C’è un momento, in ogni transizione tecnologica, in cui smettiamo di chiederci se una cosa accadrà e iniziamo a chiederci come dovremo governarla. Per l’Agentic AI, quel momento è già vivo.
Negli ultimi anni l’AI è stata raccontata soprattutto come uno strumento capace di generare testi, immagini, analisi o risposte, ma la traiettoria è già cambiata. Stiamo passando da sistemi che assistono a sistemi che agiscono: non parliamo più di un assistente che suggerisce la bozza di una e-mail, ma di un sistema che può produrre effetti reali per conto di una persona o di un’azienda. Un agente può acquistare materiale IT per un team, predisporre l’onboarding di un nuovo dipendente, aprire una pratica, avviare una procedura interna, interagire con un fornitore o preparare un atto da sottoporre a firma.
Questa autonomia è destinata a diventare un fattore competitivo. Le imprese che sapranno affidare agli agenti processi ripetitivi ma ad alto valore operativo potranno ridurre tempi, costi e colli di bottiglia. Ma più cresce il grado di autonomia, più emerge una domanda che oggi è ancora troppo poco presidiata: quando un agente AI compie un’azione per conto di qualcuno, chi ha davvero autorizzato quell’azione? Entro quali limiti? E con quale prova?
Indice degli argomenti
Autorizzazione degli agenti AI: il vuoto della fiducia digitale
La risposta, nella maggior parte delle architetture attuali, è fragile. Spesso l’agente agisce perché possiede una chiave API, un account di servizio o un permesso OAuth. Sono strumenti utilissimi per abilitare l’accesso tecnico a un sistema, ma non nascono per esprimere una delega giuridicamente significativa.
Una chiave API può dire che un software ha il permesso di chiamare un servizio. Uno scope OAuth può dire che un’applicazione può scrivere ordini. Ma nessuno di questi strumenti, da solo, dice davvero chi abbia autorizzato quell’azione, per quale finalità, fino a quale importo, per quanto tempo o con quale prova opponibile a terzi.
Finché tutto funziona, il problema resta invisibile, ma diventa evidente quando qualcosa va storto: un ordine fuori budget, un acquisto non previsto, un servizio attivato per errore, un processo avviato senza il consenso corretto, una contestazione da parte di un cliente o una verifica da parte di un’autorità. In quel momento non basta dire che “l’agente aveva accesso”, bisogna dimostrare che una persona o un’azienda aveva effettivamente conferito a quello specifico agente il potere di compiere quella specifica azione, entro quei limiti.
La questione, quindi, non è solo tecnica. È una questione di fiducia, accountability e riconducibilità giuridica.
Procura digitale ed eIDAS per la fiducia negli agenti autonomi
Per capirla, possiamo partire da uno strumento antichissimo: la procura. Quando una persona delega un’altra persona ad agire in suo nome, non le consegna semplicemente le chiavi di casa o dell’ufficio, ma le conferisce un mandato. Quel mandato definisce cosa il delegato può fare, entro quali limiti, per quanto tempo e con quale valore. Chi riceve l’azione del delegato può verificare la procura, accettarla se è valida o rifiutarla se è malformata. E, in caso di controversia, quel documento diventa la prova della volontà del mandante.
L’Agentic AI ha bisogno di qualcosa di molto simile: una procura digitale, leggibile dalle macchine, verificabile automaticamente e ancorata a un’identità di cui il sistema giuridico possa fidarsi.
La buona notizia è che, in Europa, una parte rilevante di questa infrastruttura esiste già. Si chiama eIDAS ed è il quadro regolatorio che ha costruito, negli anni, una vera infrastruttura europea della fiducia digitale: firme elettroniche qualificate, sigilli elettronici qualificati, marche temporali, identità digitali, servizi fiduciari. Il punto decisivo non è solo tecnologico, ma giuridico: una firma elettronica qualificata ha lo stesso effetto giuridico di una firma autografa, mentre un sigillo elettronico qualificato consente di ricondurre in modo certo un atto ad una persona giuridica.
Da qui nasce un’intuizione semplice ma potente: usare la stessa infrastruttura che già oggi consente a persone e imprese di firmare contratti, documenti e obbligazioni per emettere mandati digitali che gli agenti AI possano presentare prima di agire.
Il mandato qualificato e i limiti operativi dell’agente
In pratica, il mandato dell’agente potrebbe essere un documento strutturato, ad esempio una Verifiable Credential secondo gli standard W3C, firmato con una firma qualificata o con un sigillo qualificato. Al suo interno non ci sarebbe un generico “può agire”, ma un perimetro preciso: identità del mandante, identità crittografica dello specifico agente, azioni consentite, limiti di spesa, numero massimo di operazioni, durata, eventuali destinatari o categorie di servizio.
L’agente, prima di compiere un’azione, presenta questo mandato a un sistema di autorizzazione. Il sistema verifica la firma, controlla che l’agente sia davvero quello indicato, verifica che l’azione rientri nei limiti previsti e solo allora rilascia un permesso breve, vincolato e tracciabile.
Questo cambia radicalmente il modello. L’autorizzazione non è più una chiave tecnica lunga e opaca, ma un mandato leggibile, verificabile e riconducibile a un soggetto umano o aziendale. Ogni azione può essere collegata alla volontà originaria del mandante ed ogni limite può essere fatto rispettare dal sistema. In questo modo, ogni evento può entrare in una catena di audit che renda evidente cosa è successo, quando, per conto di chi e sulla base di quale delega.
La fiducia europea negli agenti AI tra wallet e trusted computing
È qui che l’approccio europeo può diventare un vantaggio competitivo. Spesso l’Europa viene percepita come un continente che regola l’innovazione più di quanto la abiliti. Ma nel caso dell’Agentic AI può accadere l’opposto. La combinazione tra eIDAS, EUDI Wallet, Verifiable Credential e servizi fiduciari qualificati offre una base unica per costruire agenti autonomi non solo potenti, ma affidabili, verificabili e compatibili con le aspettative di imprese, cittadini e autorità.
Con eIDAS 2.0 e con l’evoluzione verso il Portafoglio Europeo di Identità Digitale, questa prospettiva diventa ancora più concreta. Lo stesso wallet che potrà contenere credenziali personali, documenti digitali e strumenti di firma potrà diventare, in prospettiva, anche il punto da cui una persona autorizza un agente ad agire per suo conto. Non serve inventare da zero una nuova radice di fiducia, quindi, ma è necessario estendere al mondo degli agenti un’infrastruttura che l’Europa sta già costruendo per il prossimo decennio.
In prospettiva, anche il tema del Business Wallet europeo può rafforzare questo modello sul piano enterprise. Se l’EUDI Wallet riguarda l’identità digitale delle persone, un wallet pensato per le imprese può diventare lo spazio attraverso cui un’azienda si identifica, firma, appone sigilli, gestisce credenziali verificabili e conferisce deleghe con valore legale. Per gli agenti AI significa non solo sapere quale persona abbia autorizzato un’azione, ma anche da quale azienda provenga il mandato, secondo quali poteri di rappresentanza e con quali limiti operativi.
Trusted computing: verificare l’ambiente di esecuzione
Naturalmente, sapere chi ha autorizzato un agente non sempre basta. In alcuni contesti critici è necessario sapere anche dove e in quali condizioni quell’agente sta operando. Se un agente è autorizzato a disporre un investimento, accedere a dati sensibili o intervenire su un’infrastruttura essenziale, il mandato deve essere accompagnato da garanzie sull’ambiente di esecuzione.
Qui entrano in gioco concetti come il trusted computing e i trusted execution environment: meccanismi capaci di attestare che il codice dell’agente stia girando in un ambiente integro, isolato e verificabile, non in una macchina compromessa o manipolata.
Il mandato dice cosa l’agente può fare e chi lo ha autorizzato. L’attestazione dell’ambiente dice che lo sta facendo dal luogo tecnico previsto e con le condizioni di sicurezza richieste. Sono due livelli distinti, ma complementari. Per molti casi d’uso il primo può essere sufficiente, ma per processi ad alto rischio serviranno entrambi.
Deleghe e casi d’uso per l’autonomia controllata degli agenti AI
C’è poi un ulteriore elemento che rende l’Agentic AI diversa dall’automazione tradizionale: gli agenti possono delegare altri agenti. Un agente incaricato di gestire un processo complesso può scomporlo in sotto-attività e affidarle a sotto-agenti specializzati. È una delle promesse più interessanti di questa tecnologia, ma anche uno dei tasselli più delicati. Senza un modello rigoroso di delega, ogni passaggio può diventare un’occasione per espandere privilegi, moltiplicare spese o perdere traccia della responsabilità.
Anche qui il modello della procura digitale offre una risposta. Un agente che delega un sotto-agente non dovrebbe poter ampliare il mandato ricevuto ma solo restringerlo. Se il mandato originario autorizza acquisti fino a cinquemila euro entro una settimana, un sotto-mandato potrà autorizzare solo una porzione di quel budget, per una parte delle azioni e per una durata non superiore.
I limiti del mandato si ereditano lungo la catena e si applicano in modo cumulativo. Un massimale, per esempio il tetto di spesa, non può quindi essere aggirato frazionando l’attività tra più agenti. Il vincolo fissato dal mandante vale per l’intero albero della delega, qualunque sia la sua profondità.
È un principio ovvio nel mondo fisico: chi riceve una delega non può trasferire ad altri più potere di quanto ne abbia ricevuto. Dobbiamo renderlo altrettanto ovvio, e soprattutto automatico, nel mondo degli agenti AI.
Il procurement automatico come banco di prova
Un caso concreto aiuta a capire il valore di questo approccio. Immaginiamo un processo di procurement automatico. Un responsabile autorizza un agente ad acquistare materiale IT per un team, con un budget massimo, una validità temporale e un numero massimo di operazioni. L’agente consulta il catalogo, seleziona i prodotti, compone l’ordine e lo invia.
Se tutto rientra nel perimetro firmato, l’azione procede. Se l’agente tenta un acquisto fuori budget o non coerente con il mandato, il sistema lo blocca. Se il processo richiede il coinvolgimento di un sotto-agente, ad esempio per una categoria specifica di beni, il sotto-mandato eredita limiti più stretti e tutte le azioni restano riconducibili al mandato originario.
Il risultato è una forma di autonomia controllata. Non serve approvare manualmente ogni micro-azione, perché il controllo è incorporato nel mandato. Ma non si lascia neppure l’agente libero di operare sulla base di una chiave tecnica indifferenziata. L’autonomia diventa scalabile proprio perché il perimetro è chiaro, verificabile e tracciato.
Lo stesso schema si estende ben oltre gli acquisti. Il caso forse più emblematico è quello dei servizi finanziari: un investitore può autorizzare un agente a operare sui mercati con una reattività e una continuità che nessun umano potrebbe sostenere (ribilanciamenti, ingressi e uscite secondo soglie predefinite), ma sempre entro i limiti di spesa e le condizioni che ha firmato. L’agente agisce al posto suo, mai oltre ciò che gli è stato conferito.
Compliance e sicurezza nella governance degli agenti AI
Questo tema si inserisce in un quadro regolatorio più ampio. AI Act, NIS2, DORA ed eIDAS si muovono su piani diversi, ma convergono su una stessa esigenza: rendere le decisioni digitali tracciabili, verificabili e attribuibili. Le aziende dovranno essere sempre più capaci di dimostrare chi, o cosa, ha compiuto una determinata azione, sulla base di quale autorizzazione e con quale controllo umano. Gli agenti AI non faranno eccezione. Anzi, proprio perché sono autonomi, renderanno questa esigenza ancora più urgente.
La differenza sarà tra chi proverà a ricostruire la tracciabilità a posteriori, aggiungendo controlli e log dopo l’adozione degli agenti e chi la costruirà by design. Nel primo caso la compliance rischia di diventare un costo, oltre che una sovrastruttura. Nel secondo può diventare un abilitatore: l’elemento che consente di affidare agli agenti processi più critici, perché la fiducia è già parte dell’architettura.
Cosa non risolve il mandato qualificato
Non bisogna però confondere questo approccio con una soluzione universale a tutti i rischi dell’AI. Un mandato qualificato non elimina da solo il rischio di prompt injection, non risolve la sicurezza della supply chain dei modelli, non sostituisce i controlli sul comportamento dell’LLM, non rende superflui sandboxing, policy, monitoraggio e strumenti di sicurezza applicativa. Contiene, però, gli effetti dell’azione e, quindi, anche se un agente viene indotto a comportarsi in modo imprevisto, non dovrebbe poter superare il perimetro del mandato ricevuto.
È una distinzione importante. La sicurezza degli agenti non sarà un singolo prodotto o un singolo protocollo, ma una stratificazione di controlli. Il mandato qualificato è lo strato dell’autorizzazione e dell’attribuzione. Serve a rispondere alla domanda più difficile: non solo “l’agente poteva tecnicamente farlo?”, ma “chi gli aveva dato il potere di farlo, con quali limiti e con quale prova?”.
Agenti AI affidabili e verificabili oltre la sola performance
Il dibattito sull’Agentic AI dovrebbe uscire dalla sola dimensione della performance. Nei prossimi anni avranno la meglio gli agenti che potranno essere inseriti nei processi reali delle imprese, delle banche, delle pubbliche amministrazioni, delle infrastrutture critiche. E per entrare in quei processi non basterà essere intelligenti. Bisognerà essere affidabili, verificabili ed auditabili.
L’Europa ha già costruito molti degli strumenti necessari per questa nuova fase. Firme qualificate, sigilli, identità digitali, wallet, standard di credenziali verificabili e servizi fiduciari non sono un’eredità burocratica del passato; possono diventare la base per una nuova generazione di agenti autonomi responsabili.
La domanda “quando l’agente agisce, chi ha firmato?” non è un dettaglio tecnico. È la domanda che deciderà quanto potremo fidarci dell’autonomia artificiale nei processi che contano davvero. E la risposta, se vogliamo costruirla in modo europeo, non passa dall’ennesima chiave segreta o da un consenso nascosto in un log proprietario. Passa da un mandato digitale, qualificato, leggibile dalle macchine e verificabile da chiunque abbia titolo a farlo.
L’autonomia degli agenti è una grande opportunità, ma autonomia senza accountability è solo rischio distribuito. La sfida, oggi, è trasformare la fiducia in infrastruttura e su questo terreno l’Europa può avere un ruolo molto più forte di quanto spesso immaginiamo: non solo regolatore dell’innovazione, ma abilitatore di un modello di AI autonoma più sicuro, responsabile e competitivo.
Partecipa alla community