1.000 $ per violazione. Più le spese legali.
Diritto di azione privato.

CA SB 243 — Informativa all'utente

“Gli utenti devono essere informati che stanno interagendo con un chatbot IA. L'informativa deve essere chiara, ben visibile e registrata.”

Cortex Workflows + registro delle informative Vault

Ogni sessione di conversazione registra l'informativa mostrata all'utente, la versione dell'informativa, la conferma dell'utente (ove richiesta) e il timestamp — tutto registrato come evento Vault collegato all'ID di sessione.

Prova di audit: Registro dell'informativa per sessione, verificabile dal procuratore generale della California. Ricostruisci la conformità informativa di qualsiasi conversazione con un'unica query.

CA SB 243 — Protocolli di sicurezza per suicidio e autolesionismo

“Gli operatori devono implementare protocolli per gli utenti che esprimono ideazione suicidaria o intenzione di autolesionismo.”

Classificatore di contenuti Guard + escalation human_review

Il classificatore di contenuti basato su DeBERTa viene eseguito sia sull'input dell'utente sia sull'output del chatbot. Il rilevamento attiva l'instradamento immediato a un passaggio del workflow human_review, con presentazione di risorse per crisi ed escalation registrata su Vault.

Prova di audit: Traccia di audit per rilevamento: affidabilità del classificatore, estratto del messaggio, azione di escalation, risorsa fornita, identità del revisore umano.

I cinque "divieti" della FTC per i chatbot IA

“Non travisare cosa sia l'IA. Non distribuirla senza mitigazione dei danni. Non sfruttare i legami emotivi per fini commerciali. Non fare affermazioni non comprovate. Non usare l'automazione per ingannare.”

Libreria di policy Cedar + verifica cross-model

Le policy dichiarative Cedar codificano gli standard di contenuto dell'azienda; la verifica cross-model instrada qualsiasi output segnalato dalla policy attraverso un controllo di consenso a maggioranza prima che raggiunga l'utente.

Prova di audit: Registro di valutazione delle policy per messaggio che mostra quali regole sono state applicate, quali modelli hanno verificato, quali decisioni sono state prese. La conformità ai cinque divieti della FTC è dimostrabile, non solo dichiarata.

Tutele per minori noti (SB 243)

“Quando l'operatore sa o dovrebbe ragionevolmente sapere che l'utente è minorenne, si applicano tutele aggiuntive.”

Classificazione del rischio per utente Gate + routing Cortex

I metadati dell'utente (età dichiarata, segnali della sessione) determinano quale livello di policy Cedar si applica, quale modello viene selezionato e quale soglia di sicurezza regola la conversazione. I minori ricevono una policy più severa senza modifiche al codice da parte dell'operatore.

Prova di audit: Registro del livello di policy per sessione che mostra quale soglia è stata applicata e perché. La protezione basata sull'età funziona perché è centralizzata, non perché ogni conversazione l'abbia applicata correttamente per conto proprio.

Dichiarazione federale sulla politica IA (FTC, prevista per l'11 marzo 2026)

“Ai sensi dell'Executive Order 14178 (11 dicembre 2025), la FTC deve pubblicare la propria dichiarazione formale sulla politica IA su come la propria autorità in materia di pratiche sleali e ingannevoli si applichi all'IA.”

Pacchetto di prove Vault per conversazione

Trascrizione completa della sessione, policy valutate, decisioni prese, informative mostrate, output del classificatore, escalation attivate — tutto in un unico export concatenato. La FTC indaga? Le consegni il pacchetto di prove.

Prova di audit: Export per sessione in formato pronto per la FTC. L'intera conversazione ricostruita crittograficamente, non assemblata a partire dai log.