AI Agentiva: Governance, Identità e Affidabilità — Il Nuovo Perimetro di Sicurezza per le Imprese Italiane

L'entusiasmo per l'AI agentiva — sistemi capaci di pianificare, agire e delegare compiti con minima supervisione umana — ha superato la fase del proof-of-concept per entrare nel vivo dei processi produttivi. Non si tratta più solo di chatbot evoluti, ma di architetture software che prendono decisioni operative: riordinano scorte, riscrivono codice, negoziano contratti energetici, gestiscono ticket di sicurezza. Tuttavia, mentre le capacità cognitive crescono esponenzialmente, il quadro di riferimento per la loro governance rimane frammentato. Le imprese italiane, spesso impegnate nell'adeguamento all'AI Act, si trovano di fronte a un vuoto normativo specifico: chi risponde quando un agente commette un errore irreversibile? Come si autentica un'entità software che agisce per conto terzi attraverso confini organizzativi e nazionali?

La risposta non risiede solo nella compliance formale, ma nella costruzione di un «perimetro di fiducia» tecnico e contrattuale che renda l'autonomia controllabile. È qui che l'esperienza di enti normatori storici, come il NIST statunitense, diventa un riferimento metodologico imprescindibile. La stessa struttura a comitati consultivi che il NIST utilizza per disciplinare la sicurezza fisica delle costruzioni — come testimoniato dalla recente convocazione del National Construction Safety Team Advisory Committee per settembre 2026 (NIST News) — viene oggi replicata per definire gli standard dell'AI Risk Management Framework (AI RMF) applicati agli agenti autonomi. Questo approccio «a strati», che parte dalla sicurezza tangibile per arrivare a quella algoritmica, offre un modello per le aziende che devono integrare l'AI agentiva senza compromettere la resilienza operativa.

L'identità dell'agente: oltre l'API Key, verso l'Attestation Verificabile

Il primo pilastro mancante è l'identità forte. Oggi la maggior parte degli agenti si autentica tramite chiavi API statiche o token OAuth, meccanismi progettati per servizi, non per attori autonomi che delegano sottocompiti ad altri agenti in catena. In uno scenario multi-agente — tipico delle supply chain digitali o della manutenzione predittiva industriale — un singolo task può generare una catena di delega profonda cinque o sei livelli. Senza un sistema di Verifiable Credentials (VC) e Decentralized Identifiers (DID) legati a policy di fiducia (Trust Registry), l'azienda perde visibilità su chi (quale istanza software, con quale versione, addestrata da chi, con quali dati) sta agendo sui propri asset.

L'adozione di standard come SPIFFE/SPIRE per l'identità dei carichi di lavoro (workload identity), estesa agli agenti AI, permette di emettere attestazioni a breve durata (short-lived certificates) che incorporano metadati critici: hash del modello, dataset di addestramento, policy di sicurezza applicate, livello di autonomia autorizzato (es. «può leggere DB, non può scrivere su produzione»). Questo trasforma l'identità da credenziale statica a prova crittografica di conformità istantanea, verificabile da qualsiasi altro agente o gateway di policy (PDP) in millisecondi. Per le PMI italiane che integrano agenti SaaS di terze parti, questo significa poter pretendere dal fornitore un'attestazione verificabile dello stato dell'agente prima di concedere l'accesso a dati sensibili GDPR, spostando il burden of proof dalla fiducia contrattuale alla verifica tecnica.

Catena di fornitura agentiva: Software Bill of Materials (SBOM) per modelli e tool

Se l'identità risponde al «chi», l'SBOM (Software Bill of Materials) risponde al «cosa» e al «da dove». Un agente autonomo non è un monolite: è un orchestratore che richiama modelli (LLM, embedding, classifier), tool esterni (API meteo, ERP, scanner vulnerabilità), dataset di contesto (RAG), e prompt template. Ogni componente ha una provenienza, una licenza, una storia di vulnerabilità (CVE) e un rischio di supply chain attack (es. model poisoning, malicious package in toolchain).

L'estensione dello standard SBOM (CycloneDX / SPDX) per includere AI/ML Bill of Materials (AI-BOM) sta diventando prerequisito per l'approvvigionamento pubblico e per i contratti enterprise. Un AI-BOM completo per un agente dovrebbe elencare:

• Model Cards con hash SHA-256 dei pesi, licenza (es. Apache 2.0, RAIL), data di addestramento, benchmark di sicurezza.
• Dataset Cards per i corpus usati in RAG o fine-tuning, con provenienza e licenza (critico per copyright e bias).
• Tool/Plugin Manifest: elenco delle funzioni esterne invocabili, con versione, endpoint, autenticazione richiesta, e policy di rate-limiting.
• Prompt Template Registry: versionamento dei prompt di sistema e di routing, trattati come codice (prompt-as-code) per auditabilità.

Per un'azienda manifatturiera italiana che acquista un agente per l'ottimizzazione energetica, richiedere l'AI-BOM al fornitore permette di verificare prima del deployment se il modello include componenti da repository non manutenuti, se i dati di addestramento violano policy interne su dati sensibili, o se le dipendenze toolchain espongono a CVE note. È l'equivalente della scheda tecnica di sicurezza per un macchinario fisico, resa obbligatoria dalla Direttiva Macchine: l'AI Act (Allegato IV, Requisiti per sistemi ad alto rischio) spinge esplicitamente in questa direzione.

Responsabilità a catena: contratti intelligenti e Human-on-the-Loop architetturale

Il nodo giuridico più spinoso rimane la responsabilità. Se un agente negozia autonomamente un contratto di fornitura energetica basandosi su previsioni meteo errate derivate da un tool hallucinato, chi paga? Il fornitore dell'agente? Il fornitore del tool meteo? L'azienda che ha deployato l'agente con policy troppo permissive? L'approccio «human-in-the-loop» (HITL) classico — un operatore che approva ogni azione — annulla il ROI dell'autonomia. La frontiera è l'Human-on-the-Loop (HOTL) architetturale: l'umano non valida ogni step, ma definisce guardrail esecutivi (policy as code), soglie di rischio, e budget di autonomia (es. «puoi spendere fino a 50k€/giorno senza approvazione, sopra serve firma digitale del CFO»).

Questi guardrail diventano clausole esecutive in Smart Contract su blockchain permissioned (es. Hyperledger Besu) o in Policy Decision Point (PDP) centralizzati (OPA, Cedar). Ogni azione dell'agente genera un Audit Log immutabile (WORM storage) che lega: identità dell'agente (DID), input ricevuto, reasoning trace (catena di pensiero), tool invocati, output prodotto, policy valutate (pass/fail), firma crittografica. In caso di contenzioso o audit (es. IVASS per assicurazioni, Banca d'Italia per fintech), l'azienda può dimostrare esattamente cosa è successo, perché l'agente ha deciso così, e quali guardrail erano attivi. Questo trasforma la responsabilità da «scatola nera» a catena di evidenze verificabili, distribuendo la liability in base a chi ha configurato quale policy e chi ha fornito quale componente difettoso (tracciato via AI-BOM).

Implicazioni per le imprese italiane: compliance come vantaggio competitivo

Per il tessuto imprenditoriale italiano — caratterizzato da PMI ad alta specializzazione, forte export, e catene di fornitura complesse — l'AI agentiva rappresenta un moltiplicatore di produttività, ma solo se governata nativamente. L'AI Act classifica molti casi d'uso agentivi (es. gestione risorse critiche, scoring creditizio, selezione personale, safety monitoring) come High-Risk, imponendo: risk management system (sistema di gestione del rischio), data governance (governance dei dati), technical documentation (documentazione tecnica), record keeping (tenuta dei registri), transparency (trasparenza), human oversight (supervisione umana), accuracy/robustness/cybersecurity (accuratezza/robustezza/cybersecurity).

Le aziende che anticipano questi requisiti adottando oggi:

1. Agent Identity Framework (DID/VC + SPIFFE) per ogni istanza in produzione.
2. AI-BOM generation automatizzata in pipeline CI/CD (MLOps).
3. Policy-as-Code per guardrail HOTL con audit log immutabile.
4. Contratti di fornitura AI che includono clausole di algorithmic transparency e liability sharing basate su evidenze tecniche.

non solo saranno compliant day-one dell'AI Act (applicazione piena 2026/2027), ma potranno certificare la propria "Agentic Trustworthiness" come asset di vendita verso clienti enterprise e PA esteri. Il mercato premia già la trasparenza algoritmica: bandi pubblici europei (es. Horizon Europe, Digital Europe Programme) richiedono sempre più spesso AI-BOM e model cards come criteri di aggiudicazione.

L'Italia ha le competenze — crittografia, metodi formali, ingegneria del software, diritto delle nuove tecnologie — per diventare hub di Agentic Assurance. Servono però investimenti mirati su strumenti open source (es. estensioni CycloneDX per AI, policy engine per Cedar/OPA), formazione ibrida (data scientist + legal + security), e sandbox regolatorie nazionali dove testare architetture multi-agente ad alto rischio sotto supervisione dell'Autorità Garante (ACN/Garante Privacy). Chi aspetta la normativa definitiva per iniziare, si troverà a rincorrere chi ha già trasformato la governance in architettura.