LTREMATICA skills v3.4.0 EN Contattaci
Governance del software · un plugin Claude Code

I vostri team costruiscono con l'AI. Ora potete governarla.

Gli agenti AI scrivono già codice di produzione nella vostra organizzazione. Quello che non sanno fare è dimostrare il proprio lavoro — a voi, a un auditor, a un regolatore. Questo plugin rende la delivery assistita dall'AI verificabile, l'evidenza di conformità UE automatica e la vostra policy di ingegneria applicata — con ogni affermazione sostenuta da prove, a partire da questa pagina.

Gli obblighi di segnalazione CRA (art. 14) si applicano dall'11 settembre 2026.

Tre domande che vi verranno poste
«Possiamo dimostrare che il codice scritto dall'AI è stato testato prima del rilascio?»
Un gate di verifica blocca ogni «fatto» finché i test non sono stati eseguiti davvero — dopo la modifica, non prima.
«Siamo pronti per la scadenza CRA di settembre 2026?»
Verificabile SBOM, triage delle vulnerabilità, bozze con l'orologio dell'incidente e un gap report — rigenerati dal codice, non assemblati la settimana prima dell'audit.
«Le nostre regole di ingegneria sono applicate, o solo scritte?»
Applicate Cinque gate su ogni modifica. Dove il rilevamento è esatto bloccano; ovunque altrove avvisano, e spiegano perché.
13
Skills
3
Tracks
9
Ecosystems
1523
Automated checks
987
Blind judgements
Perché ora

Tre passività. Nessuna si annuncia da sola.

Ognuna è silenziosa finché non diventa costosa. Un incidente di produzione ricondotto a output AI mai verificato, una richiesta di informazioni del regolatore, un rilievo di audit — quando una di queste emerge, l'evidenza che serve o esiste già, o non esiste.

Rischio di delivery

Output AI che nessuno ha verificato.

Un agente dichiarerà il lavoro finito e i test superati — in buona fede, e a volte a torto. Moltiplicatelo per ogni sviluppatore, ogni giorno. Senza un passaggio di verifica imposto, «fatto» significa «l'agente ci crede», ed è quella convinzione che finisce in produzione.

Come si assicura la delivery →
Esposizione regolatoria

Scadenze con sanzioni allegate.

Gli obblighi CRA di segnalazione delle vulnerabilità partono l'11 settembre 2026 per chiunque immetta software nel mercato UE, con sanzioni fino a 15 milioni di euro o al 2,5% del fatturato mondiale. Il GDPR è già in vigore. L'AI Act sta entrando in applicazione. L'evidenza che questi regimi esigono è tediosa da produrre a mano — e quindi non viene prodotta, finché non è improvvisamente urgente.

L'orologio regolatorio →
Erosione delle policy

Una regola che nessuno verifica è una preferenza.

Ogni modifica esce con un test. Le migrazioni sono reversibili. Gli endpoint autorizzano. I vostri team le hanno concordate — e vengono controllate, quando va bene, da chi revisiona la pull request e per caso se ne ricorda. Non falliscono rumorosamente; si erodono.

Come si applicano le policy →
L'orologio regolatorio

Le scadenze non sono negoziabili. La preparazione sì.

Cinque regimi UE toccano ormai direttamente il software. Le date qui sotto sono fissate dalla legge; l'unica variabile è se l'evidenza esiste il giorno in cui qualcuno la chiede.

2024-12-10
Il Cyber Resilience Act entra in vigore
Da qui parte il conto alla rovescia su tutto ciò che segue.
2025-06-28
Si applica lo European Accessibility Act
Gli obblighi EAA/WCAG sono operativi per i prodotti in ambito. eaa-evidence copre la scansione, la dichiarazione e i due terzi che uno scanner non può raggiungere.
2026-08-02
Si applicano gli obblighi principali dell'AI Act
Doveri di trasparenza e regime ad alto rischio sono operativi. ai-act-evidence individua il sistema di AI e verifica che il fascicolo esista — e deliberatamente non assegna mai una classe di rischio, perché quella è una valutazione legale che spetta a una persona con nome e cognome.
2026-09-11
Si applicano gli obblighi di segnalazione dell'art. 14 CRA
Una vulnerabilità attivamente sfruttata o un incidente grave fanno scattare l'allerta precoce a 24 ore, la notifica a 72 ore e il rapporto finale. I due binari ancorano il rapporto finale a eventi diversi — l'errore tipico sotto pressione — perciò cra-incident-reporting si rifiuta di calcolare una scadenza dall'ancora sbagliata e la riporta come pendente.
2026-12-09
Nuova direttiva sulla responsabilità da prodotto — termine di recepimento
Il software è esplicitamente un prodotto; la difesa si costruisce sulla tracciabilità dei rilasci. pld-evidence mantiene quella traccia — versioni, uso sicuro, aggiornamenti non distribuiti, modifica sostanziale.
2027-12-11
Piena applicazione del CRA
Requisiti essenziali dell'Allegato I, fascicolo tecnico, marcatura CE.

Il GDPR non ha più nessuna data da aspettare. gdpr-evidence registra quali dati personali un repository detiene davvero e la base giuridica di ciascuno — e poi fa fallire una build quando arriva una nuova colonna di dati personali che ne è priva.

Autovalutazione · due minuti

Otto domande che un auditor vi farà comunque.

Rispondete come stanno le cose oggi, non come dovrebbero stare. Nulla lascia questa pagina: niente form, niente tracciamento — il conteggio avviene nel vostro browser. E siamo onesti in anticipo: otto risposte non sono un audit, sono il motivo per farne uno.

Per ogni release esiste un SBOM rigenerabile dal codice — non un PDF di sei mesi fa?
Le vulnerabilità delle dipendenze hanno un triage documentato, con date e decisioni?
In un incidente, un processo — non una persona sotto pressione — ancora le scadenze delle 24 e 72 ore all'evento giusto?
Potete dimostrare che il codice scritto dall'AI è stato testato dopo l'ultima modifica, non prima?
Sapete quali dati personali detiene ciascun repository, e con quale base giuridica?
La tracciabilità dei rilasci reggerebbe una contestazione da responsabilità di prodotto?
Le vostre regole di ingegneria bloccano una modifica non conforme — o la commentano dopo?
Un gap report sulla vostra posizione regolatoria è rigenerabile su richiesta, oggi?
L'output, non la promessa

Il rapporto che mettete davanti all'auditor.

Questa è la forma reale dell'output di /compliance-status, su un repository d'esempio. Tre soli esiti possibili — presente, lacuna, non applicabile — ognuno con un puntatore o una ragione. «Sembra a posto» non è un esito che questo strumento produce, e ogni lacuna arriva già instradata verso la skill che la chiude.

/compliance-status · repository d'esempio · 2026-08-25
SBOM (CRA)
presente
compliance/sbom/ · 2.4.1 · 2026-08-15
Scan e triage vulnerabilità
presente
0 aperte · ultimo scan 2026-08-20
Gap report Allegato I
lacuna
mai generato → cra-evidence
Mappa dati personali (art. 30)
lacuna
2 colonne senza base giuridica → gdpr-evidence
Screening DPIA
presente
3 screening · ultimo 2026-07-30
Diritti degli interessati
lacuna
export presente, manca la cancellazione → gdpr-evidence
Accessibilità (EAA/WCAG)
non applic.
nessun frontend in questo repository
Policy CVD (Allegato I, parte II)
presente
SECURITY.md · .well-known/security.txt
Registro incidenti
presente
nessun orologio art. 14 aperto

Il rapporto porta sempre le due date che rendono tutto questo urgente anziché teorico: gli obblighi di segnalazione dell'art. 14 CRA si applicano dall'11 settembre 2026, la piena applicazione del CRA arriva l'11 dicembre 2027.

Cosa ottenete

Tredici skill, tre track, un contratto.

Installato una volta dal vostro platform team, attivo in ogni repository. Ogni track risponde a una delle tre passività qui sopra — e ogni output è evidenza che un terzo può controllare, mai un'autovalutazione.

Track 01 · Delivery assicurata

Harness

Il vostro tooling AI fallisce per invisibilità — quindi viene inventariato e misurato.
  • harness-auditInventaria le dieci superfici che un repository consegna a un agente. Presente, lacuna o non applicabile — il punto d'ingresso.
  • claude-md-authoring · subagent-authoringLa policy permanente dell'agente e il suo cast di supporto, scritti come policy anziché come folklore.
  • harness-eval · model-routingDimostra che una capacità si attiva davvero — e dà un numero a quanto ogni attività dovrebbe costare.
  • verification gateIl hook che blocca un «fatto» finché i test sono stantii. L'unico passaggio che non si può saltare.
Per il CTO: l'investimento in AI diventa misurabile, non aneddotico.
Track 02 · Evidenza regolatoria

Compliance

La conformità fallisce per attrito — quindi l'evidenza si genera dove nasce il lavoro.
  • cra-evidenceSBOM, diff fra rilasci, bozze di triage delle vulnerabilità, gap report sull'Allegato I.
  • gdpr-evidenceLa mappa dei dati personali, la base giuridica per ciascuna voce, il registro ex art. 30 reso da quella mappa.
  • cra-incident-reportingL'orologio dell'art. 14: 24 ore, 72 ore, rapporto finale. Redige ogni bozza; non trasmette nulla.
  • ai-act-evidence · pld-evidence · eaa-evidenceIl fascicolo AI Act, la tracciabilità dei rilasci per la responsabilità da prodotto, il dossier di accessibilità.
  • adr-managementLe decisioni architetturali registrate quando vengono prese, non ricostruite per l'auditor.
Per il board: il dossier esiste prima che qualcuno lo chieda.
Track 03 · Policy applicate

Mandates

Un mandato che nessuno verifica è una preferenza — quindi cinque gate girano su ogni modifica.
  • tests-with-changeOgni modifica esce con un test. Un fatto del diff — blocca.
  • reversible-migrationsLe modifiche al database si possono annullare. Anche un rollback vuoto blocca: sembra reversibile e non annulla nulla.
  • authz-coverageI request handler mostrano l'autorizzazione. Un'euristica — avvisa, e lo dichiara.
  • + altri dueUn change record ben formato, e una migrazione già rilasciata che nessuno ha ritoccato in silenzio.
Per la direzione tecnica: le regole reggono anche il venerdì alle 18.

Cosa vedono davvero i vostri team

Nessuna dashboard, nessun nuovo strumento in cui autenticarsi. L'agente che i vostri sviluppatori già usano, semplicemente, si rifiuta di cantare vittoria senza prove. Qui — trascrizione autentica, nella lingua del prodotto — ha appena modificato un file sorgente e dichiarato il lavoro finito: il gate trattiene la dichiarazione finché la suite di test non è girata sul codice così com'è ora.

Un gate che blocca a partire da congetture viene disattivato entro una settimana — e si porta via i controlli che invece funzionavano. Perciò un controllo può bloccare solo dove il suo rilevamento è esatto; tutto il resto avvisa. È questa moderazione a farlo sopravvivere al contatto con una vera organizzazione di ingegneria.

claude — verification gate
$ composer test PASS 42 passed $ …agent edits app/Invoice.php… assistant: Done. Fixed the invoice bug. ⛔ BLOCKED — verification gate You claimed this work is done, but the tests are stale. Run the test suite and report the actual output: composer test $ composer test
Governance

Claude propone. Le persone approvano. Niente è mai «a posto».

Il contratto che rende sicuro mettere tutto questo davanti a un regolatore: l'AI produce evidenza e bozze, la responsabilità resta a persone con nome e cognome. Non è un limite che abbiamo accettato — è il progetto.

La responsabilità resta umana

Nessun artefatto — ADR, SBOM, gap report, audit, adempimento regolatorio — viene mai marcato Accettato, Conforme o Validato da Claude di propria iniziativa. Tutto esce come Proposed o Draft finché una persona precisa non dice altrimenti.

Evidenza, mai asserzione

Ogni report dichiara per ciascuna voce uno di esattamente tre esiti — presente, lacuna, o non applicabile — ognuno con un riferimento o una motivazione. «Sembra a posto» non è un output che questo plugin produce; dove compare, è un bug.

Nulla viene trasmesso in automatico

Niente qui invia ad autorità, spedisce email o pubblica su una piattaforma di segnalazione. Scrive il testo e calcola l'orologio. La trasmissione è un atto organizzativo compiuto da una persona precisa, e ogni bozza lo dice nella sua prima riga.

«Non applicabile» è un esito reale

Dove una domanda genuinamente non si applica — uno strumento di migrazione senza rollback, un framework che i gate non sanno leggere — il report lo dice, e dice perché. Un report che non dice mai «non applicabile» è un report che ha cominciato a inventarsi rilievi per sembrare utile.

Un bypass non può travestirsi da promosso

Un repository può abbassare la severità di un gate, mai alzarla — e un abbassamento viene stampato come abbassamento. Un team che ha spento un gate non deve poter produrre un output uguale a quello di un team che lo ha superato. Questa proprietà sopravvive alle modifiche di configurazione, per costruzione.

Prova · la parte che quasi tutti i vendor saltano

Ogni cifra di questa pagina è verificata a macchina.

Un prodotto di governance che asserisse la propria qualità sarebbe il controesempio di sé stesso. Perciò questa pagina è tenuta allo stesso contratto di tutto il resto: 1523 controlli automatici su 23 suite girano a ogni pull request, su due sistemi operativi — e uno script rideriva dalla fonte ogni numero pubblicato qui, facendo fallire la build quando una copia non concorda. Esiste perché in una sola settimana abbiamo pubblicato tre numeri stantii.

$ scripts/run_suites.sh > results.tsv 1523 checks · 23 suites · gate, script di evidenza, il hook, gli installer — tutto quanto $ scripts/check_published_facts.py --suite-results results.tsv --site index.html OK: every published figure agrees with its source.
Il nostro prodotto lo auditiamo come il vostro

Che ogni skill si attivi quando deve è testato alla cieca: 987 giudizi ciechi finora — tre giudici indipendenti per prompt, senza strumenti, su un modello fissato. Uno split 2 su 3 viene registrato come FLAKY e mai arrotondato in su: il disaccordo è il rilievo.

E ci ha colti in fallo

Un giro ha scoperto che la skill di segnalazione incidenti non si sarebbe attivata su «degli attaccanti sono entrati nel nostro build server» — un incidente grave da manuale sotto il CRA. Tutti e tre i giudici l'hanno mancata, per la stessa ragione documentata. La correzione erano poche parole; il punto è che l'abbiamo trovata misurando, prima che la trovasse un cliente.

Anche le affermazioni di capacità si misurano

Sostenevamo che il nostro catalogo fosse vicino al suo tetto — poi ci siamo accorti che l'affermazione non derivava da nulla, e abbiamo costruito lo strumento: 600 giudizi di selezione su 200 righe, quattro bracci. Aggiungere tre skill è costato zero regressioni di instradamento, due volte. L'affermazione è morta; il numero l'ha sostituita.

Il registro conserva i propri fallimenti

Ogni giro di validazione è registrato, compresi quelli scartati e quelli che hanno trovato una lacuna vera. Lo stato finale pulito è la parte meno informativa di quel registro, quindi non è l'unica che conserviamo.

Onesti anche sulla scala. Dieci prompt per skill giudicati in tre modi sono uno smoke test per i fallimenti grossolani, non un benchmark — e il registro stesso lo dichiara. Ha trovato difetti reali in materiale che i suoi autori avevano letto con cura più volte: è questo l'intero argomento per continuare a eseguirlo.

Adozione

Una decisione, due comandi, nessuna nuova infrastruttura.

È un plugin per Claude Code — viaggia sugli strumenti che i vostri sviluppatori già usano. Nessun server da gestire, nessun dato che lascia i vostri repository, nessuna dashboard a consumo. Lo installa il vostro platform team; le skill, i gate e il hook di verifica sono attivi dalla sessione successiva.

Passo 1 · Una call di 30 minuti

Capire

Ci raccontate come i vostri team usano l'AI oggi e quali regimi vi toccano. Nessuna slide da parte nostra: l'esito della call è la scelta del repository per l'audit pilota.

Passo 2 · Audit pilota

Misurare

L'audit del harness e il primo /compliance-status girano su un vostro repository. Ne esce una baseline reale: presente, lacuna o non applicabile — la stessa forma del rapporto qui sopra.

Passo 3 · Decisione

Decidere con l'evidenza

Decidete sul gap report del vostro codice, non su una demo. Se si prosegue, l'installazione sono i due comandi qui sotto — attiva dalla sessione successiva.

$ claude plugin marketplace add <url-del-vostro-repository-privato>
$ claude plugin install oltrematica-skills@oltrematica

La consegna avviene da un repository privato dedicato al vostro contratto: l'URL vi viene fornito all'attivazione dell'ingaggio. È lo stesso canale con cui le release 3.x sono già state consegnate in produzione ai primi clienti.

Settimana uno

Audit

Dite "audit our harness" in un repository qualsiasi. Dieci superfici, ognuna riportata come presente, lacuna o non applicabile — una baseline da mettere in una slide per il comitato di direzione il giorno stesso.

Settimana due

Evidenza

Eseguite /compliance-status. La posizione regolatoria — CRA, GDPR, AI Act, PLD, EAA — inventariata per repository, con ogni lacuna instradata verso la skill che la chiude.

A regime

Enforcement

I gate girano su ogni modifica, in CI se volete. Il hook di verifica sottopone ogni «fatto» a un'esecuzione fresca dei test. Da qui in poi l'evidenza si accumula come effetto collaterale del lavoro normale.

Funziona con ciò che usate già
PHP Node Python Go Rust Ruby Java / Kotlin .NET Elixir

Nove ecosistemi per il rilevamento dei comandi di test, e tredici strumenti di migrazione per il gate di reversibilità — compresi i due che un rollback non ce l'hanno affatto, riportati come non applicabile anziché come lacuna. Licenza proprietaria; la consegna avviene da un repository privato per cliente. Parlate con Oltrematica per un ingaggio.