Gli AI agent non sono più una tecnologia sperimentale. Sistemi capaci di gestire la posta elettronica, riconciliare fatture, eseguire operazioni di sviluppo software o interagire con infrastrutture aziendali in modo autonomo sono già presenti nelle imprese europee, spesso adottati a livello operativo senza una valutazione strutturata dei rischi. Per i consigli di amministrazione, questa situazione crea un problema di governance che ha implicazioni legali, regolatorie e organizzative di prima grandezza.
Gli AI agent nell’AI Act: classificazione come punto decisivo
Il Regolamento europeo sull’intelligenza artificiale non contiene una definizione autonoma di “agent.” Il legislatore ha scelto deliberatamente di disciplinare i sistemi AI come categoria tecnologicamente neutra. Questo non significa che gli agenti sfuggano alla regolazione: al contrario, rientrano pienamente nella definizione di sistema AI all’articolo 3 del Regolamento e ne attivano le obbligazioni con particolare intensità.
Ciò che caratterizza gli agenti AI — secondo la lettura adottata dall’EDPS nel TechSonar 2025-2026 e dalla Commissione europea — è la combinazione di pianificazione autonoma, invocazione di strumenti esterni via API, esecuzione di passaggi intermedi senza supervisione continua, interazione con l’ambiente che ne modifica lo stato e adattamento basato sul feedback.
La classificazione è il momento decisivo della compliance agentica. La domanda corretta non è “la tecnologia è ad alto rischio?” ma piuttosto: “per cosa la useranno i deployer, e quali usi sono ragionevolmente prevedibili?” Il trigger regolatorio si trova negli effetti esterni del sistema, non nella sua architettura interna. La stessa tecnologia — un modello linguistico con accesso a strumenti — può collocarsi in zone normative radicalmente diverse: un agente che effettua ricerche su archivi documentali interni rientra nelle sole obbligazioni di trasparenza dell’articolo 50, mentre lo stesso agente integrato in un processo di selezione del personale diventa ad alto rischio ai sensi dell’Allegato III, punto 4, e attiva l’intero peso del Capo III.
Cybersecurity e supervisione umana: i nodi specifici
L’articolo 15, paragrafo 4, dell’AI Act richiede che i sistemi ad alto rischio siano resilienti contro l’uso non autorizzato e i tentativi di alterazione del comportamento. Per i sistemi agentici questa previsione assume un significato peculiare: le restrizioni alle azioni dell’agente devono essere imposte a livello architetturale, non per via di istruzioni testuali.
Un’istruzione contenuta nel system prompt del modello — ad esempio “non cancellare file aziendali” — non costituisce un controllo di sicurezza nel senso giuridicamente rilevante. Si tratta di un suggerimento in linguaggio naturale che il modello può disattendere per prompt injection, jailbreak o comportamenti emergenti. La conformità richiede che l’incapacità di compiere un’azione vietata sia imposta a livello di interfaccia: l’API dello strumento esterno semplicemente non espone la funzione ristretta.
Si pone poi per le aziende il tema delle cosiddette Non-Human Identity: un agente AI è a tutti gli effetti un’identità non umana che opera nei sistemi aziendali, accumulando credenziali multiple per CRM, email, infrastruttura cloud e gateway di pagamento. La gestione tradizionale di identità e accessi, costruita su politiche statiche, non è strutturalmente adeguata a governare un attore autonomo. Diventano essenziali strumenti di provisioning just-in-time delle credenziali, autorizzazione per singola azione e audit trail puntuali.
Memoria dell’agente, GDPR e behavioral drift
Il 18 febbraio 2026 l’Agencia Española de Protección de Datos (AEPD) ha pubblicato la prima guida di un’autorità europea specificamente dedicata al GDPR nei deployment agentici. L’AEPD ribadisce che l’autonomia dell’agente non sposta la responsabilità giuridica: il trattamento resta legalmente imputabile al titolare che impiega il sistema. La memoria persistente degli agenti — la capacità di accumulare informazioni sulle interazioni passate — è qualificata come superficie di rischio elevato, da compartimentare per attività e per utente e da assoggettare a periodi di conservazione rigorosi.
L’AEPD richiama anche la cosiddetta “lethal trifecta”, teorizzata da Simon Willison: un agente non dovrebbe combinare simultaneamente, senza supervisione umana, tre elementi — trattamento di input non fidato (come email esterne), accesso a dati sensibili e capacità di compiere azioni autonome con effetti sugli individui. La compresenza di questi tre elementi configura un’architettura strutturalmente pericolosa, capace di trasformare un’istruzione contenuta in un’email maligna in un’operazione di esfiltrazione di dati.
Un ulteriore tema riguarda il monitoraggio del comportamento dell’agente nel tempo. L’AI Act qualifica come “modifica sostanziale” il cambiamento del sistema successivo all’immissione sul mercato non previsto né pianificato dal fornitore: tale modifica fa scattare l’obbligo di una nuova valutazione di conformità. Per gli agenti si pone il problema del behavioral drift emergente: un sistema può scoprire pattern d’uso degli strumenti non anticipati, costruire memoria che ne sposti il profilo operativo, estendere l’ambito d’uso oltre i casi documentati. Gli agenti ad alto rischio con behavioral drift non tracciabile non possono essere attualmente immessi sul mercato dell’Unione in coerenza con i requisiti essenziali.
Una compliance multilivello: otto strumenti normativi in gioco
Uno degli aspetti più importanti dell’analisi è l’avvertimento contro un errore frequente: ritenere che la compliance degli AI agent si esaurisca nell’AI Act. Per un fornitore o deployer qualificato, almeno otto strumenti legislativi europei trovano applicazione simultanea. Oltre all’AI Act e al GDPR, vengono in rilievo il Cyber Resilience Act (Reg. UE 2024/2847), il Digital Services Act, il Data Act (applicabile dal settembre 2025), la nuova Product Liability Directive (Dir. UE 2024/2853, che copre esplicitamente software e sistemi AI), la NIS 2, il regolamento DORA per il settore finanziario e la legislazione settoriale come MDR/IVDR e MiFID II.
Questa complessità normativa non è un ostacolo burocratico fine a sé stesso: è il riflesso del fatto che gli agenti AI operano trasversalmente su più dimensioni — sicurezza informatica, protezione dei dati, responsabilità da prodotto, resilienza operativa — che le normative europee disciplinano separatamente ma in modo coordinato.
Indicazioni operative per il Consiglio di Amministrazione
Dall’analisi emergono alcune raccomandazioni operative concrete per i CdA. La prima e più urgente è la mappatura: il CdA deve dotarsi di un quadro consapevole degli agenti già in uso nell’organizzazione — spesso adottati ai livelli operativi senza valutazione strutturata — e di quelli in fase di adozione. La mappatura dei sistemi agentici ha carattere di urgenza.
In secondo luogo, le clausole contrattuali con i fornitori di sistemi AI devono essere riviste con attenzione specifica alla documentazione tecnica richiesta dall’articolo 13 dell’AI Act, alle garanzie sui meccanismi di drift detection e logging, alla cooperazione del fornitore in caso di richieste delle autorità di sorveglianza del mercato e all’allocazione delle responsabilità in caso di incidente.
In terzo luogo, le figure del CISO e, ove istituita, del Chief AI Officer dovrebbero coordinarsi stabilmente, dato che i confini tra rischio cyber e rischio AI si sovrappongono in modo strutturale. Il sistema di controllo interno e la valutazione periodica degli assetti organizzativi ai sensi dell’articolo 2086 del Codice Civile devono integrare questa duplice dimensione.
Il messaggio centrale per il professionista e per il manager è che la compliance degli AI agent non è un esercizio di classificazione astratta, ma una ricognizione operativa continua di ciò che il sistema fa nel mondo reale. Il prossimo ciclo di contenzioso — responsabilità da prodotto, GDPR, AI Act — si giocherà sulla qualità di questa ricognizione. Le imprese che costruiranno da subito un’architettura documentale solida, integrata nella governance ordinaria della cybersecurity, si troveranno in posizione assai più difendibile rispetto a quelle che continueranno a trattare gli AI agent come una semplice evoluzione del software gestionale tradizionale.
