Servizi fiduciari e intelligenza artificiale stanno iniziando a incrociarsi su una questione destinata a pesare sulla diffusione dell’agentic AI nelle imprese: come attribuire con certezza un’azione a un software autonomo e, soprattutto, alla persona o all’organizzazione per conto della quale quel software opera.
Finché l’intelligenza artificiale rimane uno strumento di supporto, il problema è relativamente circoscritto. Un sistema suggerisce una risposta, prepara un documento o propone una decisione, mentre l’atto finale resta riconducibile a una persona. Con gli AI agent il confine cambia. Un agente può ricevere un obiettivo, interagire con applicazioni e piattaforme, raccogliere informazioni, selezionare opzioni ed eseguire più passaggi senza una validazione umana per ogni singola operazione.
La scala potenziale è già rilevante. Secondo una ricerca di McKinsey, entro il 2030 il commercio globale orchestrato attraverso agenti potrebbe raggiungere un valore compreso tra 3.000 e 5.000 miliardi di dollari. Negli Stati Uniti, il solo segmento retail B2C potrebbe arrivare a circa mille miliardi di dollari di ricavi intermediati da questi sistemi.
Dietro alle stime economiche emerge però un problema infrastrutturale. Se un agente ordina beni, invia informazioni, avvia una pratica o interagisce con un servizio regolato, la controparte deve poter stabilire chi sia quell’agente, chi lo abbia autorizzato, entro quali limiti possa operare e quale prova rimanga dell’operazione. Sono domande familiari nel mondo dei servizi fiduciari. La novità è il soggetto tecnico a cui devono essere applicate.
Indice degli argomenti
Dall’identità della persona all’identità operativa dell’agente
L’economia digitale europea dispone da anni di strumenti per associare persone e organizzazioni ad atti elettronici verificabili. Firma elettronica, sigillo, marca temporale e servizi elettronici di recapito certificato poggiano sul quadro eIDAS e sul ruolo dei prestatori di servizi fiduciari. Con eIDAS 2.0, entrato in vigore il 20 maggio 2024, il perimetro è stato ulteriormente ampliato. Il regolamento introduce l’European Digital Identity Wallet e nuovi servizi fiduciari, fra cui le attestazioni elettroniche di attributi, l’archiviazione elettronica ed i registri elettronici, nonché la gestione da remoto dei dispositivi qualificati di creazione di firme e sigilli.
La Commissione europea chiarisce inoltre che, quando rilascia un certificato qualificato o un’attestazione elettronica qualificata di attributi, un QTSP deve verificare l’identità della persona fisica o giuridica interessata e gli attributi necessari. Per i servizi qualificati restano centrali la valutazione di conformità, la supervisione e l’inserimento nelle Trusted List nazionali, che determina lo status qualificato del prestatore e del servizio.
Gli agenti AI introducono un ulteriore livello. Identificare l’impresa non equivale infatti a verificare ogni entità software cui l’impresa concede capacità operative. Immaginiamo un agente incaricato di acquistare materiali entro una certa soglia, confrontando autonomamente i fornitori. Per la controparte conoscere l’identità dell’azienda può non bastare. Serve sapere se proprio quell’agente è stato autorizzato, quali poteri possiede, per quanto tempo può esercitarli e quali limiti economici o procedurali deve rispettare. La questione riguarda quindi l’identità, ma comprende anche delega, attributi, mandato e tracciabilità.
Agenti AI, il problema della fiducia arriva prima della transazione
L’automazione rende particolarmente importante distinguere un agente legittimo da un software che ne simula l’identità o utilizza credenziali compromesse.
La pressione cyber continua intanto ad aumentare. Secondo il Rapporto Clusit 2026, nel 2025 gli attacchi informatici sono cresciuti del 49% rispetto all’anno precedente. Una dinamica che rende ancora più delicato il passaggio verso sistemi autonomi capaci di agire direttamente su applicazioni, dati e processi aziendali. Se a essere compromessa è l’identità o l’autorizzazione di un agente AI, il rischio riguarda infatti anche le operazioni che quel software può eseguire per conto dell’organizzazione. La verifica deve quindi riguardare l’entità software e la catena di autorizzazioni che ne legittima il comportamento verso l’esterno.
Una nuova frontiera: l’Agentic QTSP
È su questo punto che Intesa, Qualified Trust Service Provider, sta sviluppando il concetto di Agentic QTSP: un’estensione del modello fiduciario agli agenti software. Nella visione descritta dall’azienda, la verifica parte dal soggetto che mette in funzione l’agente. La persona o l’impresa viene identificata, viene verificato il potere di rappresentanza quando necessario e solo successivamente vengono associati all’agente identità, mandato e limiti operativi.
Occorre tuttavia mantenere chiara la natura di questa evoluzione. “Agentic QTSP” non identifica oggi una nuova categoria giuridica prevista dal regolamento eIDAS, né implica che l’agente stesso diventi un prestatore qualificato. Il concetto indica piuttosto la possibilità di applicare infrastrutture e garanzie tipiche dei trust services a un ambiente nel quale l’azione digitale è sempre più spesso eseguita da software autonomi. È una distinzione essenziale, perché separa il perimetro normativo esistente dall’innovazione tecnologica e dai modelli che il mercato sta iniziando a costruire.
Identità, mandato e prova: le tre verifiche richieste dall’agentic AI
La verifica di un agente pone almeno tre questioni che in un sistema tradizionale tendono spesso a coincidere.
La prima riguarda l’identità operativa. Una controparte deve poter riconoscere l’agente con cui sta interagendo e verificare che le credenziali presentate siano valide e provengano da una fonte affidabile.
La seconda è il mandato. Riconoscere un agente non dice ancora che cosa gli sia consentito fare. Un software può essere autorizzato a richiedere informazioni, ma non a concludere un contratto. Può acquistare fino a una certa soglia, operare soltanto con determinati fornitori o agire per un periodo limitato. Trasformare queste condizioni in attributi verificabili permette alla controparte di decidere se accettare o respingere l’operazione sulla base di informazioni controllabili.
Il terzo elemento emerge dopo l’azione: la prova. Quando un processo viene contestato, sottoposto ad audit o ricostruito a distanza di tempo, occorre stabilire quale agente abbia operato, quali credenziali fossero valide in quel momento, quale mandato possedesse e che cosa abbia eseguito.
L’ipotesi sviluppata da Intesa parte proprio da questa catena. L’azienda individua quattro componenti: identità dell’agente, mandato, collegamento con il soggetto che lo ha incaricato e prova dell’operazione. L’obiettivo è rendere verificabile l’autorizzazione prima dell’azione e conservare evidenze utilizzabili dopo. Dal punto di vista architetturale, il passaggio più interessante consiste nella possibilità di trasformare informazioni oggi custodite all’interno dei sistemi aziendali in credenziali verificabili anche da una controparte esterna, senza necessariamente esporre l’intero patrimonio informativo del mandante.
eIDAS 2.0 offre una base, ma si apre uno spazio nuovo
Alcuni strumenti introdotti o rafforzati da eIDAS 2.0 possono diventare particolarmente rilevanti per questa evoluzione.
Le Electronic Attestations of Attributes consentono ad esempio di attestare elettronicamente attributi riferiti a una persona fisica o giuridica. Le attestazioni qualificate godono di specifici effetti giuridici e possono essere gestite attraverso l’European Digital Identity Wallet. La Commissione prevede inoltre che i QTSP, quando rilasciano certificati qualificati o attestazioni qualificate di attributi, verifichino l’identità e gli attributi necessari secondo le modalità previste dal regolamento. Il principio sottostante è importante per l’economia degli agenti: una decisione digitale può poggiare su informazioni certificate e verificabili, anziché sulla semplice dichiarazione della parte che le presenta.
Resta però da capire come questi meccanismi possano essere estesi o combinati quando l’entità che interagisce tecnicamente con un servizio è un agente AI. Il quadro eIDAS disciplina principalmente le persone fisiche, persone giuridiche e specifici servizi fiduciari. Non definisce oggi con lo stesso livello di granularità una personalità digitale autonoma dell’agente e, soprattutto, non definisce una categoria qualificata dedicata alla certificazione dei suoi poteri. Per questa ragione la discussione si sposta dall’idea di “identità dell’AI” a una formulazione più concreta: come rendere verificabile il rapporto tra agente, mandante e autorizzazione. È anche la strada più prudente sul piano giuridico.
Un agente opera attraverso poteri conferiti da persone o organizzazioni che restano inserite in un sistema di responsabilità. La tecnologia può rendere quella delega più facilmente verificabile e tracciabile, senza attribuire al software uno status che il diritto oggi non contempla. Sul piano istituzionale, però, lo spazio ha già iniziato a popolarsi: la proposta di European Business Wallet presentata dalla Commissione nel novembre 2025 prevede per le persone giuridiche identificazione, attestazioni di attributi e mandati digitali, cioè proprio i mattoni su cui poggia la delega verso un agente.
Quando l’agente entra nei processi regolati
Il problema acquista peso particolare nei settori nei quali identificazione, autorizzazione e conservazione delle evidenze sono già requisiti operativi.
Nel banking un agente potrebbe preparare documentazione, raccogliere dati per l’onboarding, interagire con procedure interne o attivare servizi esterni. Nei processi di procurement potrebbe negoziare condizioni entro parametri prestabiliti. Nell’e-commerce potrebbe ricercare prodotti, confrontare prezzi e completare acquisti. In altre applicazioni B2B potrebbe dialogare direttamente con gli agenti delle controparti. In simili casi occorre distinguere due situazioni.
Un’organizzazione può governare direttamente i propri agenti e utilizzarli per accedere a servizi fiduciari necessari a un processo. In questa configurazione, il punto critico riguarda le modalità con cui un processo automatizzato richiede il servizio mantenendo le garanzie previste dalla legge. Una firma qualificata riferita a una persona, per esempio, conserva i requisiti propri dell’atto del firmatario. Un agente può preparare il processo, ma non può semplicemente sostituirsi alla volontà che il diritto richiede alla persona.
La seconda situazione riguarda l’agente che interagisce con soggetti o sistemi esterni all’organizzazione che lo ha incaricato. La controparte non conosce le regole interne dell’organizzazione madre e deve decidere se riconoscerne le azioni. Qui diventano determinanti credenziali verificabili da terzi e una catena di fiducia indipendente dall’infrastruttura proprietaria del mandante. In uno scenario simile, l’interoperabilità della fiducia potrebbe diventare un requisito tanto importante quanto l’interoperabilità tecnica tra agenti.
Dai protocolli agent-to-agent alla verifica del potere di agire
Il mercato sta lavorando rapidamente sui protocolli che permettono agli agenti di comunicare con strumenti, applicazioni e altri agenti. Il citato studio McKinsey indica tra gli abilitatori emergenti protocolli come Model Context Protocol (MCP), Agent-to-Agent (A2A), Agent Payments Protocol (AP2) e Agentic Commerce Protocol (ACP). La capacità di collegare due agenti, tuttavia, risolve principalmente il livello tecnico dell’interazione. Rimane aperto quello fiduciario.
Prima di accettare un ordine generato automaticamente, la controparte potrebbe voler conoscere l’organizzazione rappresentata dall’agente e verificare che il mandato includa quella specifica categoria di acquisto. Un sistema finanziario potrebbe dover controllare soglie e autorizzazioni prima di consentire un’operazione. Un marketplace B2B potrebbe richiedere la prova che l’agente abbia titolo a impegnare contrattualmente l’impresa.
La futura infrastruttura agentica dovrà quindi far dialogare due piani: la capacità dei software di interoperare e la possibilità per le controparti di verificare il potere con cui operano tali software.
I QTSP possono trovare spazio soprattutto nel secondo. Il loro valore potenziale deriva dal modello di fiducia regolato già esistente, basato su verifica, standard tecnici, audit e supervisione. Ma il passaggio dall’identità di persone e organizzazioni alla certificazione delle relazioni di delega verso agenti richiede ancora lavoro tecnico, standardizzazione e un chiarimento dei diversi effetti giuridici.
La fiducia digitale deve reggere anche alla transizione post-quantum
L’ascesa degli agenti arriva mentre l’infrastruttura crittografica che sostiene firme, certificati e comunicazioni sicure deve prepararsi alla transizione verso la crittografia post-quantum. Il rischio quantistico riguarda in particolare gli algoritmi a chiave pubblica sui quali poggiano numerosi sistemi digitali. Un problema che viene considerato abbastanza concreto da avere già prodotto standard e roadmap di migrazione.
Nell’agosto 2024 il NIST statunitense ha pubblicato i primi tre standard finali di crittografia post-quantum - ML-KEM, ML-DSA e SLH-DSA, corrispondenti a FIPS 203, 204 e 205 – invitando le organizzazioni ad avviare la transizione verso sistemi resistenti agli attacchi di futuri computer quantistici. Nel marzo 2025 ha poi selezionato un ulteriore algoritmo di incapsulamento di chiave, HQC, destinato a completare il quadro. Anche l’Unione Europea ha avviato un percorso coordinato. Con la Raccomandazione (UE) 2024/1101 dell’11 aprile 2024 la Commissione ha chiesto agli Stati membri di predisporre una roadmap di implementazione coordinata per la migrazione alla Post-Quantum Cryptography.
Il documento è arrivato il 23 giugno 2025, elaborato dal NIS Cooperation Group, e fissa tre scadenze: avvio della transizione entro la fine del 2026, casi d’uso ad alto rischio e infrastrutture critiche entro il 2030, transizione completa entro il 2035. Il 20 gennaio 2026 la Commissione ha inoltre presentato una proposta di modifica della direttiva NIS2 (COM(2026) 13) che iscrive esplicitamente la PQC fra le politiche delle strategie nazionali di cibersicurezza e porta nel perimetro della direttiva anche i fornitori di European Digital Identity Wallet. La proposta è tuttora in iter legislativo.
Intesa ha collegato questa evoluzione al proprio ruolo di QTSP, prevedendo una roadmap di adeguamento crittografico e richiamando anche il rischio “harvest now, decrypt later”: l’intercettazione odierna di informazioni cifrate con l’obiettivo di decifrarle in futuro, quando saranno disponibili capacità quantistiche sufficienti. Per un prestatore di servizi fiduciari, però, il tema non si esaurisce lì. Quel rischio riguarda la riservatezza dei dati, mentre il cuore dei trust services è l’autenticità: firme, sigilli, marche temporali e certificati poggiano oggi su RSA ed ECDSA e sarebbero esposti al rischio di falsificazione retroattiva.
Le contromisure appartengono già al quadro eIDAS — livelli di firma con marca temporale e materiale di validazione incorporato, come PAdES-B-LTA, e servizi qualificati di conservazione — e servono a mantenere verificabili nel tempo le evidenze prodotte prima della migrazione. Va infine considerato che per un QTSP gli algoritmi ammessi non dipendono solo da scelte interne, ma dagli standard ETSI e dalla certificazione dei dispositivi, un lavoro tuttora in corso.
Le due trasformazioni toccano aspetti diversi, ma convergono sulla stessa infrastruttura. Gli agenti aumentano il numero di soggetti software capaci di compiere azioni rilevanti. La transizione post-quantum impone di ripensare le fondamenta crittografiche utilizzate per dimostrare identità, integrità e autenticità. Per imprese, banche e operatori regolati significa iniziare a considerare la fiducia digitale come un’architettura da progettare lungo l’intero ciclo dell’operazione. Sapere chi autorizza un agente, rendere verificabili i suoi poteri, conservare la prova di ciò che ha fatto e garantire che quelle evidenze restino affidabili nel tempo sono problemi destinati a incontrarsi sempre più spesso.
Il possibile sviluppo dei QTSP verso l’economia agentica nasce da questa esigenza. La tecnologia per fare agire i software sta avanzando rapidamente. La prossima sfida riguarda le garanzie necessarie perché imprese, piattaforme e istituzioni possano decidere quando fidarsi delle loro azioni.
Articolo realizzato in partnership con Intesa
Partecipa alla community