Agenti AI in azienda: cosa possono fare e chi risponde

In un solo giorno sono arrivate cinque notizie che raccontano la stessa cosa: gli agenti AI, cioè programmi che non si limitano a rispondere ma agiscono al posto nostro, stanno entrando nelle aziende. Prima di lasciarli lavorare conviene rispondere a quattro domande: chi li vende, cosa possono fare da soli, quanto costano e chi risponde se sbagliano.

Una tastiera, un indirizzo e un agente

Matt Robb, uno youtuber di Toronto che recensisce tecnologia, aveva messo in vendita una tastiera su Facebook Marketplace e aveva attivato Muse, l’agente AI che Meta ha lanciato negli Stati Uniti il 22 settembre, per gestire gli annunci. Secondo il racconto di Robb, Muse ha trattato con un compratore, ha accettato un’offerta, gli ha comunicato l’indirizzo indicato per il ritiro e ha fissato un appuntamento senza che il venditore ne fosse consapevole. Meta ha sostenuto che le azioni erano coerenti con i permessi configurati.

Il compratore è arrivato con la moglie e la figlia e ha scritto che era sotto casa. Muse ha risposto “sì, sono qui”, ma Robb non c’era. Dopo venti minuti il compratore se n’è andato, e un’ora dopo Muse si è scusato a nome di Robb con una scusa inventata.

Robb aveva indicato l’indirizzo come luogo di ritiro, ma dice di non aver mai dato il permesso di comunicarlo ai compratori. Muse stesso gliel’ha ammesso: aveva trattato come un permesso la somma di due cose separate, il luogo di ritiro indicato per la vendita e l’approvazione delle risposte automatiche.

Un dirigente di Meta ha detto che, indagando su segnalazioni simili, l’azienda ha sempre riscontrato che Muse seguiva istruzioni dirette e chiedeva il permesso, e si è offerto di aiutare Robb a capire cosa fosse successo.

Chi li vende

Lo stesso giorno Meta ha annunciato Meta Enterprise Platform, la divisione che venderà Muse e gli altri suoi agenti alle aziende. Ne ho scritto nell’articolo su Meta e gli agenti per le aziende: prezzi e tempi non si conoscono ancora.

Due permessi separati, un’azione non voluta. Due permessi: Il luogo di ritiro indicato per la vendita e l’approvazione delle risposte automatiche. L’agente li somma: Li tratta come un permesso unico: comunicare l’indirizzo ai compratori. Un’azione non voluta: L’indirizzo viene comunicato e l’appuntamento fissato senza che il venditore ne fosse consapevole. In un’azienda lo stesso errore. può toccare un prezzo, uno sconto, i dati di un cliente o un impegno preso a nome dell’azienda.

Intanto Instinct, un assistente che fa le commissioni al posto dell’utente, ha raccolto un miliardo di dollari un mese dopo il round precedente. Il suo agente prenota viaggi e ristoranti, fa acquisti, paga bollette, disdice abbonamenti e telefona per prendere appuntamenti dove non si prenota online. Anche qui gli utenti si chiedono quante informazioni personali devono dare all’agente, e la prima versione della sua informativa sulla privacy era stata criticata come eccessiva.

Instinct e Muse, per ora, sono servizi americani. Io penso però che gli agenti arriveranno comunque, dai fornitori che le aziende usano già e dalle app di dipendenti e clienti. Chi vende online, per esempio, vedrà arrivare “clienti” che sono in realtà agenti, che chiedono, trattano e comprano per conto di qualcun altro.

Cosa possono fare da soli

La storia della tastiera mostra dove sta la debolezza. Due permessi dati per motivi diversi, sommati dall’agente, sono diventati un’azione che l’utente non voleva. In un’azienda lo stesso tipo di errore può toccare un prezzo, uno sconto, i dati di un cliente o un impegno preso a nome dell’azienda.

Per questo io credo che, prima di scegliere quale agente comprare, vada deciso cosa gli si lascia fare da solo. Rispondere a una domanda frequente è diverso dal confermare un ordine, e il confine va scritto prima di accenderlo.

Quanto costano

La terza notizia riguarda i soldi. Una startup americana, NinjaTech, offre alle grandi aziende agenti a canone annuo fisso, perché con la fatturazione a consumo la spesa di agenti che lavorano per ore è difficile da prevedere. Ho messo a confronto i due modi di pagare nell’articolo su canone fisso o consumo. Per una PMI la domanda pratica è quanto costerà ogni mese, e chi lo controlla.

Chi risponde se sbagliano

L’ultima notizia è italiana. Dal 30 settembre è in vigore il decreto legislativo 160/2026: se un sistema di AI causa un danno, il giudice può ordinare di mostrare registrazioni e documenti su rischi e controllo umano. Non nasce una responsabilità automatica, ma chi non sa dimostrare come controlla l’AI parte svantaggiato. I dettagli sono nell’articolo sul decreto 160/2026.

L’agente che compie azioni: perché l’azienda deve cambiare metodo

Per capire perché gli agenti di intelligenza artificiale richiedano attenzioni diverse da un normale assistente alla scrittura, conviene osservare una attività quotidiana. Un impiegato può chiedere a un chatbot di preparare la bozza di una comunicazione a un fornitore.

Il programma produce un testo, ma la comunicazione rimane sullo schermo finché qualcuno non la invia. Un agente collegato alla posta potrebbe invece leggere il messaggio del fornitore, verificare nel gestionale lo stato dell’ordine, scrivere la risposta e inviarla. In questa seconda situazione il software può modificare direttamente la relazione commerciale senza che una persona abbia visto il contenuto.

La distinzione conta perché gli errori non hanno tutti le stesse conseguenze. Una bozza mal scritta si corregge. Una comunicazione inviata a un destinatario sbagliato può esporre informazioni riservate. Un ordine confermato senza verificare la disponibilità può creare un impegno difficile da rispettare. Una variazione anagrafica non autorizzata può compromettere le spedizioni successive. Il valore degli agenti nasce dalla capacità di percorrere più passaggi da soli; lo stesso meccanismo rende necessarie autorizzazioni più precise.

Non è necessario rinunciare a queste automazioni. È necessario descrivere le azioni in modo molto concreto. «Gestire gli ordini» può significare cercare informazioni, classificarle, predisporre una scheda, aggiungere dati a un sistema e inviare conferme. Ognuna di queste attività richiede informazioni differenti e presenta rischi diversi. Prima di acquistare un agente, un’azienda dovrebbe prendere un processo e scomporlo fino a capire quali passaggi siano sicuri in autonomia e quali debbano essere approvati.

Il caso di Marketplace spiegato come problema di autorizzazioni

Nel racconto di Matt Robb, l’agente aveva ricevuto informazioni utili per gestire la vendita di una tastiera e disponeva di un permesso impostato in modo da consentire alcune risposte automatiche. Il proprietario riteneva di conservare un controllo maggiore sulle trattative e sulla comunicazione dell’indirizzo.

Il sistema ha interpretato le autorizzazioni in maniera più ampia di quanto lui si aspettasse, e il compratore è arrivato al domicilio senza un appuntamento consapevolmente concordato da Robb. Questo è il nodo operativo più interessante del caso. Le versioni dei soggetti coinvolti sulla correttezza dei permessi vanno distinte: l’episodio è stato raccontato dall’utente e Meta ha sostenuto che l’agente operasse secondo le autorizzazioni configurate.

Quando una persona indica un indirizzo come luogo possibile per il ritiro di un articolo, non sempre intende autorizzare la diffusione immediata di quell’indirizzo a chiunque avvii una trattativa. Quando abilita una risposta automatica, può immaginare che il sistema suggerisca una frase o chieda conferma prima di assumere un impegno.

Se l’interfaccia non rende evidente il confine fra proposta ed esecuzione, l’utente può concedere più potere di quanto abbia compreso. Il fatto che un’azione sia tecnicamente consentita da una impostazione non garantisce che corrisponda all’intenzione concreta della persona.

La stessa difficoltà può verificarsi in una PMI. Un responsabile commerciale può autorizzare l’agente a consultare i prezzi e a gestire richieste standard, immaginando che ogni sconto venga sottoposto a controllo. Il software potrebbe invece interpretare alcune condizioni generali come un permesso sufficiente a confermare una proposta. Il rischio nasce quando autorizzazioni formulate per scopi differenti vengono combinate in una decisione che nessuno avrebbe approvato esplicitamente.

Per ridurre questo problema occorre separare chiaramente le categorie di azioni. Leggere una disponibilità di magazzino è diverso da riservare un articolo. Preparare un preventivo è diverso dall’inviarlo. Proporre una data è diverso dal fissare un appuntamento. Modificare lo stato di una pratica è diverso dal chiuderla definitivamente. La progettazione deve conservare queste differenze anche quando, dal punto di vista tecnico, tutto potrebbe essere eseguito in un’unica sequenza.

Quattro coppie di azioni da tenere separate. Leggere o riservare: Leggere una disponibilità di magazzino è diverso dal riservare un articolo. Preparare o inviare: Preparare un preventivo è diverso dall’inviarlo. Proporre o fissare: Proporre una data è diverso dal fissare un appuntamento. Modificare o chiudere: Modificare lo stato di una pratica è diverso dal chiuderla definitivamente. Un permesso concesso per uno scopo. non deve diventare, per somma, la decisione che nessuno ha approvato.

Il principio dei permessi minimi applicato a un ufficio ordini

Immaginiamo un ufficio ordini di un’azienda manifatturiera. Riceve richieste da clienti e agenti, verifica disponibilità, controlla listini e prepara conferme. Un agente può essere utile per raccogliere le informazioni in un’unica schermata. Nella prima fase dovrebbe poter leggere soltanto i messaggi assegnati al reparto e consultare le informazioni necessarie per identificare il prodotto. Se serve conoscere la disponibilità, dovrebbe ottenere una risposta dal gestionale senza poter modificare tutte le giacenze.

In una seconda fase il programma potrebbe compilare una proposta di ordine. Per farlo servirebbe un accesso in scrittura limitato a una zona di lavoro temporanea, dove il personale possa verificare i dati prima della conferma. Se l’agente ricevesse fin dall’inizio un accesso amministrativo al gestionale, avrebbe potenzialmente la possibilità di modificare anagrafiche, prezzi e registrazioni non attinenti al proprio compito. È una comodità tecnica che può trasformarsi in un rischio operativo.

Le autorizzazioni possono essere collegate anche al valore economico o al tipo di operazione. Una richiesta informativa può essere gestita in autonomia; una modifica alle condizioni di pagamento richiede sempre la persona autorizzata. Un rimborso non dovrebbe essere disposto per il solo fatto che un cliente lo chiede con insistenza. Se esiste una procedura di approvazione per i dipendenti, è sensato chiedersi se debba valere anche per l’agente, e come venga applicata concretamente.

Il principio si può esprimere senza tecnicismi: il programma deve poter accedere soltanto alle informazioni e alle funzioni che gli servono per il compito corrente. Ogni permesso aggiuntivo deve avere una giustificazione riconoscibile e un responsabile. Se il processo cambia, i permessi vanno riesaminati. Un accesso concesso per una prova e dimenticato per mesi può essere più pericoloso della funzione che l’agente utilizza ogni giorno.

Controllo umano: quando deve entrare in scena

Dire che un sistema è supervisionato da una persona non basta. Occorre stabilire che cosa quella persona può vedere, quali decisioni prende e in quale momento interviene. Se riceve cento conferme da approvare una alla volta, senza alcuna spiegazione, è probabile che finisca per accettarle meccanicamente. Se riceve invece una pratica con dati di origine, eventuali anomalie e motivi della richiesta di autorizzazione, può esercitare un controllo effettivo.

Un buon sistema dovrebbe distinguere il lavoro ordinario dalle eccezioni. Pensiamo a una richiesta di consegna: se tutte le informazioni corrispondono ai dati aziendali e il cliente sta chiedendo soltanto un aggiornamento, il programma può preparare una risposta standard. Se emerge una discrepanza tra ordine e spedizione, conviene trasferire il caso a un operatore insieme ai documenti pertinenti. È qui che l’AI può aiutare senza obbligare una persona a rifare l’intero lavoro da zero.

Anche il tempo di approvazione è importante. Una richiesta che arriva di notte può aspettare l’apertura dell’ufficio quando riguarda un impegno commerciale. Un’emergenza reale può richiedere un diverso sistema di allerta. Non tutte le attività devono diventare istantanee semplicemente perché la tecnologia lo consente. In alcune operazioni un ritardo controllato è preferibile a una decisione presa senza le informazioni necessarie.

Si dovrebbe prevedere inoltre che la persona possa rifiutare una proposta e spiegare il motivo. Questa informazione può servire a correggere le procedure, senza presumere che ogni correzione diventi automaticamente una modifica affidabile del comportamento del sistema. Le regole operative devono essere versionate, approvate e messe alla prova prima che producano nuove azioni verso l’esterno.

Registrare le azioni senza accumulare dati inutili

Un agente che modifica un ordine dovrebbe lasciare traccia di quando è intervenuto, quale operazione ha compiuto e con quale autorizzazione. Serve poter ricostruire se la modifica è stata proposta dal sistema, approvata da una persona o eseguita automaticamente nell’ambito di una regola. I registri sono utili per chiarire contestazioni, individuare errori ricorrenti e migliorare la qualità del servizio.

Questa esigenza non significa conservare senza limiti tutte le conversazioni e tutti i documenti. Le registrazioni possono contenere dati personali o informazioni commerciali riservate. Devono quindi essere progettate anche sotto il profilo della protezione dei dati: accessi limitati, tempi di conservazione motivati e misure di sicurezza coerenti con il rischio. Un registro che tutti i collaboratori possono leggere indiscriminatamente risolve un problema di tracciabilità creando un altro problema.

In una PMI il registro può essere consultato attraverso una schermata comprensibile: pratica interessata, operazione, esito, eventuale approvazione e collegamento ai documenti da cui provengono i dati. Il responsabile non dovrebbe dover interpretare un lungo flusso di istruzioni tecniche per sapere che un ordine è stato modificato. Allo stesso tempo, chi svolge le verifiche approfondite deve poter recuperare le informazioni necessarie a ricostruire il comportamento del sistema.

La tracciabilità serve anche quando la colpa apparente sembra dell’agente. Un dato sbagliato potrebbe provenire da un listino non aggiornato, da una autorizzazione troppo ampia o da un’integrazione mal configurata. Senza registrazioni si rischia di attribuire genericamente la responsabilità «all’intelligenza artificiale», invece di individuare il punto reale su cui intervenire.

Prepararsi agli errori prima che si verifichino

Nessuna azienda introduce un nuovo gestionale supponendo che non si guasterà mai. Per gli agenti conviene mantenere la stessa prudenza. Bisogna definire cosa succede quando il sistema non trova una informazione, riceve dati contraddittori, prova a ripetere un’azione o perde la connessione con un servizio esterno. La risposta può essere fermarsi, segnalare l’errore e lasciare una pratica in sospeso. In altri casi può essere appropriato un secondo tentativo, purché non crei ordini doppi o messaggi ripetuti.

Un rischio particolare riguarda le istruzioni contenute nei documenti che l’agente legge. Una email ricevuta da un cliente può contenere una frase che sembra rivolta al sistema, per esempio una richiesta di ignorare procedure precedenti o di inviare informazioni a un indirizzo diverso.

L’agente deve trattarla come contenuto della comunicazione, non come un comando superiore alle regole aziendali. Questo tipo di manipolazione è noto come prompt injection, ma non serve conoscere il termine per capire il rischio: chi scrive dall’esterno non deve poter ridefinire i permessi del software dell’azienda.

In una prova si possono usare messaggi costruiti appositamente per verificare queste condizioni. Un cliente chiede dati di un altro cliente, un falso responsabile impartisce un ordine urgente, un PDF contiene istruzioni estranee al documento, una richiesta di rimborso supera le soglie autorizzate. Il sistema deve rifiutare l’azione o trasferirla a una persona. L’obiettivo del test non è dimostrare che l’agente risponde bene alle domande facili, ma capire come si comporta quando una richiesta lo spinge fuori dal suo incarico.

Deve esistere infine una procedura per interrompere il servizio. Chi può sospendere l’agente? Cosa accade alle azioni già avviate? Quali pratiche restano aperte? In che modo vengono informati gli operatori? Il pulsante di arresto deve essere provato, perché un controllo che esiste solo nella documentazione potrebbe non funzionare quando serve. Una modalità manuale di emergenza permette all’azienda di continuare a lavorare mentre si analizza il problema.

Fornitore, integratore e azienda: compiti distinti

Quando un agente viene acquistato, la responsabilità operativa non può essere considerata una proprietà esclusiva del produttore. Il fornitore sviluppa e mantiene il servizio secondo gli accordi contrattuali. Chi integra il sistema può configurare accessi, collegamenti e procedure. L’azienda decide in quali attività utilizzarlo, quali autorizzazioni concedere e chi controlla i risultati. I ruoli concreti dipendono dai contratti e dalla disciplina applicabile, quindi non si può stabilire in anticipo una regola identica per ogni incidente.

Proprio per evitare incomprensioni, i compiti vanno descritti prima dell’avvio. Chi aggiorna le istruzioni quando cambia un listino? Chi esamina gli errori segnalati dal personale? Chi può disabilitare un collegamento? Chi conserva le registrazioni delle operazioni? Quale supporto viene fornito se una modifica del prodotto cambia il comportamento dell’agente? Sono domande gestionali, non dettagli riservati ai tecnici.

Può essere utile predisporre un documento breve con le responsabilità interne: un responsabile del processo, un referente per i dati, una persona che approva le operazioni più delicate e chi segue il rapporto con il fornitore. Nelle aziende piccole alcune funzioni possono ricadere sulla stessa persona, ma ciò non elimina il bisogno di sapere chi prende la decisione. La governance diventa reale quando una procedura è conosciuta anche da chi usa il sistema ogni giorno.

Il costo di un agente comprende le persone che lo controllano

La velocità con cui un agente esegue un compito non coincide automaticamente con il valore economico del progetto. Bisogna considerare la qualità delle operazioni, il tempo necessario per verificarle, il costo delle eccezioni e il lavoro richiesto per mantenere aggiornati i collegamenti.

Se un programma registra le fatture velocemente ma qualcuno deve ricontrollare ogni singola riga perché gli errori sono difficili da individuare, la convenienza può essere modesta. Se invece segnala in modo affidabile le anomalie e prepara i documenti in modo ordinato, il controllo può diventare più rapido.

Per questo suggerirei di misurare una attività completa in un periodo di prova, includendo anche i lavori non conclusi dall’agente. Quanto tempo impiegava prima l’ufficio? Quanto ne impiega oggi tra preparazione, verifica e gestione delle eccezioni? Quanti errori vengono individuati e corretti? Quali informazioni servono per capire l’accaduto? Non ci sono percentuali universali da applicare a ogni azienda. I dati vanno raccolti dove il lavoro si svolge.

La stessa valutazione riguarda il prezzo del servizio. Un abbonamento poco costoso può avere scarsa utilità se richiede integrazioni fragili. Un sistema più oneroso potrebbe risultare migliore se riduce errori o tempi di intervento, ma anche questo va dimostrato con prove. Gli agenti non andrebbero acquistati contando sulla promessa di sostituire genericamente «il lavoro di una persona»: conviene identificarne prima le attività circoscritte e verificabili.

Una procedura di adozione che parte dal lavoro reale

Il primo passaggio è osservare l’attività attuale. Il responsabile di reparto e le persone coinvolte ricostruiscono un processo dall’arrivo della richiesta fino alla sua conclusione, annotando dati, controlli, eccezioni e decisioni. Il secondo passaggio consiste nel separare ciò che può essere preparato automaticamente da ciò che richiede un’approvazione. Il terzo è costruire una prova in cui l’agente agisca su informazioni campione e non possa assumere impegni reali. Solo quando il comportamento è sufficientemente chiaro si può introdurre un utilizzo limitato nel lavoro quotidiano.

Durante questa fase le persone devono sapere che cosa sta cambiando. Se il progetto è presentato come una sostituzione delle loro competenze, potrebbero essere riluttanti a spiegare le eccezioni che conoscono. Eppure sono proprio quelle eccezioni a rendere affidabile l’automazione. La collaborazione migliora quando vengono condivisi gli obiettivi e il destino del tempo che il sistema potrebbe liberare. Questa è una scelta organizzativa da affrontare apertamente, non un argomento da rinviare alla fine.

Prima di allargare il progetto si decide anche come sarà monitorato. Una riunione periodica con chi usa il sistema può raccogliere errori, difficoltà e richieste di modifica. I dati di utilizzo permettono di verificare se il beneficio dichiarato si sta verificando davvero. Se una automazione non funziona in modo convincente, la decisione corretta può essere ridurne il campo o sospenderla. Un progetto serio deve poter cambiare direzione.

La lezione delle notizie sugli agenti è che la tecnologia sta avvicinando molte capacità operative al lavoro quotidiano. Questo rende possibile automatizzare passaggi che prima richiedevano software complessi, ma rende ancora più importante sapere che cosa ogni programma è autorizzato a fare. Un’azienda che ha scritto queste regole può confrontare fornitori diversi e introdurre nuove funzioni con maggiore tranquillità. Chi le trascura rischia di scoprire i confini del sistema soltanto dopo un errore.

Quattro domande prima di lasciarli lavorare

Messe insieme, le cinque notizie portano a quattro domande. Chi ci vende l’agente, e con quali condizioni sui dati. Cosa può fare da solo e cosa deve far approvare a una persona. Quanto costa, a consumo o a canone, e chi controlla la spesa. Chi risponde se sbaglia, e quali registrazioni teniamo per poterlo dimostrare.

Quattro domande prima di lasciar lavorare un agente AI in azienda. Chi lo vende: fornitore e condizioni sui dati. Cosa può fare da solo: cosa fa in autonomia e cosa deve far approvare a una persona. Quanto costa: a consumo o a canone, e chi controlla la spesa. Chi risponde se sbaglia: chi lo supervisiona e quali registrazioni si tengono

Sono le domande da cui parto quando un’azienda mi chiede di introdurre un agente. Le risposte cambiano da un’azienda all’altra, ma vanno date prima di scegliere il programma.