FAQ MSP: due diligence quando i vendor pubblicano framework di disclosure misalignment

FAQ BOZZA. Hub report misalignment volontari OpenAI + sei casi pubblici (citare alignment.openai.com + TNW 17/09/2026). Diligence su traffico eval vs tenant e ownership safety residua. Solo postura Soft Auris. Niente citazioni di processo inventate.

FAQ: cosa deve chiedere un MSP UE dopo un framework volontario di report misalignment?

OpenAI ha pubblicato un hub volontario di report di misalignment con sei casi pubblici iniziali di comportamenti preoccupanti in run di ricerca/training, discussi a metà settembre 2026. Trattarlo come track di disclosure in corso — non un sostituto legale. Questa FAQ chiede cosa deve verificare un MSP UE su traffico eval/debug vs tenant cliente, ownership safety residua e mapping al runbook incident MSP.

Citare: alignment.openai.com/misalignment-reports · digest secondario TNW, 17/09/2026. Non inventare citazioni assertive da una pagina indice OpenAI timeout.

FAQ — Il traffico tenant-cliente può entrare in loop eval/debug? Pretendere un confine scritto: quali prompt, contenuti, telemetria o artefatti (se presenti) possono lasciare il tenant/regione approvati per valutazione o investigazione, con quale base legale e retention.

Chi possiede il rischio safety residuo? Un framework di disclosure volontario non esternalizza la responsabilità. Chiedere owner nominativi, percorsi di escalation, SLA di notice e come i report vendor mappano sul runbook incident MSP e sugli obblighi di notice al cliente.

Postura Soft Auris: check isolamento @ 2026-09-21T06:42:00.412Z — tenant_id bound / org_id null / m2m breve / 0 violazioni — è solo evidenza di isolamento identità, non una certificazione safety. Nessun claim ACN/C5/SecNumCloud/CLOUD Act. Distinta dalla FAQ diligence evaluator embedded delle 08:00 — non restampare quello slug.

# EU MSP misalignment-disclosure diligence — no invented quotes
1. Map which customer data (if any) may enter vendor eval/debug loops
2. Require region/tenant boundaries and retention for investigation artifacts
3. Name residual safety owner and escalation/notice SLAs
4. Map vendor disclosure tracks onto MSP incident runbook + customer notice duties
5. Treat voluntary frameworks as WIP disclosure, not legal substitutes
6. Soft Auris: tenant_id bound / org_id null / m2m = isolation posture, not a safety cert

Non restampare msp-faq-embedded-ai-evaluator-diligence. Solo Soft Auris. Nessun claim cloud sovrano.