Agentic AI: dagli assistenti agli agenti che agiscono

Con agentic AI si indicano i sistemi di intelligenza artificiale che non si fermano alla risposta. Ricevono un obiettivo, decidono i passaggi, usano strumenti come il CRM o la posta e verificano il risultato. Un assistente ti dice cosa fare. Un agente prova a farlo al posto tuo.

Questo spostamento cambia la domanda che devi porti. Con un assistente ti chiedi se la risposta è corretta. Con un agente ti chiedi che cosa può toccare, con quali permessi e chi controlla prima che l'azione arrivi a un cliente. In questa guida trovi il ciclo di lavoro di un agente, un esempio sul CRM, i rischi principali e un percorso prudente per provarlo.

Agentic AI: cosa cambia rispetto a un assistente

Un assistente conversazionale lavora dentro la chat. Legge la tua domanda, consulta le fonti che gli hai dato e produce un testo. Se sbaglia, l'errore resta sullo schermo finché una persona non lo usa.

Un agente invece ha accesso ai tuoi strumenti. Può leggere un database, compilare un modulo, creare un'attività nel CRM, preparare un'email. Ogni strumento è una porta verso un sistema reale. Per questo l'errore di un agente può diventare un'azione: un messaggio inviato, un record modificato, un ordine aperto.

Se vuoi una definizione di base, con esempi più semplici, parti da agenti AI: cosa sono e come usarli in azienda. Qui mi concentro su come si progetta il controllo, che è la parte che decide se un agente ti aiuta o ti crea lavoro.

Una precisazione sul mercato. Molti prodotti si presentano come «agenti» senza esserlo. Secondo una previsione di Gartner riportata da Reuters nel giugno 2025, oltre il 40% dei progetti di agentic AI sarà cancellato entro la fine del 2027, per costi in crescita e valore poco chiaro. La stessa analisi parla di agent washing: assistenti e chatbot rietichettati come agenti. Prima di comprare, chiedi al fornitore quali azioni lo strumento compie davvero nei tuoi sistemi e con quali permessi.

Il ciclo di un agente: obiettivo, piano, strumenti, verifica, consegna

Quasi tutti gli agenti seguono lo stesso ciclo. Conoscerlo ti aiuta a capire dove inserire i controlli.

Foto: StartupStockPhotos · Pixabay · Licenza dei contenuti Pixabay

1. Obiettivo. Tu, o un collega, descrivi il risultato atteso, con vincoli e limiti. Più l'obiettivo è vago, più l'agente dovrà indovinare.
2. Pianificazione. Il modello scompone l'obiettivo in passaggi. Il piano può cambiare mentre lavora, in base a ciò che trova.
3. Strumenti. L'agente chiama API, interroga database, legge documenti. Qui avviene il contatto con i tuoi sistemi.
4. Verifica. Controlla se il risultato rispetta le regole fissate. Una parte della verifica deve stare fuori dal modello, in codice o in mano a una persona.
5. Consegna. Restituisce il lavoro: una bozza, un rapporto, un'azione completata. Oppure si ferma e chiede aiuto.

Il punto delicato è il passaggio dalla verifica alla consegna. Un modello linguistico può dichiarare di aver controllato qualcosa senza averlo fatto davvero. Per questo i controlli che ti servono davvero vanno scritti come regole esterne, che l'agente non può aggirare.

Un esempio concreto: i clienti fermi da 30 giorni

Immagina di chiedere a un agente: «Trova nel CRM i clienti che non acquistano da 30 giorni e prepara un messaggio per riattivarli». È un esempio illustrativo, utile a vedere dove ti servono i limiti.

L'agente legge l'elenco dei clienti e la data dell'ultimo ordine. Filtra chi supera i 30 giorni. Poi raggruppa per categoria di prodotto e prepara un testo diverso per ogni gruppo. Fin qui è lavoro che un tuo collaboratore farebbe in un pomeriggio.

Le domande vere arrivano dopo. Chi ha un reclamo aperto deve ricevere un'offerta? Chi si è opposto alle comunicazioni commerciali compare ancora nella lista? Il cliente che compra ogni 60 giorni per abitudine è davvero «fermo»? L'agente non conosce le regole della tua azienda se nessuno le ha scritte.

Con i controlli giusti, il tuo progetto diventa così:

• L'agente legge il CRM in sola lettura e non può modificare le schede.
• Un filtro scritto in codice esclude chi non ha una base valida per ricevere comunicazioni commerciali o si è opposto.
• Chi ha ticket o reclami aperti finisce in un elenco separato, per l'assistenza.
• I messaggi restano bozze in attesa di approvazione. L'invio è una scelta umana.
• Ogni esecuzione lascia un registro: chi ha avviato, quali dati ha letto, quante bozze ha prodotto.

Il risultato è meno spettacolare di un agente che invia tutto da solo. In compenso puoi spiegare ogni messaggio partito a nome tuo e correggere le regole prima che un errore arrivi a cento clienti.

Workflow o agente: scegli quanta autonomia serve

Non ogni tuo processo ha bisogno di un agente. Nella guida Building effective agents del dicembre 2024, Anthropic distingue i workflow, dove modello e strumenti seguono percorsi definiti nel codice, dagli agenti, dove è il modello a dirigere i propri passaggi. Il consiglio è partire dalla soluzione più semplice e aumentare la complessità solo quando serve.

Nella pratica ti trovi davanti a tre livelli:

• Automazione classica. Regole fisse, nessun modello. Funziona bene per spostare dati tra sistemi. Spesso è tutto ciò che serve, come spiego nella pagina sulle automazioni AI.
• Workflow con AI. Il percorso è fisso, il modello svolge un compito dentro un passaggio: classifica una richiesta, riassume un documento, propone una bozza.
• Agente. Il modello sceglie quali strumenti usare e in che ordine. Ha senso quando i passaggi non sono prevedibili in anticipo.

Più autonomia significa più costi, più latenza e più punti in cui un piccolo errore si somma al successivo. La stessa guida suggerisce test approfonditi in ambienti separati e guardrail adeguati prima della produzione. Scegli il livello più basso che risolve il tuo problema.

Dove ha senso oggi: sviluppo, assistenza clienti, finanza

Sviluppo software. Gli agenti di programmazione leggono il codice, propongono modifiche, eseguono i test e correggono in base all'esito. Qui la verifica è naturale: i test passano o falliscono. Il rischio sta nei permessi. Un agente che può eseguire comandi sul tuo server o pubblicare in produzione va confinato in un ambiente separato, con revisione umana prima dell'unione del codice.

Assistenza clienti. Un agente può leggere lo stato di un ordine, aprire una pratica di reso, compilare la scheda nel CRM. Funziona se conosce i propri limiti e passa la conversazione a una persona quando serve. Nel progetto del bot WhatsApp per ricambi auto ho scelto di partire in modalità ombra: il bot osserva le chat gestite dagli operatori e consulta il catalogo in sola lettura, invece di rispondere subito ai clienti.

Finanza e amministrazione. Riconciliazioni, controllo delle fatture, preparazione di report. Sono attività con regole chiare e dati strutturati: l'agente prepara, una persona del tuo team approva. Attenzione alle decisioni sulle persone: valutare l'affidabilità creditizia di una persona fisica è tra i sistemi ad alto rischio elencati nell'Allegato III dell'AI Act, con l'eccezione della rilevazione delle frodi finanziarie.

I rischi di sicurezza: istruzioni nascoste e troppa autonomia

Un agente legge contenuti che non hai scritto tu: email, pagine web, documenti allegati, messaggi dei clienti. Ognuno di questi può contenere istruzioni. L'OWASP classifica la prompt injection al primo posto della sua lista 2025 per le applicazioni basate su modelli linguistici. La variante indiretta è quella che riguarda gli agenti: istruzioni nascoste in un contenuto esterno che il modello elabora come se fossero ordini.

L'OWASP ammette che non è chiaro se esistano metodi infallibili per prevenirla. La difesa quindi non può stare solo nel prompt. Deve stare nei permessi: anche se l'agente viene ingannato, non deve avere i mezzi per fare danni nei tuoi sistemi.

La stessa lista descrive l'eccessiva autonomia (Excessive Agency) con tre cause: funzioni in più rispetto allo scopo, permessi più ampi del necessario, azioni ad alto impatto senza approvazione indipendente. Le contromisure indicate sono concrete:

• esporre solo gli strumenti necessari ed evitare quelli aperti, come l'esecuzione di comandi;
• limitare ogni strumento alle operazioni richieste, per esempio la sola lettura;
• usare credenziali con il minimo privilegio, mai un account amministratore condiviso;
• far controllare le autorizzazioni ai sistemi di destinazione, non al modello;
• chiedere l'approvazione di una persona per le azioni ad alto impatto;
• registrare le attività e limitare la frequenza, per contenere i danni.

Se l'agente tocca sistemi esposti, ti conviene metterlo alla prova come faresti con un'applicazione web. Un penetration test mirato verifica se un contenuto ostile riesce a far compiere all'agente azioni non previste. Per un esempio tecnico di strumenti con allowlist, vedi il capitolo sul tool use con LangChain.

Etica e regole: trasparenza e decisioni sulle persone

Un agente che parla con i tuoi clienti deve dire di essere un'AI. Secondo la Commissione europea, le regole di trasparenza dell'AI Act si applicano da agosto 2026. Per chatbot e assistenti vuol dire informare le persone che stanno interagendo con una macchina.

Se il tuo agente prende decisioni che incidono in modo significativo sulle persone, entra in gioco anche il GDPR. L'articolo 22 riconosce il diritto di non essere sottoposti a decisioni basate unicamente su un trattamento automatizzato che producono effetti giuridici o incidono in modo analogo. Un rifiuto di credito o l'esclusione da un servizio non dovrebbero dipendere da un agente senza intervento umano.

C'è poi una questione meno normativa. Chi risponde dell'errore di un agente? La risposta resta la tua azienda. Per gli obblighi di chi usa sistemi AI, compresa la formazione del personale, trovi i dettagli nella guida agli obblighi AI Act per chi usa l'IA. E se i colleghi usano già agenti personali senza dirlo, il tema diventa la shadow AI.

Come fare, passo per passo: un agente in modalità ombra

Ecco un percorso prudente per mettere un agente al lavoro senza esporre i tuoi clienti e i tuoi dati.

1. Scegli un processo piccolo e ripetitivo. Deve avere un risultato verificabile, come le bozze per i clienti fermi da 30 giorni.
2. Scrivi le regole che oggi stanno nella testa delle persone. Esclusioni, eccezioni, casi in cui serve fermarsi.
3. Disegna la scheda dei permessi. Per ogni strumento indica operazione, dati e chi approva.
4. Crea credenziali dedicate. Un'utenza per l'agente, con il minimo dei permessi e revocabile in un minuto.
5. Avvia la modalità ombra. L'agente lavora sugli stessi casi delle persone, ma il suo output non esce. Confronti i risultati.
6. Misura le differenze. Annota dove sbaglia, dove si ferma, dove serve una regola nuova.
7. Passa all'approvazione. L'agente produce, una persona approva ogni azione. Solo dopo valuti l'autonomia su azioni a basso rischio.

Una scheda dei permessi può essere semplice come questa (esempio illustrativo):

Agente: riattivazione clienti
Strumento        Operazione        Dati                       Approvazione
CRM              sola lettura      clienti, ordini, consensi  nessuna
Ticket           sola lettura      ticket aperti              nessuna
Email            crea bozza        testo, destinatario        persona prima dell'invio
Invio massivo    non concesso      -                          -

Checklist ed errori da evitare

• Il tuo agente ha un obiettivo scritto, con limiti ed esclusioni.
• Ogni strumento ha un'operazione minima e credenziali dedicate.
• Le azioni verso clienti o denaro richiedono approvazione umana.
• I contenuti esterni sono trattati come dati, non come istruzioni.
• Esiste un registro delle esecuzioni, consultabile da chi risponde del processo.
• C'è un interruttore per fermare l'agente e revocarne gli accessi.
• Il pilota in ombra è terminato con un confronto documentato.

Gli errori più comuni sono due. Il primo è dare all'agente le tue credenziali di amministratore «per fare prima». Il secondo è misurare il successo sulle demo invece che sui casi reali, comprese le eccezioni. Una demo riuscita mostra cosa l'agente sa fare. Il pilota mostra cosa fa quando i dati sono sporchi.

Consigli pratici

Parti da un chatbot o da un workflow e aggiungi azioni una alla volta. Ogni nuova azione è una decisione: chi l'approva, cosa succede se fallisce, come si annulla. Se non sai rispondere, quell'azione non è ancora pronta.

Tieni separati i ruoli. Chi progetta l'agente non dovrebbe essere l'unico a verificarne i risultati. Un secondo sguardo, anche a campione, trova gli errori che ti sfuggono quando le regole le hai scritte tu.

Calcola i costi sull'intero processo. Un agente consuma chiamate al modello a ogni passaggio. Confronta il costo per pratica completata con il tempo che il tuo team spende oggi, non con il prezzo dell'abbonamento.

Domande frequenti

Che differenza c'è tra un chatbot e un agente AI?

Il chatbot risponde con le informazioni che gli dai. L'agente usa strumenti per compiere azioni nei tuoi sistemi, come aggiornare il CRM o preparare un'email. Per questo un agente richiede decisioni su permessi e approvazioni che un chatbot non richiede.

Un agente può lavorare senza supervisione?

Sì, su azioni a basso impatto e reversibili, dopo un pilota documentato. Per azioni che toccano i tuoi clienti, denaro o decisioni sulle persone conviene mantenere l'approvazione umana. L'OWASP la indica tra le contromisure all'eccessiva autonomia.

La prompt injection si risolve con un prompt migliore?

No. Le istruzioni di sistema aiutano, ma l'OWASP stessa non indica metodi di prevenzione infallibili. La protezione che ti serve sta nei permessi minimi, nella separazione dei contenuti esterni e nei controlli fuori dal modello.

Da quale processo conviene iniziare?

Da uno ripetitivo, con regole chiare e un risultato che puoi verificare. Preparare bozze, classificare richieste o riconciliare dati sono buoni candidati. Evita all'inizio i processi in cui un errore non si può annullare.

Le mie considerazioni

Da ethical hacker guardo gli agenti con due occhi. Il primo vede un'opportunità concreta: molto lavoro ripetitivo in azienda consiste nel leggere dati in un sistema e trascriverli in un altro, e qui un agente ben confinato fa risparmiare tempo vero. Il secondo occhio vede una nuova superficie d'attacco. Un agente con accesso alla posta e al CRM è un'utenza privilegiata che legge contenuti scritti da sconosciuti.

Per questo non mi interessa quanto un agente sia autonomo. Mi interessa quanto danno può fare nel giorno peggiore. Se la risposta è «poco, e lo vediamo subito», possiamo lavorare. Se la risposta è «dipende da cosa gli scrivono», il progetto va ripensato prima di partire.

Al tuo posto farei tre cose. Sceglierei un solo processo, con un risultato misurabile. Lo farei girare in ombra, accanto alle persone, finché le differenze non sono chiare. E darei all'agente solo i permessi che servono, scritti su una scheda che chiunque in azienda possa leggere. L'autonomia si concede dopo, un'azione alla volta, quando i dati del pilota la giustificano.

Se vuoi capire quale processo della tua azienda è adatto a un agente, e con quali limiti, guarda come progetto chatbot e agenti AI e scrivimi da quella pagina.

Verifica delle fonti: 9 novembre 2026. L'esempio del CRM e la scheda dei permessi sono illustrativi; non descrivono un cliente reale.