisione, per cliente specifico (per audit art. 22 GDPR su persona fisica). L'output è CSV, JSON, Excel secondo lo strumento usato.
Audit Recorder è nativo del runtime Polyant e non ha costo separato. Il consumo di storage del database PostgreSQL del cliente cresce con il volume di decisioni, ma è gestito dal cliente nell'infrastruttura del cliente (self-host) o nell'infrastruttura gestita Exelab (managed) secondo il profilo scelto.
L'agente è attivo di default. Non richiede attivazione esplicita. La configurazione delle regole di retention si decide in fase di delivery o in fase di managed service.
Da una conversazione di 30 minuti alla squadra in produzione.
Una conversazione di 30-45 minuti per capire come Audit Recorder si configurerebbe sul caso del cliente. Retention, schema di export per ispezione, integrazione con i processi audit del cliente.