Claude è l'orchestratore. ISMS Copilot è lo specialista GRC.

Le persone ci chiedono se ISMS Copilot compete con Claude. Non è così. Claude è molto bravo a eseguire lavori: leggere un repo, modificare file, chiamare strumenti, mantenere un piano. Noi non vogliamo essere questo. Vogliamo essere la cosa che viene chiamata quando il lavoro diventa di compliance.

Ecco quindi lo schema che ti consigliamo. Il tuo agente svolge il lavoro. ISMS Copilot è l'esperto di compliance che consulta e a cui fa controllare quel lavoro. Tu decidi e firmi. Il tuo agente è l'orchestratore: Claude Code, Cursor, Codex, OpenCode, Grok, quello che già usi abitualmente. Chiama ISMS Copilot tramite MCP quando il lavoro diventa di compliance, e di nuovo prima che il lavoro di compliance sia definitivo, così un secondo lettore lo controlla.

Dove un agente generico con un file Skill non basta

L'alternativa comune è un agente che fa tutto, con un file Skill contenente istruzioni e note sui framework. Può funzionare. Per i grandi framework stabili, un file ben mantenuto è difficile da battere, e lo diciamo anche nella nostra documentazione.

Ha però tre punti deboli.

• Il file invecchia. I framework vengono revisionati e rinumerati. Il tuo file non lo sa. Qualcuno deve accorgersene e correggerlo, e quel qualcuno sei tu.
• Il testo del framework finisce nella trascrizione. Per rispondere da un file Skill, l'agente lo carica nel proprio contesto. Lo stesso vale per ogni estratto di policy o controllo che incolla per ragionare sopra.
• Non c'è un secondo lettore. L'agente che ha redatto la policy è lo stesso che la verifica. Uno specialista ti offre una seconda revisione basata su riferimenti framework curati. È un meccanismo, non un vantaggio misurato: non abbiamo fatto benchmark su questo.

Uno specialista cambia la forma del lavoro. Non rende il tuo agente più intelligente. La ragione completa, inclusi i casi in cui un file Skill è ancora la scelta giusta, è spiegata in Perché collegare uno specialista.

Cosa succede davvero quando il tuo agente chiama ISMS Copilot

Il tuo agente chiama gli strumenti MCP di ISMS Copilot per avviare una conversazione o inviare un messaggio. Passa la domanda, o il testo che vuole far controllare. Poi la valutazione di compliance avviene dalla nostra parte.

• La conoscenza dei framework rimane dalla nostra parte. I moduli framework curati vengono caricati dove viene scritta la risposta, non nel contesto del tuo agente.
• Il tuo spazio di lavoro viene letto dalla nostra parte. Le tue memorie e, quando la conversazione è limitata a uno spazio di lavoro, le memorie e i file di quello spazio di lavoro vengono letti da ISMS Copilot. I file grezzi non vengono copiati nel tuo agente.
• La stesura che richiedi avviene dalla nostra parte. Quando il tuo agente chiede una policy lunga o un'analisi dei gap, la scrive lo specialista, non il tuo orchestratore token per token.
• La risposta torna indietro. Il tuo agente riceve la risposta, non il materiale dietro di essa, e prosegue con il lavoro.

La conseguenza utile è che il contesto che non entra mai nella tua trascrizione non viene mai reinviato nei turni successivi. Il tuo agente non trasporta il testo completo del framework o i tuoi file grezzi dello spazio di lavoro per il resto della sessione, perché non li ha mai ricevuti.

Un caveat onesto. La risposta stessa viene letta dal tuo agente. È un input per il tuo orchestratore come qualsiasi altro. Se la risposta cita o riassume una clausola del framework o uno dei tuoi file, quella parte ora è nella tua trascrizione. Una risposta lunga costa al tuo orchestratore una risposta lunga. Se vuoi che la risposta sia sintetica, chiedi al tuo agente di richiedere una risposta breve, o solo la decisione e i riferimenti.

Cosa inviare e cosa mantenere

Inviare il lavoro di compliance:

• Domande sui framework: ISO 27001, SOC 2, GDPR, NIS 2, DORA, l'EU AI Act, HIPAA e gli altri.
• Bozze di policy e procedure.
• Mappatura dei controlli tra framework.
• Analisi dei gap rispetto a un framework.
• Giustificazioni della Dichiarazione di Applicabilità, voci del registro dei rischi, preparazione agli audit.
• Controlli: un registro, una policy o una risposta di audit redatti dal tuo agente, prima che siano definitivi.

Mantenere il resto nell'orchestratore:

• Codice, git, file system, build.
• Domande generali che non hanno nulla a che fare con la compliance.
• Orchestrazione. Il tuo agente decide cosa inviare e come gestire la risposta.

Una buona regola da inserire nelle istruzioni del tuo agente: quando il compito è di compliance, chiedi a ISMS Copilot invece di rispondere a memoria, e fagli controllare il lavoro di compliance prima che sia definitivo. Per un controllo, invia il testo completo, rimuovendo i segreti e i dati personali non necessari, e indica quali parti non sono state controllate. Non incollare testo di framework: lo porta ISMS Copilot.

Connetti in un comando

In ISMS Copilot, apri Impostazioni, poi App collegate e crea un token. Poi, per Claude Code:

claude mcp add --scope user --transport http ismscopilot https://account.ismscopilot.com/v1/account/mcp --header "Authorization: Bearer pat-isms-..."

Il flag --scope user lo rende disponibile in ogni cartella. Cursor, Codex, OpenCode e altri client MCP che accettano un header Bearer usano la stessa URL del server e lo stesso token. Le istruzioni specifiche per ogni client sono nella guida di Claude Code e in Connetti Cursor e Codex.

Funziona con il tuo piano di chat

Non c'è un prodotto MCP separato né una fatturazione separata. Le conversazioni delegate vengono eseguite sul tuo piano di chat esistente di ISMS Copilot, con la stessa finestra di utilizzo dell'app web. Se raggiungi il limite, lo strumento lo segnala e ti dice quando verrà resettato.

Ciò che abbiamo misurato: nel nostro test pre-registrato (2026-09-28, 3 esecuzioni per configurazione, Claude Code 2.1.283 con claude-sonnet-5, strumenti web disponibili per entrambe le configurazioni, chiave di risposta da fonti ufficiali), Claude Code che delega a ISMS Copilot ha ottenuto lo stesso risultato di Claude Code che effettua ricerche autonomamente su 20 ricerche di identificativi in cinque framework (ISO 27001, ISO 42001, CMMC, DORA RTS, NIS2), utilizzando meno token Claude per risposta corretta. L'utilizzo del piano ISMS Copilot non è conteggiato in questo caso, e i turni delegati vengono addebitati sul vostro piano ISMS Copilot. In una sessione prolungata mista di coding e compliance non si è registrato alcun risparmio, e le attività semplici che Claude già conosce costano di più se delegate (dove la delega non aiuta), pertanto mantenetele nel vostro agente. Il metodo e i suoi limiti sono disponibili nella pagina di benchmark. Le tariffe del Model API, con fonti e date, sono disponibili in /developers/models-and-data.

Quali client si collegano

I connettori di claude.ai e Claude Desktop, Claude Code e ChatGPT (come app MCP personalizzata) si collegano aggiungendo l'URL del server, accedendo a ISMS Copilot e facendo clic su Approve. Cursor, Codex, OpenCode e i job di CI usano un token di accesso personale inviato come header Bearer.

Il punto

Non devi scegliere tra il tuo agente e uno specialista di compliance. Tieni l'agente. Dagli qualcuno a cui chiedere, e qualcuno che controlli il suo lavoro.