IA governata per le istituzioni armene,
pensata per l'azienda di software, la miniera, la banca e il ministero

Il problema del responsabile del trattamento: un registro di audit che soddisfa il regolatore di qualcun altro

L'Armenia ha un settore del software e dei servizi informatici insolitamente ampio rispetto alla dimensione della sua economia, che lavora in larga parte per clienti del Nord America e dell'Europa -- ingegneria di prodotto, gestione di piattaforme, lavoro sui dati, progettazione embedded e di semiconduttori e, sempre più, la costruzione e la conduzione di funzionalità di IA dentro il prodotto di qualcun altro. In quell'assetto l'obbligo regolatorio ricade di norma sul cliente. Un cliente europeo porta i propri doveri di protezione dei dati; un cliente statunitense porta regole settoriali nella sanità, nella finanza o in catene di fornitura sensibili; un acquirente porta doveri di due diligence verso il proprio consiglio e il proprio regolatore. Il fornitore armeno è spesso il responsabile del trattamento e non il titolare, ed è il contratto, non la legge, a trasmettere il dovere.

Questo capovolge la funzione della prova. Il fornitore non dimostra in primo luogo la propria conformità a un ispettore armeno: produce il registro che il suo cliente consegnerà a un regolatore, a un revisore esterno, a un questionario di sicurezza o a un compratore in due diligence. KriftAI fa passare ogni passo assistito dall'IA per un unico punto di passaggio governato: l'input è validato prima che il modello venga eseguito, rispetto alle regole del cliente su quali dati possano essere inviati e cosa debba essere oscurato o rifiutato; l'output è validato rispetto a quelle regole prima di raggiungere uno sviluppatore, un ticket o un sistema in produzione; per ogni chiamata viene scritta una riga immutabile nel registro -- attore, azione, input, output, versione del modello, versione della policy ed esito; e tutto ciò che le regole non risolvono viene escalato a una persona designata anziché proseguire. La delimitazione delle policy per cliente impedisce che i dati e le regole di un cliente tocchino quelli di un altro, e l'esportazione dal registro è un artefatto difendibile e non una ricostruzione messa insieme la settimana prima dell'audit.

Rame, molibdeno e oro: registri di produzione, ambientali e di ricavi

L'attività mineraria è l'altro pilastro dell'export armeno, con rame e molibdeno al sud, intorno a Kajaran e Kapan nel Syunik; rame al nord, attorno ad Alaverdi e alla fascia del Lori; e oro tra i metalli estratti e lavorati. Ogni fatto commercialmente rilevante su una miniera è un'affermazione che qualcuno dall'esterno finirà per verificare: tenori e risultati dei saggi, tonnellaggio e umidità del concentrato, pesi di spedizione, monitoraggio degli scarichi idrici e della qualità dell'aria, strumentazione dei bacini di sterili e i registri di royalty, esportazione e imposte che seguono il metallo fuori dal Paese.

Quei registri sono letti dalle amministrazioni mineraria e ambientale, dagli acquirenti e dai loro analisti indipendenti, dai finanziatori e dai loro consulenti tecnici, e dagli acquirenti a valle che applicano la propria due diligence sulla catena di fornitura. Dove l'IA assiste la riconciliazione di serie di saggi, la classificazione di dati geologici, il monitoraggio della strumentazione degli sterili e della qualità dell'acqua, la previsione della resa o la stesura di istanze regolatorie e ambientali, la piattaforma valida l'input prima che il modello venga eseguito, valida ciò che torna rispetto alle regole dell'operazione e scrive una riga immutabile per ogni chiamata. L'accesso delimitato per ruolo consente all'operatore, al regolatore ambientale, al consulente del finanziatore e al revisore dell'acquirente di vedere esattamente ciò che il proprio mandato permette e nulla di più. Una misura che non può essere ricondotta al suo campione, al suo strumento e al suo momento non è una misura su cui un finanziatore o un regolatore possa fare affidamento, e un obbligo di monitoraggio che sopravvive a una licenza richiede registri che le sopravvivano a loro volta.

La Banca centrale d'Armenia, i pagamenti e i corridoi della diaspora

La Banca centrale d'Armenia vigila sul settore finanziario ed è stata attiva sui pagamenti e sulla regolamentazione delle fintech, il che colloca banche, prestatori di servizi di pagamento e nuovi operatori nello stesso perimetro di vigilanza. Sopra a tutto ciò si aggiunge una serie di controparti che nessuno vigila da Erevan: banche corrispondenti all'estero, circuiti di carte e le funzioni di compliance degli istituti che stanno dall'altra parte di ogni rimessa della diaspora e di ogni investimento in entrata. Una vasta diaspora mondiale alimenta quei flussi, e i corridoi restano aperti solo finché il registro antiriciclaggio e di screening delle sanzioni sul lato armeno è un registro che un corrispondente estero è disposto ad accettare.

Screening antiriciclaggio e sanzioni, monitoraggio delle transazioni, adeguata verifica della clientela e lavoro sulla titolarità effettiva, modelli di credito e di rischio e segnalazioni di vigilanza passano tutti per un unico punto di passaggio governato, producendo prove in una forma che un vigilante nazionale e un corrispondente estero accettano entrambi senza un successivo esercizio di traduzione. Lo screening è applicato e non consultivo: una corrispondenza blocca la chiamata, una deroga viene escalata a una persona designata, e la decisione di deroga è essa stessa scritta nel registro con la sua motivazione e il suo autore. Quando un modello contribuisce a una decisione su un conto, un pagamento o un rapporto con un cliente, il registro mostra quale versione del modello e quale versione della policy hanno prodotto la raccomandazione e chi l'ha accettata. Si produce la prova una volta, al momento della chiamata, e la leggono allo stesso modo un vigilante, un corrispondente e un revisore interno.

La protezione dei dati personali nel diritto armeno e gli strumenti del Consiglio d'Europa

L'Armenia dispone di una legislazione sulla protezione dei dati personali vigilata da un'autorità che opera presso il Ministero della Giustizia ed è parte di strumenti del Consiglio d'Europa in materia di protezione dei dati. Il quadro stabilisce doveri su base giuridica, limitazione della finalità, proporzionalità del trattamento, diritti degli interessati e sicurezza del trattamento, e si applica alle organizzazioni armene di per sé, non solo quando un cliente estero fa domande. Se un dato assetto soddisfi i requisiti di un'altra giurisdizione è una determinazione delle autorità di quella giurisdizione secondo le sue regole, e non qualcosa che un fornitore di tecnologia debba affermare.

Ciò che una piattaforma può fare è rendere quei doveri esigibili al momento della chiamata anziché al momento del documento di policy. La minimizzazione è applicata alla raccolta, così che i campi non necessari alla finalità non vengano affatto inviati a un modello. L'accesso delimitato per ruolo limita ciò che ciascuna persona e ciascun servizio possono recuperare. Le modalità di registrazione del contenuto conservano un'impronta verificabile invece del contenuto stesso quando questo è sensibile. La cancellazione certificata emette un certificato a prova di manomissione quando i dati devono davvero sparire, compreso il percorso di audit che altrimenti li conserverebbe. Ogni accesso è registrato -- chi ha guardato, quando e in forza di quale autorizzazione -- e qualunque output incida sui diritti o sulle prestazioni di una persona viene escalato a un essere umano prima di produrre effetti. L'organizzazione porta l'obbligo; una prova migliore è ciò che rende sostenibile quel peso.

Due riferimenti insieme: l'UEE e l'accordo di partenariato con l'Unione europea

L'Armenia è membro dell'Unione economica eurasiatica, il che comporta regimi doganali e di regolamentazione tecnica comuni con gli altri Stati membri, e ha anche un accordo di partenariato globale e rafforzato con l'Unione europea che copre commercio, cooperazione regolatoria e ravvicinamento normativo in diversi settori. Per un esportatore, un responsabile del trattamento o una banca la conseguenza pratica è che lo stesso prodotto, la stessa spedizione o lo stesso insieme di dati può dover essere descritto a due platee regolatorie che non condividono né vocabolario, né nomenclatura, né aspettativa probatoria.

È un problema di registri prima che di policy. Documentazione di conformità, classificazione doganale, certificati di origine, fascicoli tecnici, dichiarazioni di prodotto e descrizioni del trattamento dei dati devono essere prodotti due volte a partire da un'unica realtà, senza che le due versioni divergano. Dove l'IA assiste la classificazione, la stesura documentale, la traduzione o la riconciliazione tra quei regimi, il punto di passaggio governato si applica a ogni fase: input validato, output validato rispetto alle regole dell'organizzazione per il regime in questione, escalation a una persona ogniqualvolta una classificazione comporti conseguenze su diritti, dazi o ammissibilità, e una riga immutabile per chiamata. Quando lo stato di una norma è in evoluzione, o quando un impegno di ravvicinamento è stato concordato ma non ancora recepito nel diritto nazionale, la posizione onesta è dirlo chiaramente e conservare traccia di ciò su cui ci si è effettivamente basati al momento della decisione.

Monasteri, musei e il registro della conservazione

Il patrimonio monastico e archeologico dell'Armenia comprende siti iscritti nella Lista del patrimonio mondiale dell'UNESCO -- i monasteri di Haghpat e Sanahin nel Lori, il monastero di Gheghard e l'alta valle dell'Azat, e la cattedrale e le chiese di Echmiadzin con il sito archeologico di Zvartnots. Accanto a essi ci sono le collezioni museali e di manoscritti, tra cui il Matenadaran di Erevan, il cui fondo è insieme risorsa di ricerca e oggetto di un dovere di conservazione. L'iscrizione e lo status di tutela portano obblighi: monitoraggio dello stato, registri degli interventi di conservazione, autorizzazioni per i lavori nei siti tutelati e nelle loro adiacenze, e relazioni periodiche.

La digitalizzazione e il lavoro assistito dall'IA su quelle collezioni -- riconoscimento ottico dei caratteri e riconoscimento della scrittura manoscritta sui manoscritti, valutazione dello stato a partire dalle immagini, catalogazione, traduzione e attribuzione -- producono affermazioni che studiosi, conservatori e organismi internazionali metteranno alla prova molto dopo la fine del progetto che le ha generate. La piattaforma registra, per ogni passo assistito dall'IA, quale modello e quali parametri hanno prodotto una trascrizione, una proposta di datazione o una classificazione di stato, mantiene lo strato generato dalla macchina distinguibile dall'affermazione del curatore, ed escala a una persona ogniqualvolta una determinazione entrerebbe in catalogo come fatto. I fascicoli di conservazione e di autorizzazione ricevono lo stesso trattamento, così che una decisione presa su un sito tutelato possa essere ricostruita esattamente com'era anziché discussa a memoria.

Deployment on-premise in strutture armene

Applicazione delle regole, inferenza e registrazione di audit vengono eseguite dentro l'ambiente dell'organizzazione -- un centro dati a Erevan, un centro di sviluppo a Gyumri, l'ufficio di un sito minerario nel Syunik, l'infrastruttura di una banca, la sala server di un ministero. I dati non lasciano il perimetro per essere elaborati, che è l'unica versione della residenza dei dati che regge quando lo chiede il revisore di un cliente.

Funzionamento isolato come configurazione supportata

Per il carico regolamentato di un cliente, segnalazioni di vigilanza, dati personali retti dal diritto armeno o una collezione tenuta in custodia, si può installare senza alcuna via in uscita. La piattaforma non contatta l'esterno per telemetria, verifica delle licenze o instradamento dei modelli, perciò l'isolamento totale è una configurazione supportata e non degradata.

Applicazione offline su terreno montuoso

La governance non si ferma quando si ferma la connettività. In un sito minerario del Syunik, in una stazione di monitoraggio sulle montagne del Lori, in un sito patrimoniale sottoposto a lavori di conservazione o in una campagna sul campo nel Tavush, la validazione continua a essere eseguita e il registro continua a scrivere, e i record creati senza connessione si riconciliano in modo pulito al ritorno del collegamento.

Partizionamento per cliente e per giurisdizione

Un'azienda che serve più clienti esteri, o un esportatore che risponde insieme ai riferimenti dell'UEE e dell'Unione europea, deve tenere separati i dati di un cliente e le regole di un regime da quelli di un altro. Si installa in modo che ogni partizione applichi la propria policy allo stesso punto di passaggio, con un'esportazione di audit delimitata a un solo cliente o a un solo regime e non a tutto ciò che la piattaforma abbia mai visto.