Sempre più aziende italiane, dalle PMI alle grandi realtà, hanno introdotto agenti AI nei propri processi: sistemi capaci non solo di rispondere a domande, ma di eseguire azioni autonome come inviare email, aggiornare database, gestire pratiche o interagire con altri software senza supervisione umana continua. Con l’entrata a pieno regime dell’AI Act nel 2026, questa autonomia porta con sé obblighi precisi su responsabilità, supervisione e controllo che ogni azienda che li utilizza deve conoscere.
Gli agenti AI usati in azienda ricadono spesso nelle categorie di rischio del Regolamento UE 2024/1689: se automatizzano decisioni su assunzioni, credito o accesso a servizi, sono considerati “alto rischio” e richiedono supervisione umana documentata, audit periodici e un registro delle decisioni prese in autonomia. Le aziende devono nominare un responsabile della sorveglianza e mantenere log verificabili delle azioni compiute dall’agente.
Indice
- Cosa sono gli agenti AI in ambito aziendale
- Come l’AI Act classifica il rischio degli agenti
- L’obbligo di supervisione umana
- Chi risponde se l’agente sbaglia
- Audit e tracciabilità delle decisioni
- Cosa deve fare in pratica un’azienda
- Domande frequenti
Cosa sono gli agenti AI in ambito aziendale
A differenza di un chatbot che si limita a rispondere a una domanda, un agente AI aziendale — ne abbiamo descritto il funzionamento generale nella nostra guida agli agenti AI — pianifica ed esegue una sequenza di azioni per raggiungere un obiettivo: legge una casella email, capisce che una richiesta va inoltrata all’ufficio giusto, compila un modulo interno, aggiorna un CRM e notifica un collega, tutto senza intervento umano a ogni passaggio. Nel 2026 questi sistemi sono entrati stabilmente nei reparti di assistenza clienti, contabilità, selezione del personale e gestione degli ordini di molte aziende italiane, spesso costruiti su modelli come Claude, GPT o Gemini collegati a strumenti interni tramite protocolli come l’MCP (Model Context Protocol).
Il salto rispetto a un semplice automatismo software è che l’agente prende decisioni non completamente prevedibili in anticipo: due richieste simili possono generare percorsi d’azione diversi a seconda di come il modello interpreta il contesto. È proprio questa autonomia decisionale a far scattare l’attenzione del legislatore europeo.
Come l’AI Act classifica il rischio degli agenti
Il Regolamento UE 2024/1689 non tratta gli “agenti AI” come categoria a sé, ma li classifica in base a cosa fanno, non a come sono costruiti. Un agente che si limita a smistare ticket di assistenza clienti su argomenti generici rientra generalmente nella fascia a rischio minimo. Un agente che invece automatizza in autonomia decisioni che riguardano l’accesso delle persone a un servizio essenziale — selezione di candidati per un colloquio, valutazione di un merito creditizio, definizione di un punteggio di affidabilità di un cliente — rientra nella categoria “alto rischio” prevista dall’Allegato III del regolamento, con obblighi molto più stringenti in termini di documentazione, test e sorveglianza umana.
La distinzione conta perché cambia radicalmente cosa un’azienda deve fare: per un agente a rischio minimo bastano policy interne di buon senso, mentre per un agente ad alto rischio serve un sistema di gestione del rischio documentato, una valutazione d’impatto e — dal 2 agosto 2026 — la piena conformità agli obblighi previsti dagli articoli 9-15 del regolamento.
L’obbligo di supervisione umana
Per i sistemi ad alto rischio, l’articolo 14 dell’AI Act impone la cosiddetta human oversight: una o più persone fisiche devono poter comprendere le capacità e i limiti del sistema, monitorarne il funzionamento, interpretare correttamente il suo output ed essere in grado di decidere di non utilizzarlo o di interrompere la sua azione in qualsiasi momento (il cosiddetto “stop button”). In pratica, per un agente AI aziendale questo si traduce nella necessità di un punto di controllo umano prima che l’agente esegua azioni irreversibili — inviare un contratto, rifiutare una candidatura, bloccare un account — anche quando tecnicamente sarebbe capace di farlo da solo.
Molte aziende nel 2026 hanno risolto il problema introducendo la logica dell'”human in the loop” solo sui passaggi critici, lasciando piena autonomia all’agente sui compiti a basso impatto: una soluzione che riduce il carico di lavoro umano senza rinunciare al controllo richiesto dalla legge sulle decisioni che contano davvero.
Chi risponde se l’agente sbaglia
Se un agente AI commette un errore che causa un danno — ad esempio scartando ingiustamente una candidatura valida o inviando un’informazione sbagliata a un cliente — la responsabilità non ricade sul fornitore del modello linguistico sottostante, ma sull’azienda che ha implementato e configurato il sistema (il cosiddetto “deployer” nella terminologia dell’AI Act), salvo che il difetto derivi da un vizio del modello stesso non segnalato dal fornitore. Questo significa che l’azienda deve poter dimostrare di aver configurato l’agente correttamente, di averne testato il comportamento su casi realistici e di aver mantenuto un livello di supervisione adeguato al rischio.
Con l’entrata in vigore delle regole su trasparenza e responsabilità, molte aziende hanno iniziato ad aggiungere clausole contrattuali specifiche con i fornitori di tecnologia AI per chiarire in anticipo la ripartizione delle responsabilità in caso di malfunzionamento, un tema su cui la giurisprudenza italiana è ancora in fase di consolidamento.
Audit e tracciabilità delle decisioni
Gli articoli 12 e 19 dell’AI Act richiedono, per i sistemi ad alto rischio, un registro automatico degli eventi (log) che permetta di ricostruire a posteriori le decisioni prese dal sistema, per quanto tempo conservarli e in che formato. Per un agente AI aziendale questo significa mantenere traccia non solo dell’output finale, ma anche dei passaggi intermedi: quali strumenti ha usato, quali dati ha consultato, quale logica ha seguito per arrivare a una certa azione.
Nella pratica, le aziende più strutturate hanno introdotto audit periodici (mensili o trimestrali, a seconda del livello di rischio) in cui un team interno o un consulente esterno rivede un campione delle decisioni prese dall’agente per verificare che restino in linea con le policy aziendali e con la normativa, un processo che si affianca — non sostituisce — la supervisione umana in tempo reale sui casi critici.
Cosa deve fare in pratica un’azienda
Per un’azienda che introduce o già utilizza agenti AI nei propri processi, il primo passo pratico è classificare ogni singolo agente in base al tipo di decisione che automatizza, non al modello tecnologico che usa — lo stesso motore linguistico può alimentare sia un agente a rischio minimo sia uno ad alto rischio, a seconda del compito assegnato. Il secondo passo è nominare formalmente un responsabile interno della sorveglianza, con l’autorità e le competenze per intervenire sull’agente in caso di comportamento anomalo. Il terzo è documentare per iscritto i test effettuati prima del lancio in produzione, includendo scenari limite e casi di errore.
Infine, per gli agenti che toccano decisioni sensibili (selezione del personale, credito, accesso a servizi), è opportuno prevedere fin da subito un canale con cui la persona interessata dalla decisione possa chiedere una revisione umana — un diritto già previsto in altri contesti normativi europei sul trattamento automatizzato dei dati e che l’AI Act rafforza ulteriormente.
Domande frequenti
Un chatbot di assistenza clienti è considerato un agente AI ad alto rischio?
Generalmente no, se si limita a rispondere a domande senza prendere decisioni che incidono sull’accesso della persona a un servizio essenziale. Diventa rilevante se automatizza, ad esempio, l’approvazione o il rifiuto di un rimborso di importo significativo.
Serve un’autorizzazione preventiva per usare un agente AI in azienda?
No, l’AI Act non richiede un’autorizzazione preventiva generalizzata, ma per i sistemi ad alto rischio impone una valutazione di conformità e, in alcuni casi, la registrazione in un database pubblico europeo prima della messa in servizio.
Le piccole imprese sono esentate da questi obblighi?
No, l’obbligo di supervisione umana e audit si applica indipendentemente dalla dimensione dell’azienda quando il sistema è classificato ad alto rischio, anche se il regolamento prevede alcune semplificazioni documentali per le PMI.
Cosa succede se un’azienda non rispetta questi obblighi?
Le sanzioni per i sistemi ad alto rischio non conformi possono arrivare fino al 6% del fatturato globale annuo dell’azienda o a 15 milioni di euro, a seconda di quale importo sia più elevato.
