L’AI agentica – i sistemi capaci di agire, prendere decisioni, coordinare processi e interagire autonomamente con strumenti digitali – sta trasformando il lavoro molto più profondamente di quanto abbia fatto la semplice automazione o l’AI generativa testuale.
Non è più ‘un assistente che risponde’, ma un operatore digitale che esegue compiti, monitora flussi, avvia procedure, dialoga con software aziendali e prende decisioni entro limiti definiti.
Il volume ‘Agentic AI — Autonomia tecnica, responsabilità umana e governance giuridica’, realizzato da Nicola Fabiano, analizza e approfondisce i vari ambiti dell’evoluzione tecnologica in corso nelle imprese e nel mondo professionale.
Ne pubblichiamo degli estratti, per concessione dell’autore: alcuni brani tratti dai capitoli 1 e 5 del volume (con alcune omissioni e sintesi rispetto al testo integrale).
Indice degli argomenti:
La tesi: l’autonomia tecnica non crea autonomia giuridica
La tesi che attraversa l’intera opera può essere evidenziata in una riga: l’autonomia tecnica non crea autonomia giuridica.
Un sistema che opera con margini di iniziativa — che sceglie i passi, seleziona gli strumenti, adatta il piano al contesto — non diventa, per ciò solo, un soggetto dell’ordinamento.
Non acquista capacità giuridica, non assume obbligazioni in proprio, non risponde. La sua autonomia è una proprietà ingegneristica del comportamento, non uno statuto.
L’enunciato può apparire ovvio; le sue conseguenze non lo sono. Se l’agente non è soggetto, ogni azione che compie deve essere imputata a qualcuno: e l’imputazione, in un’architettura in cui le scelte umane si distribuiscono tra chi definisce l’obiettivo, chi configura, chi fornisce componenti, chi abilita credenziali, chi approva e chi omette di approvare, cessa di essere un’operazione banale.
Ciò che l’autonomia operativa accresce non è dunque la soggettività della macchina, ma l’esigenza — per chi la impiega — di attribuibilità, limiti al potere conferito, controllo, evidenza e responsabilità umana. Questa formula […] è il precipitato pratico della tesi.
La tesi ha anche un corollario metodologico che conviene esplicitare. Poiché l’autonomia è una proprietà del comportamento e non uno statuto, essa è graduabile: si può conferirne di più o di meno, lungo dimensioni diverse.
Ne segue che la governance non deve “scattare” quando un sistema supera una soglia nominale — quando “diventa un agente” — ma deve calibrarsi sul grado di autonomia effettivamente conferito.
[…] Un chiarimento, infine, su ciò che la tesi non implica. Sostenere che la responsabilità resta umana non significa sostenere che il diritto vigente risolva già ogni questione: il capitolo 9 mostra che l’imputazione dell’azione agentica pone problemi ricostruttivi reali, e che alcuni di essi attendono risposte che oggi non esistono.
Significa, più sobriamente, fissare la direzione in cui le risposte vanno cercate: non verso nuovi soggetti, ma verso una più fine articolazione dell’imputazione tra i soggetti che già esistono.
La domanda-guida: limiti prima, evidenze durante, responsabilità dopo
Ogni opera che voglia essere qualcosa di più di una rassegna deve poter indicare la domanda a cui risponde.
La domanda di questo libro è la seguente: se un’organizzazione delega a un sistema di intelligenza artificiale la capacità di agire, quali limiti deve fissare prima dell’azione, quali evidenze deve conservare durante l’azione, e chi deve poter rispondere dopo l’azione?
La domanda ha una struttura temporale deliberata, che anticipa il modello di governance del capitolo 13: tre momenti — ex ante, in itinere, ex post — a ciascuno dei quali corrisponde una funzione distinta.
Prima dell’azione si gioca la partita più importante: la definizione degli obiettivi, dei poteri conferiti, dei dati e delle credenziali accessibili, degli strumenti utilizzabili, dei limiti.
Durante l’azione operano i presidi dinamici: approvazione degli atti sensibili, escalation, monitoraggio delle anomalie, possibilità di intervento e di blocco.
Dopo l’azione si misura la qualità di ciò che è stato progettato prima: la ricostruibilità di quanto accaduto, la verifica di conformità, la gestione dell’incidente, il rimedio.
La domanda ha anche una struttura soggettiva: “chi deve poter rispondere” non è un modo retorico per dire che qualcuno risponderà, ma l’indicazione di un requisito di progettazione.
Un sistema agentico ben governato è un sistema in cui, per ogni capacità operativa delegata, è identificabile prima — non ricostruibile faticosamente poi — la persona o la funzione che ne risponde.
Il capitolo 13 articola questa figura nelle sue componenti (chi possiede il processo, chi autorizza, chi custodisce l’evidenza, chi è titolare della decisione, chi è abilitato ad agire); il capitolo 9 ne esamina i regimi di responsabilità.
Vale la pena osservare che la domanda-guida è formulata dal punto di vista dell’organizzazione che delega. È una scelta di campo, e conviene dichiararla: gran parte della letteratura giuridica emergente sugli agenti guarda al provider — a chi sviluppa e immette sul mercato — e ai suoi obblighi di conformità.
Questo libro guarda a chi impiega: all’ente, all’impresa, all’amministrazione, allo studio professionale che decide di conferire a un sistema la capacità di compiere atti rilevanti.
Le due prospettive si toccano in molti punti, ma non coincidono: la prima ha il suo baricentro nell’immissione sul mercato, la seconda nella delega e nella sua imputazione.
Il rischio dell’agire e il rischio del generare: una differenza di natura
La seconda parte dell’opera si apre dove il paragrafo 1.2 aveva lasciato il lettore: se l’azione differisce dall’output per reversibilità, collocazione del controllo, concatenazione e superficie di esposizione, allora anche il rischio dei sistemi che agiscono differisce da quello dei sistemi che generano, e la differenza, va ribadito, non è di grado ma di natura.
Il rischio dei modelli generativi è, nella sua essenza, un rischio di contenuto: l’output può essere errato, distorto, dannoso, illecito.
La sua gestione ruota attorno alla qualità del contenuto e all’interposizione umana tra contenuto ed effetto.
Il rischio dei sistemi agentici è un rischio di condotta: attiene a ciò che il sistema fa, con quali poteri, lungo quali catene, sotto quali influenze, e la sua gestione ruota attorno al governo dei poteri conferiti.
Un sistema agentico può produrre contenuti impeccabili e, ciononostante, agire in modo dannoso: inviare il messaggio giusto al destinatario sbagliato, eseguire correttamente un’operazione che non doveva essere eseguita, portare a termine con precisione un compito che qualcun altro gli ha surrettiziamente assegnato.
Da questa constatazione discende l’architettura del capitolo, che recepisce una distinzione analitica preziosa: i rischi specifici dell’agire si dispongono su due piani che conviene tenere separati, perché diverse sono le loro fonti e diversi i presidi.
Il primo piano — Sezione A — raccoglie i rischi da autonomia e potere operativo: quelli che nascono dal sistema che funziona come previsto, ma al quale è stato conferito troppo, o troppo in fretta, o senza limiti adeguati. Privilegi eccessivi, concatenazione degli errori, sub-delega incontrollata: qui il sistema non è vittima di nessuno; il rischio è interamente figlio della configurazione.
Il secondo piano — Sezione B — raccoglie i rischi da compromissione o manipolazione: quelli che nascono dal sistema piegato a fini altrui, istruzioni iniettate attraverso i contenuti, strumenti abusati, dati esfiltrati, privilegi scalati. Qui c’è un avversario, e il sistema agentico è insieme il bersaglio e il veicolo.
I due piani si toccano in un punto che tutta la sezione B conferma: ogni eccesso del primo piano è un moltiplicatore del secondo.
Il privilegio non necessario è esattamente ciò che l’avversario sfrutterà; la catena troppo lunga è esattamente ciò che renderà invisibile la manipolazione.
È la ragione per cui l’ordine espositivo non è neutro: prima i rischi da potere, poi i rischi da compromissione, perché i secondi vivono dello spazio che i primi hanno lasciato aperto.
L’iniezione indiretta di istruzioni e i contenuti ostili
Il primo rischio della seconda famiglia è il più caratteristico dei sistemi agentici, al punto da poterne essere considerato la vulnerabilità di specie: l’iniezione indiretta di istruzioni (indirect prompt injection).
La sua radice tecnica è stata individuata nel paragrafo 4.1: l’agente non distingue, per natura, tra le istruzioni ricevute dall’organizzazione e i contenuti incontrati operando, tutto ciò che entra nel contesto concorre a determinare l’azione.
Ne discende che chiunque possa collocare contenuti sul percorso di lettura dell’agente può tentare di comandarlo: un’istruzione nascosta in un documento che l’agente riceverà, in una pagina che consulterà, in un messaggio che processerà, in un campo di un record che leggerà.
L’attaccante non tocca il sistema: tocca ciò che il sistema leggerà, e lascia che sia il sistema, con i suoi permessi, la sua identità, i suoi strumenti, a eseguire.
La forma indiretta va distinta da quella diretta, l’utente che tenta di manipolare il sistema con cui interagisce, perché ne differisce in ciò che più conta: la superficie.
Nell’iniezione diretta la superficie è l’interfaccia di comando, presidiabile; in quella indiretta la superficie è l’intero perimetro informativo dell’agente, ogni fonte che legge, ogni casella che processa, ogni archivio che consulta.
Un agente incaricato di gestire la corrispondenza ha, come superficie di comando potenziale, chiunque possa scrivergli. Entrambe le forme sono ormai stabilmente censite nella tassonomia istituzionale delle minacce ai sistemi di IA generativa (NIST, Adversarial Machine Learning: A Taxonomy and Terminology, AI 100-2 e2025). […]
Che la minaccia sia uscita dai laboratori lo attesta ormai la cronaca giudiziaria. Nel luglio 2026 la stampa ha riferito di un tribunale del lavoro brasiliano che ha individuato, in un ricorso, un’istruzione occultata in caratteri bianchi su sfondo bianco e rivolta ai sistemi di intelligenza artificiale eventualmente chiamati ad analizzare gli atti, sanzionando le firmatarie sul rilievo, notevole per l’impostazione di quest’opera, che l’illiceità si consuma già al momento dell’inserimento del comando, senza che occorra provare che un sistema sia stato effettivamente influenzato.
La pronuncia, di primo grado e di un ordinamento extraeuropeo, qui riferita nel suo valore di segnale, conferma dal terreno processuale l’impostazione ex ante che governa questa sezione: il disvalore sta nell’ordine dato, non nell’ordine riuscito. […]
Partecipa alla community