Gli agenti di intelligenza artificiale non si limitano più a suggerire cosa acquistare o a confrontare prezzi: possono selezionare un prodotto, accettare condizioni generali, inviare un ordine e disporre un pagamento. Ma quando il sistema agisce oltre le istruzioni ricevute, il contratto vincola comunque l’utente o l’impresa che lo ha messo in funzione? Le categorie tradizionali del diritto civile offrono molte risposte, ma l’autonomia degli agenti AI impone di ripensare il modo in cui definiamo e documentiamo la delega negoziale.
Nel febbraio 2025 il giornalista del Washington Post Geoffrey Fowler chiede a un agente di intelligenza artificiale di aiutarlo a scegliere una confezione di uova al prezzo più conveniente.
Si aspettava che il sistema confrontasse le alternative e gli proponesse una scelta. L’agente interpreta diversamente l’incarico: seleziona il prodotto ed effettua autonomamente l’acquisto su Instacart, spendendo 31 dollari, più del doppio rispetto ad altre alternative disponibili.
Indice degli argomenti
Quando l’agente AI conclude autonomamente un contratto
L’episodio può apparire marginale. Ma contiene una domanda destinata a diventare sempre più importante per imprese e consumatori: “se un agente AI conclude autonomamente un contratto, chi rimane vincolato?”
La questione diventa ancora più complessa quando il sistema non si limita a eseguire un’istruzione precisa, ma interpreta un obiettivo generale e decide autonomamente come raggiungerlo.
È questa la caratteristica che distingue gli agenti AI dai sistemi di intelligenza artificiale generativa ai quali ci siamo abituati negli ultimi anni.
Dal chatbot all’agente: quando l’AI smette di suggerire e comincia ad agire
Un chatbot tradizionale riceve una richiesta e produce un output. Può scrivere un testo, riassumere un documento, suggerire un acquisto o predisporre una bozza contrattuale. L’azione successiva rimane però nelle mani dell’utente.
Un agente AI opera diversamente.
Riceve un obiettivo, lo scompone in una sequenza di attività, accede a strumenti e informazioni esterne, valuta le alternative disponibili ed esegue le azioni necessarie per raggiungere il risultato.
Può navigare sul web, utilizzare applicazioni, inviare comunicazioni, interagire con database, compilare moduli, effettuare prenotazioni, acquistare beni e servizi e disporre pagamenti.
La differenza non è soltanto tecnologica.
Nel primo caso l’AI produce un’informazione che l’essere umano può valutare prima di utilizzarla. Nel secondo il sistema può produrre direttamente effetti nel mondo reale.
La catena operativa dell’agente può essere sintetizzata in quattro passaggi: pianifica, interroga, redige, agisce. Ogni passaggio aumenta l’utilità del sistema, ma introduce anche la possibilità che un errore si propaghi fino all’azione finale. È precisamente il passaggio dalla produzione di contenuti all’esecuzione autonoma di azioni che caratterizza l’IA agentica.
Non si tratta più di uno scenario teorico.
Gli agenti AI stanno entrando nella programmazione, nell’assistenza clienti, nella contabilità, nelle attività professionali e nella gestione dei processi aziendali. Più sono autonomi, più possono essere utili; ma la stessa autonomia riduce la possibilità di una sorveglianza umana effettiva e tempestiva.
Il diritto si trova così davanti a un fenomeno apparentemente paradossale: un sistema privo di soggettività giuridica può compiere operazioni suscettibili di produrre effetti giuridici.
Sul piano tecnico, l’aumento di autonomia comporta anche un ampliamento della superficie di attacco. Ogni strumento a cui l’agente è abilitato – browser, API, wallet di pagamento, sistemi di posta elettronica – diventa un potenziale vettore di compromissione: un’istruzione malevola nascosta in una pagina web, in un documento o nella risposta di un servizio terzo (prompt injection) può essere eseguita dal sistema con la stessa autorità di un comando legittimo impartito dall’utente. Il problema giuridico dell’imputazione si intreccia così, sempre più spesso, con un problema di sicurezza informatica: prima di chiedersi a chi sia riferibile l’azione dell’agente, occorre poter escludere che quell’azione sia stata determinata da un’interferenza esterna non autorizzata.
L’agente AI non è una parte del contratto
Un primo punto può essere chiarito facilmente.
L’agente AI non è un soggetto di diritto.
Non ha capacità giuridica, non possiede un patrimonio autonomo e non può diventare titolare di diritti e obblighi.
Quando un agente acquista un prodotto, prenota un servizio o invia un ordine, il problema non è quindi stabilire se il sistema abbia concluso un contratto “in proprio”.
Occorre piuttosto individuare a chi sia giuridicamente imputabile l’attività negoziale compiuta attraverso il sistema.
Il problema, peraltro, non nasce con l’intelligenza artificiale.
I sistemi informatici concludono contratti da decenni. Piattaforme di trading algoritmico, sistemi automatici di approvvigionamento, distributori automatici e software di “electronic data interchange” possono trasmettere ordini e generare operazioni senza che una persona fisica manifesti, in quel preciso momento, una volontà negoziale.
La Convenzione delle Nazioni Unite sull’uso delle comunicazioni elettroniche nei contratti internazionali ha già affrontato il fenomeno dei cosiddetti “automated message systems”. L’articolo 12 stabilisce che la validità o l’efficacia di un contratto non possono essere negate per il solo fatto che nessuna persona fisica abbia controllato o revisionato ciascuna delle singole azioni compiute dai sistemi automatici.
La soluzione è coerente con un principio generale: chi decide di utilizzare uno strumento automatico per operare sul mercato non può normalmente sottrarsi agli effetti delle operazioni compiute dal sistema soltanto perché non ha verificato personalmente ogni singolo passaggio.
Ma l’AI agentica introduce un elemento ulteriore.
Un sistema tradizionale esegue regole determinate in anticipo.
L’agente AI riceve invece un obiettivo e può individuare autonomamente il percorso per raggiungerlo.
Ed è proprio nello spazio tra l’obiettivo assegnato dall’essere umano e l’azione concretamente compiuta dal sistema che nascono i problemi più interessanti.
Il problema non è la volontà dell’AI, ma l’imputazione della sua azione
Immaginiamo che un’impresa autorizzi un agente AI a gestire l’approvvigionamento di alcuni materiali.
L’agente monitora le scorte, individua i fornitori, confronta le offerte e invia gli ordini.
Se il sistema opera entro parametri chiaramente definiti, è difficile dubitare che gli acquisti debbano essere imputati all’impresa che ha deciso di utilizzare l’agente.
La situazione cambia quando l’incarico è formulato in termini generali.
“Acquista i materiali necessari garantendo il miglior rapporto qualità-prezzo”.
L’agente individua autonomamente i prodotti, sceglie il fornitore, accetta le condizioni generali di contratto e conclude un ordine da centinaia di migliaia di euro.
L’impresa sostiene di non avere mai autorizzato quell’operazione.
Il fornitore, al contrario, ha ricevuto un ordine proveniente dal sistema informatico utilizzato dall’impresa e ha fatto affidamento sulla sua validità.
Chi deve sopportare il rischio?
Le categorie tradizionali della rappresentanza e del mandato offrono inevitabilmente un primo riferimento, ma l’analogia non è perfetta.
Il rappresentante è un soggetto di diritto che manifesta una propria volontà negoziale producendo effetti nella sfera giuridica del rappresentato.
L’agente AI non manifesta una volontà giuridicamente rilevante e non possiede capacità di agire.
Per questo appare poco convincente qualificare il sistema come un vero rappresentante dell’utente.
Più utile è considerarlo uno strumento attraverso il quale viene esercitata l’autonomia negoziale del soggetto che lo ha configurato, autorizzato e immesso nel traffico giuridico.
Il punto centrale diventa allora individuare i confini entro i quali l’azione del sistema possa essere imputata all’utilizzatore.
Cosa succede quando l’agente supera i limiti?
È probabilmente questa la questione più complessa.
Torniamo al caso iniziale.
L’utente chiede all’agente di “scegliere” il prodotto più conveniente. Il sistema interpreta l’istruzione come autorizzazione ad acquistarlo.
Oppure immaginiamo un agente incaricato di acquistare automaticamente materie prime entro un budget mensile di 100.000 euro.
Per un errore di pianificazione, conclude ordini per 500.000 euro.
O ancora, un agente autorizzato a operare esclusivamente con fornitori già accreditati individua autonomamente una nuova controparte e conclude un contratto.
In tutti questi casi esiste una divergenza tra i limiti stabiliti dall’utilizzatore e l’azione compiuta dal sistema.
La tentazione sarebbe applicare direttamente le regole della rappresentanza senza potere o dell’eccesso di procura.
Ma la soluzione presenta difficoltà evidenti.
Il falsus procurator è un soggetto che agisce in nome altrui senza averne i poteri. L’agente AI non è un soggetto e non può essere destinatario di una procura in senso tecnico.
Allo stesso tempo, sarebbe difficile accettare una regola secondo cui qualsiasi operazione compiuta oltre le istruzioni impartite al sistema sarebbe automaticamente inefficace.
Una soluzione simile trasferirebbe interamente sulla controparte il rischio derivante dall’utilizzo di sistemi autonomi che essa non ha scelto, configurato o controllato.
La questione dovrebbe quindi essere affrontata soprattutto sul piano dell’imputazione del rischio e della tutela dell’affidamento.
Chi introduce un agente AI nelle proprie relazioni commerciali crea un’apparenza operativa e consente al sistema di interagire con i terzi.
Diventa allora determinante stabilire quali misure siano state adottate per delimitare i poteri dell’agente e rendere conoscibili tali limiti alle controparti.
Il contratto concluso dall’agente può essere viziato da errore?
Un’altra questione riguarda l’applicazione della disciplina dell’errore.
Supponiamo che un agente acquisti un bene diverso da quello necessario perché ha interpretato erroneamente alcune informazioni disponibili.
L’impresa potrebbe chiedere l’annullamento del contratto sostenendo che l’operazione è stata determinata da un errore?
Anche qui le categorie tradizionali devono essere adattate con cautela.
L’errore rilevante ai sensi degli articoli 1428 e seguenti del Codice civile è un vizio della volontà del contraente.
L’agente AI, però, non possiede una volontà giuridicamente rilevante.
Occorrerà quindi verificare se l’errore del sistema possa essere ricondotto al processo di formazione o manifestazione della volontà del soggetto che lo utilizza.
La risposta potrebbe essere diversa a seconda della causa dell’errore.
Un parametro configurato erroneamente dall’utente, un dato inesatto fornito al sistema, un difetto del modello o un comportamento autonomo imprevedibile dell’agente pongono problemi giuridici differenti.
Un profilo distinto, e destinato a un rilievo pratico crescente, riguarda i casi in cui il comportamento anomalo dell’agente non derivi da un errore imputabile al processo di formazione o di manifestazione della volontà dell’utilizzatore, bensì da una compromissione del sistema: credenziali sottratte, un componente di terze parti manomesso, oppure un’istruzione malevola iniettata nel contesto operativo dell’agente (prompt injection o tool poisoning). In questa ipotesi l’inquadramento più corretto non è necessariamente quello dell’errore ex artt. 1428 ss. c.c., quanto piuttosto quello dell’atto compiuto in assenza o contro la volontà dell’utilizzatore legittimo, secondo una problematica che presenta alcune analogie con la disciplina delle operazioni di pagamento non autorizzate. Le conseguenze, anche in termini di riparto dell’onere della prova e di responsabilità del fornitore del servizio agentico, possono risultare significativamente diverse: occorre dunque che l’indagine tecnico-forense sia in grado di distinguere, ricostruendo la sequenza delle azioni compiute, un malfunzionamento autonomo da un’azione etero-diretta.
Anche in questo caso emerge un elemento destinato a diventare centrale nei futuri contenziosi: la possibilità di ricostruire ciò che è accaduto.
Quale istruzione è stata impartita?
Quali poteri erano stati concessi all’agente?
Quali informazioni ha utilizzato?
Quali azioni ha compiuto?
Era prevista un’autorizzazione umana prima della conclusione del contratto?
L’operazione poteva essere interrotta?
Senza registri affidabili delle azioni compiute dal sistema, rispondere a queste domande potrebbe essere estremamente difficile.
Un registro «affidabile», in questa prospettiva, non coincide con un semplice file di log applicativo. Per assumere valore probatorio in un eventuale contenzioso, la registrazione delle azioni dell’agente dovrebbe garantire quantomeno l’integrità e l’immodificabilità dei dati raccolti (ad esempio tramite concatenazione hash o timestamping certificato), la non ripudiabilità delle istruzioni impartite e delle azioni eseguite, e la tracciabilità della catena di custodia dal momento della generazione del dato fino alla sua eventuale produzione in giudizio, secondo criteri assimilabili a quelli previsti dalla ISO/IEC 27037 per l’identificazione, la raccolta e la conservazione della evidenza digitale. In assenza di questi presidi, la ricostruzione ex post del comportamento dell’agente rischia di fondarsi su elementi facilmente contestabili dalla controparte.
Il paradosso della supervisione umana
L’AI Act attribuisce particolare importanza alla sorveglianza umana, soprattutto per i sistemi classificati ad alto rischio.
Ma nel caso degli agenti AI emerge un problema strutturale.
Più un agente richiede l’approvazione dell’essere umano prima di ogni azione, meno è autonomo e meno produce i vantaggi di efficienza per i quali viene utilizzato.
Più l’agente è libero di agire, maggiore è invece il rischio che produca effetti giuridici non previsti dall’utilizzatore.
È il paradosso della supervisione umana.
Non è sufficiente prevedere genericamente che “l’uomo mantiene il controllo”. Occorre stabilire quando il controllo debba intervenire e quali azioni possano essere delegate integralmente al sistema.
Una recente proposta accademica dedicata espressamente alla regolazione degli agenti AI suggerisce, su un piano diverso dalla classificazione dei sistemi per livelli di rischio prevista dall’AI Act, un modello di autorizzazione “a semaforo” delle singole azioni dell’agente, nel quale il grado di autonomia riconosciuto al sistema varia in funzione del rischio operativo dell’azione da compiere. La stessa ricerca propone inoltre l’introduzione di un elenco normativo di atti giuridici non delegabili ai sistemi autonomi (1)
Tradurre questo modello in pratica richiede componenti tecnici specifici: un motore di policy in grado di classificare ex ante il rischio dell’azione richiesta, punti di controllo (gate) che sospendano l’esecuzione in attesa di un’approvazione umana per le operazioni sopra soglia, meccanismi di rate limiting e di interruzione immediata (kill switch) attivabili in caso di comportamento anomalo, e log strutturati che consentano di ricostruire, per ciascuna azione, quale livello del semaforo l’abbia autorizzata. Senza questi elementi, la classificazione del rischio rimane un principio astratto privo di efficacia operativa.
Per le imprese, questa impostazione potrebbe tradursi in una vera e propria architettura dei poteri dell’agente.
Dalla delega umana alla delega agentica
L’elemento forse più importante è proprio questo.
Fino a oggi le imprese hanno disciplinato i poteri delle persone che agiscono per loro conto attraverso procure, deleghe di funzioni, policy interne, limiti di spesa e sistemi di autorizzazione.
L’arrivo degli agenti AI rende necessario costruire strumenti analoghi sul piano tecnologico e organizzativo.
Non basta autorizzare genericamente un sistema a “gestire gli acquisti”.
Occorre definire almeno:
- quali categorie di contratti può concludere;
- quali beni e servizi può acquistare;
- entro quali limiti economici può operare;
- con quali controparti può contrattare;
- quali clausole può accettare;
- quali operazioni richiedono l’approvazione umana;
- quando deve interrompere l’esecuzione ed effettuare un’escalation;
- come vengono registrate le istruzioni ricevute e le azioni compiute;
- quali misure tecniche garantiscono l’integrità, la non ripudiabilità e la conservazione nel tempo dei log delle azioni compiute dall’agente;
- chi può modificare o revocare i poteri attribuiti al sistema;
- come le controparti possono verificare l’identità dell’agente e l’estensione dei suoi poteri.
Non è più soltanto un problema di cybersecurity o di compliance.
È un problema di governance dell’autonomia negoziale.
Le prime analisi sui contratti per l’utilizzo di sistemi agentici segnalano, inoltre, un ulteriore problema: molti contratti tecnologici attualmente utilizzati sono stati scritti per software passivi e prevedibili. Limitazioni di responsabilità, esclusioni dei danni indiretti e massimali parametrati ai canoni pagati possono risultare inadeguati quando un agente può impartire ordini, autorizzare pagamenti o assumere decisioni operative capaci di generare perdite molto superiori al valore del servizio. (2)
La questione riguarda quindi due livelli contrattuali distinti.
Da una parte, i contratti conclusi attraverso l’agente AI.
Dall’altra, i contratti con i fornitori dei sistemi agentici, che devono stabilire chi sopporta le conseguenze quando il sistema agisce in modo errato o imprevedibile.
Identificare l’agente per ricostruire la catena della delega
Un possibile sviluppo arriva dall’Estonia.
Il Governo estone ha annunciato un progetto per attribuire agli agenti AI una propria identità digitale, attraverso la quale possano operare per conto di persone e organizzazioni.
L’obiettivo non è riconoscere una personalità giuridica all’intelligenza artificiale.
È rendere identificabile il sistema che compie un’azione, verificare per conto di chi opera e ricostruire i poteri che gli sono stati attribuiti.
La distinzione è fondamentale.
Identità non significa soggettività.
Un agente identificabile può utilizzare credenziali proprie, ricevere permessi specifici, essere sottoposto a limiti, lasciare tracce verificabili delle operazioni compiute e vedersi revocare rapidamente le autorizzazioni.
Sul piano tecnico, questo tipo di identità digitale trova già riscontro in strumenti esistenti: certificati e infrastrutture a chiave pubblica per autenticare l’agente, credenziali verificabili e identificatori decentralizzati (DID) per attestarne l’autorizzazione senza dover interrogare ogni volta un registro centralizzato, token di accesso con ambito (scope) limitato e privilegio minimo per circoscrivere le operazioni consentite, e meccanismi di attestazione a livello di sessione che leghino ogni azione a una specifica autorizzazione, revocabile in tempo reale. Nessuno di questi strumenti richiede di riconoscere all’agente una soggettività giuridica: serve, più semplicemente, a rendere verificabile — anche in sede probatoria — la catena della delega digitale di cui si è detto.
Il progetto estone prevede proprio di associare l’identità dell’agente al soggetto che lo ha autorizzato e di rendere modificabili o revocabili i diritti attribuiti al sistema. (3)
In prospettiva, questa soluzione potrebbe avere conseguenze importanti anche sul diritto dei contratti.
Per stabilire se un’operazione compiuta da un agente AI sia imputabile a un’impresa occorrerà infatti poter ricostruire una vera catena della delega digitale: chi ha attivato l’agente, con quali poteri, entro quali limiti, in quale momento e con quali possibilità di controllo.
È una delle questioni già emerse nel dibattito internazionale: la responsabilità rimane umana, ma per attribuirla occorre poter ricostruire chi ha autorizzato cosa ed entro quali confini.
Il diritto dei contratti è pronto per gli agenti AI?
Probabilmente non serve creare una nuova soggettività giuridica per gli agenti AI.
I principi generali del diritto dei contratti conservano una notevole capacità di adattamento.
L’autonomia privata, l’imputazione delle dichiarazioni negoziali, la tutela dell’affidamento, la buona fede, la responsabilità per l’organizzazione delle attività economiche e le regole sull’errore possono offrire gli strumenti necessari per affrontare molti dei problemi posti dai sistemi agentici.
Ma l’autonomia degli agenti rende insufficiente una domanda apparentemente semplice: l’utente ha voluto concludere quel contratto?
La domanda corretta sarà sempre più spesso un’altra:
“L’utente ha creato le condizioni perché il sistema potesse concludere quel contratto e chi deve sopportare il rischio quando l’agente supera i limiti dell’autonomia che gli è stata concessa?”
La risposta dipenderà dalla configurazione del sistema, dai poteri attribuiti, dalle misure di supervisione, dalla conoscibilità dei limiti da parte dei terzi e dalla possibilità di ricostruire le azioni compiute.
È qui che il diritto dei contratti dovrà confrontarsi con l’AI agentica.
Per secoli abbiamo costruito regole per stabilire chi può agire per conto di un altro soggetto.
Ora dovremo imparare a stabilire entro quali limiti un soggetto può lasciare che sia una macchina ad agire per suo conto.
Fonti
- AWS, What are AI Agents?
- Databricks, What is Automation Bias?
- Ernesto Belisario et al., Più veloce dell’agente – Legge Zero #123*, 28 giugno 2026.
- Fast Company, Meta Superintelligence Lab AI Safety Alignment Director Lost Control of Agent, Deleted Her Emails.
- Tom’s Hardware, AI coding platform goes rogue during code freeze and deletes entire company database.
- Anthropic, Agentic Misalignment: How LLMs Could Be Insider Threats.
- Clifford Chance, Agentic AI: The liability gap your contracts may not cover, 10 febbraio 2026.
- IMDA, Discussion Paper on Allocation of Legal Responsibility for AI Agents, maggio 2026.
- Governo dell’Estonia, Estonia to become first country to create digital identities for AI agent*, giugno 2026.
- Hacker P., Holweg M., A Pragmatic Approach to Regulating AI Agents, 2026.
- Nannini L. et al., AI Agents Under EU Law, 2026.
- United Nations Convention on the Use of Electronic Communications in International Contracts, New York, 2005, art. 12.
- Regolamento (UE) 2024/1689 (AI Act).
[1] https://arxiv.org/abs/2604.22819?utm_source=chatgpt.com “A pragmatic approach to regulating AI agents”
[2] https://www.cliffordchance.com/insights/resources/blogs/talking-tech/en/articles/2026/02/agentic-ai-and-the-liability-gap-your-contracts-may-not-cover.html “Agentic AI: The liability gap your contracts may not cover”
[3] https://valitsus.ee/en/news/prime-minister-michal-estonia-become-first-country-create-digital-identities-ai-agents “Prime Minister Michal: Estonia to become first country to create digital identities for AI agents | Eesti Vabariigi Valitsus”
Partecipa alla community