Checklist di sicurezza QA con AI: IT, legale e acquisti

Una checklist di sicurezza per la QA con AI è l’elenco dei controlli che IT, ufficio legale e acquisti svolgono prima che uno strumento di controllo qualità basato sull’AI possa leggere le sue conversazioni di assistenza. Copre audit e certificazioni del fornitore, l’accordo sul trattamento dei dati e i sub-responsabili, l’eventuale uso dei suoi dati per addestrare modelli di AI, la valutazione degli operatori secondo il GDPR e il Regolamento europeo sull’IA (AI Act) e le condizioni di uscita.

In breve

• Divida la checklist per responsabile: l’IT prende i controlli di sicurezza, l’ufficio legale la protezione dei dati e le regole sull’AI, gli acquisti il contratto e il pacchetto documentale.
• La QA con AI richiede una verifica più severa della maggior parte degli strumenti di assistenza perché legge ogni conversazione e valuta dei dipendenti, spesso con fornitori di modelli AI come sub-responsabili.
• I controlli IT riguardano audit indipendenti, cifratura, accessi, log, test e risposta agli incidenti.
• I controlli sulla protezione dei dati seguono gli articoli del GDPR applicabili: accordo con il responsabile, sub-responsabili, trasferimenti, conservazione, valutazioni d’impatto e decisioni automatizzate.
• I controlli specifici sull’AI riguardano addestramento dei modelli, fornitori di modelli, revisione umana e la collocazione dello strumento nell’AI Act, le cui regole per gli usi ad alto rischio si applicano dal 2 dicembre 2027.

Questa checklist è pensata per i team che acquistano un software di controllo qualità per l’assistenza clienti che valuta le conversazioni con l’AI. I riferimenti normativi sono stati verificati sui testi ufficiali il 4 novembre 2026. Sono un punto di partenza per la sua consulenza legale, non un sostituto.

Come usare questa checklist di sicurezza per la QA con AI

Affidi ogni parte della checklist al team responsabile, invii al fornitore tutte le domande in una volta e chieda documenti invece di risposte in un modulo. La maggior parte delle verifiche di sicurezza si blocca perché le domande arrivano in tre ondate da tre team.

Segni ogni controllo come soddisfatto, soddisfatto con condizioni o non soddisfatto. Un «non soddisfatto» sui controlli 1, 9, 10 o 17 dovrebbe fermare l’acquisto finché non viene risolto. Se sta confrontando anche le funzioni, legga in parallelo il nostro confronto tra software di controllo qualità.

Perché il software di QA con AI richiede una verifica più severa

Il software di QA con AI richiede una verifica più severa perché legge ogni conversazione con i clienti, valuta i dipendenti che l’hanno gestita e spesso invia testo a fornitori di modelli AI. Dati dei clienti, dati dei dipendenti e valutazione automatizzata finiscono in un solo strumento.

Tre aspetti lo distinguono da un tipico componente aggiuntivo dell’helpdesk:

• Volume: un programma manuale legge un campione, uno strumento AI può trattare ogni conversazione, compresi numeri di carta, dati sanitari o reclami scritti da un cliente.
• Dipendenti come interessati: i punteggi di qualità sono dati personali dei suoi operatori e possono alimentare decisioni su retribuzione, promozione o licenziamento. Questo chiama in causa le regole del GDPR sulle decisioni automatizzate e, nell’AI Act, la categoria dell’AI usata per valutare i lavoratori.
• Fornitori di modelli: l’AI che scrive punteggi e commenti è spesso ospitata da terzi, che diventano sub-responsabili dei suoi dati.

Controlli di sicurezza IT

I controlli IT confermano che un revisore indipendente ha testato i controlli del fornitore e che le basi di cifratura, accessi, log e risposta agli incidenti sono presenti. Chieda i report veri e propri, con NDA, non un badge su un sito.

1. Report di audit indipendente. Chieda l’ultimo report SOC 2 Type II e ne verifichi periodo e perimetro. I report SOC 2, definiti dall’AICPA, coprono i controlli relativi a sicurezza, disponibilità, integrità dell’elaborazione, riservatezza e privacy. Un report Type II verifica se i controlli hanno funzionato in un periodo, non solo se sono stati progettati.
2. Certificato ISO 27001. Verifichi che il perimetro del certificato copra il prodotto acquistato, la data di scadenza e l’ente certificatore.
3. Penetration test. Chieda con quale frequenza un terzo testa l’applicazione in produzione e come i rilievi critici vengono seguiti fino alla risoluzione.
4. Cifratura. Confermi che i dati sono cifrati in transito e a riposo, e chi gestisce le chiavi.
5. Controllo degli accessi. Chieda come il personale del fornitore accede ai dati di produzione, se l’accesso è limitato allo stretto necessario e registrato, e come si autenticano i suoi utenti.
6. Log di audit. Verifichi se può vedere chi nella sua azienda ha consultato o modificato punteggi e impostazioni, e con quale piano.
7. Risposta agli incidenti. Chieda il piano di risposta agli incidenti ed entro quanto tempo il fornitore la informa di un incidente che riguarda i suoi dati.
8. Continuità. Chieda il piano di continuità operativa e di disaster recovery, e se i dati di produzione restano fuori dagli ambienti di sviluppo e test.

Controlli su protezione dei dati e GDPR

I controlli GDPR confermano che il fornitore agisce come suo responsabile del trattamento con un contratto conforme all’articolo 28, che ogni sub-responsabile e ogni trasferimento è noto e che Lei ha fatto la sua parte riguardo ai dipendenti. Legga le clausole alla luce del regolamento, non del riassunto del fornitore.

9. Un accordo sul trattamento dei dati conforme all’articolo 28, paragrafo 3. L’articolo 28, paragrafo 3, del GDPR elenca cosa deve prevedere il contratto: trattamento solo su sue istruzioni documentate, riservatezza del personale, le misure di sicurezza dell’articolo 32, regole per i sub-responsabili, assistenza per i diritti degli interessati e per gli articoli da 32 a 36, cancellazione o restituzione alla fine e audit. Verifichi che l’accordo copra le funzioni AI, non solo il prodotto principale.
10. Sub-responsabili. Secondo l’articolo 28, paragrafo 2, un responsabile ha bisogno della sua autorizzazione scritta preventiva per ricorrere a un altro responsabile e, con un’autorizzazione generale, deve informarla delle modifiche perché Lei possa opporsi. Chieda l’elenco con ruolo e ubicazione dei dati di ciascun sub-responsabile, compresi i fornitori che ospitano i modelli AI.
11. Trasferimenti fuori dall’UE. Se un sub-responsabile è fuori dal SEE, chieda la base del trasferimento ai sensi del capo V del GDPR: una decisione di adeguatezza (articolo 45) o garanzie come le clausole contrattuali tipo (articolo 46).
12. Conservazione e cancellazione. Chieda per quanto tempo vengono conservate conversazioni, trascrizioni e punteggi, se può fissare Lei il periodo e come i dati vengono restituiti o cancellati dopo il contratto, come richiede l’articolo 28, paragrafo 3, lettera g.
13. Minimizzazione dei dati. Chieda se può escludere code, campi o canali dalla valutazione, così che lo strumento tratti solo ciò che serve alla qualità (articolo 5, paragrafo 1, lettera c).
14. Notifica delle violazioni. Secondo l’articolo 33, paragrafo 2, un responsabile deve informarla «senza ingiustificato ritardo» dopo essere venuto a conoscenza di una violazione. Verifichi che il contratto preveda un impegno concreto, perché il suo termine di 72 ore per notificare l’autorità di controllo ai sensi dell’articolo 33, paragrafo 1, decorre da quando Lei ne viene a conoscenza.
15. La sua valutazione d’impatto. L’articolo 35 richiede una valutazione d’impatto sulla protezione dei dati (DPIA) quando un trattamento può presentare un rischio elevato, tra l’altro in caso di valutazione sistematica e globale di persone basata su un trattamento automatizzato che porta a decisioni con effetti giuridici o analoghi. Le linee guida del Gruppo di lavoro Articolo 29 sulla DPIA (2017, fatte proprie dal Comitato europeo per la protezione dei dati) considerano fattori la valutazione o il punteggio, il monitoraggio sistematico e i dipendenti, e indicano che un trattamento che soddisfa due dei loro criteri richiede nella maggior parte dei casi una DPIA. Chieda al fornitore le informazioni necessarie per redigerla; l’articolo 28, paragrafo 3, lettera f, obbliga il responsabile ad assisterla.
16. Decisioni automatizzate sugli operatori. L’articolo 22 dà alle persone il diritto di non essere sottoposte a una decisione basata unicamente sul trattamento automatizzato che produca effetti giuridici o analoghi. Se i punteggi di qualità alimentano decisioni sugli operatori, si assicuri che una persona li esamini e che gli operatori possano contestare un punteggio. Verifichi anche le norme nazionali sul lavoro: l’articolo 88 consente agli Stati membri regole più specifiche per i dati dei dipendenti, e può essere necessario coinvolgere le rappresentanze sindacali.

Controlli specifici sull’AI

I controlli sull’AI chiariscono cosa succede ai suoi dati nelle funzioni AI, chi può correggere l’AI e dove si colloca lo strumento nell’AI Act. Chieda risposte scritte da allegare al contratto.

17. Addestramento dei modelli. Chieda per iscritto se le sue conversazioni vengono usate per addestrare o perfezionare un modello, dal fornitore o dai suoi fornitori di modelli.
18. Fornitori di modelli. Chieda quali fornitori AI trattano i suoi dati, dove, e se le funzioni AI si possono disattivare o richiedono un’attivazione esplicita.
19. Revisione e correzione umana. Verifichi che un valutatore possa modificare qualsiasi punteggio o commento dell’AI, che la modifica sia registrata e che gli operatori possano contestare un punteggio, come nella nostra guida alla progettazione di un processo di contestazione dei punteggi AI (in inglese). È anche la sua garanzia ai sensi dell’articolo 22.
20. Spiegabilità e test. Chieda se ogni punteggio mostra la prova su cui si basa, come descritto nel nostro articolo sulla tracciabilità dei punteggi QA (in inglese), e se può testare i punteggi dell’AI rispetto a quelli dei suoi valutatori prima del go-live. Il nostro protocollo per validare la valutazione AI (in inglese) mostra come condurre il test.
21. Posizione rispetto all’AI Act. Chieda come il fornitore classifica il prodotto e cosa le fornisce in quanto deployer. La tabella riporta le date.

Il divieto e il punto ad alto rischio provengono dal Regolamento sull’IA, Regolamento (UE) 2024/1689, verificato sul testo consolidato. La data per l’alto rischio è passata dal 2 agosto 2026 al 2 dicembre 2027 con il Regolamento (UE) 2026/1744 che lo modifica, in vigore dal 27 luglio 2026.

Secondo l’articolo 3, punto 39, il riconoscimento delle emozioni si basa su dati biometrici, quindi il divieto riguarda soprattutto le funzioni vocali. Se uno strumento di qualità rientri nel punto 4, lettera b, dipende da come Lei usa i punteggi. Lo faccia decidere ai suoi legali per il suo caso.

Controlli su acquisti e contratto

I controlli degli acquisti trasformano le risposte in clausole contrattuali e garantiscono un’uscita pulita. Una risposta sulla sicurezza che non è nel contratto è un’affermazione commerciale.

22. Clausole contrattuali. Porti nel contratto o nell’accordo sul trattamento dei dati le risposte ai controlli 7, 10, 12, 14 e 17.
23. Uscita. Concordi quanto tempo ha per esportare i dati dopo la cessazione, in quali formati e quando il fornitore li cancella.
24. Il pacchetto documentale. Raccolga in un unico posto: report di audit, certificati, accordo sul trattamento dei dati, elenco dei sub-responsabili, sintesi del penetration test, piani di risposta agli incidenti e di continuità e qualsiasi questionario standard compilato dal fornitore, come un SIG Lite.

Come Kaizo risponde a questa checklist

Kaizo pubblica la maggior parte delle risposte nel suo Trust Center, con i report disponibili su richiesta. La tabella collega i controlli a ciò che dicono oggi le pagine di Kaizo; dove una pagina non risponde a un controllo, ce lo chieda durante la verifica di sicurezza.

Kaizo valuta le conversazioni dopo che si sono concluse. Non ascolta le chiamate in diretta, quindi il monitoraggio in tempo reale resta fuori dal perimetro di questa verifica.

Come condurre la verifica di sicurezza senza bloccare l’acquisto

Avvii la verifica di sicurezza nella stessa settimana delle demo, non dopo che il business ha scelto. Invii tutta la checklist in una volta, chieda il pacchetto documentale e inizi in parallelo la valutazione d’impatto.

Passo 1: Invii la checklist insieme alla RFP

Le domande di sicurezza, legali e degli acquisti inviate con la prima richiesta al fornitore ricevono risposta insieme alle domande sul prodotto. Inviate dopo una decisione, diventano un secondo progetto.

Passo 2: Chieda i documenti, poi solo ciò che lasciano aperto

Legga prima report di audit, accordo sul trattamento dei dati ed elenco dei sub-responsabili. Lì trova risposta la maggior parte delle righe di un questionario, e il resto diventa un breve elenco per una telefonata.

Passo 3: Rediga la DPIA mentre si negozia il contratto

La valutazione d’impatto ha bisogno delle risposte del fornitore su flussi di dati, sub-responsabili e conservazione, che ora ha. Coinvolga presto le rappresentanze dei lavoratori se i punteggi degli operatori saranno usati per decisioni sulle prestazioni. La nostra guida per gestire un programma QA di cui gli operatori si fidano (in inglese) spiega come presentare loro la valutazione.

Chieda il nostro pacchetto sicurezza in una demo dal vivo. Le mostriamo Kaizo con dati di esempio realistici e le inviamo i documenti del Trust Center di cui il suo team ha bisogno. Prenota un incontro.

Domande frequenti

Che cos’è un questionario di sicurezza per i fornitori?

Un questionario di sicurezza per i fornitori è un elenco standard di domande che un acquirente invia a un fornitore per verificarne i controlli di sicurezza e privacy prima della firma. I formati più diffusi sono SIG e SIG Lite di Shared Assessments e il CAIQ della Cloud Security Alliance. Molti fornitori ne tengono uno già compilato, il che fa risparmiare settimane a entrambe le parti.

Collegare uno strumento di qualità a Zendesk incide sulla conformità al GDPR?

Sì. Quando uno strumento di qualità preleva conversazioni da Zendesk o da un altro helpdesk, il fornitore dello strumento tratta quei dati personali per suo conto, quindi serve un accordo sul trattamento dei dati con quel fornitore. La conformità dell’helpdesk non copre uno strumento separato. Aggiunga il fornitore al suo registro delle attività di trattamento.

Quali sono i 7 principi del GDPR?

L’articolo 5 del GDPR fissa sette principi: liceità, correttezza e trasparenza; limitazione della finalità; minimizzazione dei dati; esattezza; limitazione della conservazione; integrità e riservatezza; responsabilizzazione. Per la QA con AI contano soprattutto minimizzazione e limitazione della conservazione: valuti solo le code necessarie e non conservi le conversazioni più a lungo di quanto richieda la finalità di qualità.

Il software di QA con AI è ad alto rischio secondo l’AI Act?

Può esserlo. L’allegato III, punto 4, lettera b, classifica ad alto rischio l’AI destinata a monitorare e valutare le prestazioni e il comportamento delle persone sul lavoro, con obblighi applicabili dal 2 dicembre 2027. Uno strumento di qualità che valuta gli operatori può rientrarvi, a seconda della finalità prevista e dell’uso che ne fa. Chieda un parere legale per il suo caso.

Gli operatori devono sapere che l’AI valuta le loro conversazioni?

Sì: in base agli obblighi di trasparenza degli articoli 13 e 14 del GDPR, gli operatori devono sapere come vengono trattati i loro dati personali, compresa la valutazione automatizzata. Molti Paesi aggiungono norme sul lavoro, e le rappresentanze dei lavoratori possono avere voce in capitolo. Informare presto, anche su come contestare un punteggio, facilita inoltre l’introduzione.