Se nel 2025 il tema caldo era “come creo un AI agent”, nel 2026 la domanda è diventata un’altra: come lo controllo? Nella mia esperienza quotidiana di gestione server e infrastrutture IT, ho visto un’accelerazione impressionante nell’adozione di agenti AI autonomi da parte di aziende di ogni dimensione. Il problema è che molte di queste organizzazioni stanno deployando agent più velocemente di quanto riescano a governarli.
Secondo il report 2026 State of AI Agents di Databricks, basato su dati di oltre 20.000 clienti globali, la vera sfida non è più costruire AI agents ma farlo in modo sicuro e governato. Le aziende che hanno implementato strumenti di AI governance portano in produzione 12 volte più progetti rispetto a chi non li ha. Gartner prevede che il 40% delle applicazioni enterprise integrerà AI agents entro fine 2026, contro meno del 5% nel 2025. Eppure, solo il 6% delle organizzazioni ha strategie di sicurezza AI avanzate.
In questo articolo vi mostro come implementare un framework di governance per AI agents che tenga insieme sicurezza, compliance (EU AI Act compreso) e il fondamentale principio dell’human-in-the-loop. Non parliamo di teoria: condivido approcci testati, strumenti concreti e le lezioni apprese sul campo. Se vi interessa anche il contesto più ampio dell’AI agentica, vi consiglio di leggere il mio articolo su cos’è l’Agentic AI e come la uso nella pratica nel 2026.
Perché la Governance degli AI Agents è la Sfida Numero Uno del 2026
La differenza fondamentale tra un chatbot tradizionale e un AI agent è che il secondo agisce. Non genera solo testo: prende decisioni, accede a dati sensibili, esegue azioni con conseguenze reali sul business. Questo cambio di paradigma rende inadeguati i controlli di sicurezza tradizionali.
Il CrowdStrike 2026 Global Threat Report, pubblicato a febbraio 2026, ha messo nero su bianco numeri allarmanti: gli attacchi AI-enabled sono aumentati dell’89% anno su anno, e il tempo medio dal primo accesso al movimento laterale è sceso a 29 minuti. Il breakout più veloce osservato? 27 secondi. A queste velocità, la finestra per il rilevamento e la risposta umana si è praticamente chiusa per certi scenari.
La buona notizia è che il 2026 segna anche la maturazione dei framework di governance. Come nota IBM, il cambiamento di mentalità è da “governance come costo di compliance” a “governance come abilitatore”: i framework maturi aumentano la fiducia organizzativa nel deployare agent in scenari ad alto valore, creando un circolo virtuoso di fiducia e capacità.
Il Framework OWASP Top 10 per Applicazioni Agentiche 2026
Un punto di partenza essenziale per chiunque lavori con AI agents è il OWASP Top 10 for Agentic Applications 2026, un framework peer-reviewed sviluppato con oltre 100 esperti del settore. A differenza delle classiche checklist di sicurezza applicativa, questa risorsa affronta rischi specifici dei sistemi autonomi.
Le minacce principali identificate includono:
- Agent Goal Hijacking: un attaccante manipola gli obiettivi dell’agente tramite prompt injection, dati RAG avvelenati o output di tool compromessi
- Tool Misuse: gli agent abusano di strumenti legittimi a causa di permessi eccessivi o deleghe non sicure
- Privilege Escalation: gli agent ereditano, usano impropriamente o mantengono privilegi tra sessioni diverse
- Memory and Context Poisoning: corruzione persistente della memoria dell’agente che influenza il ragionamento futuro
- Agentic Supply Chain Risk: plugin, tool, MCP server o modelli compromessi introducono backdoor a runtime
Un aspetto critico che ho imparato è che i rischi maggiori non risiedono dentro il modello, ma ai confini: dove la pianificazione incontra i tool, la memoria incontra il ragionamento, e gli agent interagiscono tra loro. Ho approfondito il Model Context Protocol e le sue implicazioni di sicurezza nel mio articolo su cos’è MCP e come lo configuro sul server.
Bounded Autonomy: Il Modello di Governance che Funziona
Il concetto chiave che ho adottato nella mia pratica è quello della bounded autonomy (autonomia limitata). In questo modello, gli agent operano in modo indipendente entro guardrail rigorosi, escalando ai supervisori umani solo quando vengono superati confini situazionali predefiniti.
In pratica, si tratta di definire tre soglie chiare:
- Azioni autonome: operazioni a basso rischio che l’agent può eseguire senza intervento (es. rispondere a query informative, categorizzare ticket)
- Azioni con notifica: operazioni a rischio medio dove l’agent procede ma logga e notifica un supervisore (es. modifiche a configurazioni non critiche)
- Azioni bloccate fino ad approvazione umana: operazioni ad alto rischio che richiedono un hard interrupt — tecnicamente impossibili da eseguire senza firma umana verificata (es. transazioni finanziarie, deploy di codice, modifiche a policy di sicurezza)
Governance-as-Code con LangGraph e Open Policy Agent
Lo standard di riferimento nel 2026 è il concetto di Governance-as-Code, dove guardrail di sicurezza e logica di approvazione sono integrati direttamente nel percorso di esecuzione dell’agente. All’inizio ho provato ad applicare policy di governance come layer esterno, ma non funzionava: gli agent trovavano modi per aggirare controlli non nativi.
Utilizzando framework di state-management come LangGraph, si modella il comportamento come un grafo diretto. Ogni nodo critico viene configurato con un Hard Interrupt: la funzione interrupt() di LangGraph permette di mettere in pausa il grafo a metà esecuzione, attendere l’input umano e riprendere in modo pulito.
Per il layer di policy, Open Policy Agent (OPA) è lo strumento che ho trovato più efficace: permette di definire policy dichiarative in Rego che vengono valutate a runtime, garantendo che l’autonomia sia tecnicamente limitata dalla policy al momento dell’esecuzione.
Ecco un esempio concettuale di configurazione dei livelli di autonomia:
# Esempio di policy OPA per bounded autonomy
package agent.governance
# Azioni a basso rischio: esecuzione autonoma
allow_autonomous["query_database"] { input.action == "read_only" }
allow_autonomous["categorize_ticket"] { input.action == "classify" }
# Azioni a rischio medio: esecui e notifica
require_notification["update_config"] {
input.action == "config_change"
input.risk_level == "medium"
}
# Azioni ad alto rischio: hard interrupt
require_human_approval["financial_transaction"] {
input.action == "transfer_funds"
input.amount > 100
}
require_human_approval["deploy_code"] {
input.action == "deployment"
input.environment == "production"
}
Human-in-the-Loop: Non un Limite, ma un Vantaggio Competitivo
C’è un dibattito aperto nel settore: da un lato c’è chi dice che il human-in-the-loop (HITL) ha raggiunto i suoi limiti perché gli umani non possono tenere il passo con la velocità degli agent; dall’altro, Sophos prevede che la sicurezza human-in-the-loop definirà il 2026, con i buyer che esigeranno trasparenza su chi monitora, chi prende decisioni e dove si applica il giudizio umano.
Nella mia esperienza, la verità sta nel mezzo: non si tratta di rimuovere gli umani dalla governance, ma di posizionare umani e AI dove ciascuno aggiunge più valore. Il ruolo degli umani si sposta verso supervisione, gestione delle eccezioni e direzione strategica.
Implementare HITL con CIBA e Autorizzazione Asincrona
Un approccio pratico che ho trovato particolarmente efficace è l’uso del protocollo CIBA (Client Initiated Backchannel Authentication) per implementare l’approvazione umana senza interrompere il workflow dell’agente. CIBA è un protocollo standardizzato per l’autorizzazione asincrona: l’agente e il server di autorizzazione comunicano direttamente via API sicure, eliminando i redirect del browser. Il server notifica l’utente su qualsiasi dispositivo tramite push notification.
Per chi gestisce server e infrastrutture come me, è fondamentale integrare questi flussi con i sistemi di autenticazione esistenti. Ho trovato utile combinare LangGraph per il workflow, CIBA per l’autorizzazione asincrona e Permit.io con il suo MCP server per la gestione dei permessi granulari.
Kill Switch e Protocolli di Veto Globali
Ogni sistema di AI agents deve includere un kill switch: la capacità tecnica di mettere offline immediatamente un sistema AI se fallisce un check di compliance, senza mandare in crash l’intera operazione. Nel 2026, un supervisore umano deve poter lanciare un messaggio di “veto” attraverso il bus di comunicazione, attivando un interrupt ad alta priorità che forza tutti gli agent in uno stato di shutdown immediato.
EU AI Act e Compliance: Cosa Cambia dal 2 Agosto 2026
Il 2 agosto 2026 è una data cruciale: entrano in vigore le disposizioni chiave dell’EU AI Act per i sistemi AI ad alto rischio. Le regole sulla trasparenza, la gestione del rischio, la documentazione tecnica, il monitoraggio post-market e il framework di sorveglianza del mercato diventeranno pienamente applicabili.
Le sanzioni sono severe: fino a 35 milioni di euro o il 7% del fatturato mondiale annuo per le violazioni più gravi. Ma le conseguenze vanno oltre le multe: richiami obbligatori, sospensione del deployment e restrizioni all’accesso al mercato europeo.
Per quanto riguarda gli AI agents nello specifico, l’EU AI Act richiede:
- Tracciamento completo della data lineage: sapere esattamente quali dataset hanno contribuito all’output di ogni modello
- Checkpoint human-in-the-loop: per i workflow che impattano sicurezza, diritti o risultati finanziari
- Tag di classificazione del rischio: etichettare ogni modello con il suo livello di rischio, contesto d’uso e stato di compliance
- Audit trail immutabili: log tamper-proof di ogni decisione presa dall’AI
Un aspetto che nella mia esperienza viene sottovalutato è che l’EU AI Act si sovrappone con GDPR, NIS2 e ISO 27001. Ho affrontato il tema della compliance NIS2 per server nel mio articolo su come rendo il server conforme alla direttiva NIS2: molti dei principi di logging, accountability e autenticazione si applicano direttamente anche alla governance degli AI agents.
Il Ruolo del NIST: AI Agent Standards Initiative
A febbraio 2026, il NIST ha lanciato l’AI Agent Standards Initiative per garantire che la prossima generazione di AI — gli agent autonomi — sia adottata con fiducia, funzioni in sicurezza e possa interoperare nell’ecosistema digitale. L’iniziativa si sviluppa su tre pilastri:
- Sviluppo di standard industriali per gli agent e leadership USA negli organismi internazionali
- Sviluppo di protocolli open source guidati dalla community
- Ricerca sulla sicurezza e identità degli AI agent per promuovere l’adozione fiduciosa
Il concept paper del NIST rilasciato a febbraio 2026 affronta temi fondamentali come l’identificazione (distinguere gli AI agent dagli utenti umani), l’autorizzazione (applicare standard come OAuth 2.0 per definire i diritti degli agent), la delega degli accessi (collegare le identità utente agli agent per mantenere accountability) e il logging trasparente (collegare specifiche azioni degli agent alla loro entità non-umana).
Governance degli AI Agents: Architettura Pratica e Strumenti
Sulla base della mia esperienza e delle best practice che ho raccolto, ecco l’architettura di governance che consiglio di implementare:
1. Layer di Osservabilità Centralizzato
Implementate un layer di governance AI centralizzato che comprenda discovery, inventario, logging, identificazione dei rischi, rilevamento anomalie, red teaming e monitoraggio continuo di tutti i sistemi AI e agent. Non basta il monitoring tradizionale: servono metriche come accuratezza, drift, rilevanza del contesto e costo.
Chi già usa Grafana e Prometheus per il monitoraggio server può estendere lo stack con exporter dedicati per metriche AI.
2. Identità e Autorizzazione per Agent
Ogni agent deve avere un’identità crittografica unica. Applicate il principio del least privilege con permessi Just-in-Time (JIT), dove le autorizzazioni sono concesse solo per la durata necessaria a un task specifico. Gli agent non devono avere accesso permanente a sistemi sensibili.
3. AI Tabletop Exercises
Un suggerimento pratico che ho trovato molto utile: conducete regolarmente esercitazioni tabletop che simulino scenari di failure realistici. Alcuni scenari da testare:
- Agentic Gridlock: due agent intrappolati in un loop infinito di istruzioni conflittuali
- Model Inversion: prompt malevoli che forzano un agent a rivelare la logica di business proprietaria
- Autonomous Drift: un agent che devia lentamente dai suoi parametri a causa di data poisoning
4. Red Teaming Automatizzato Continuo
Le valutazioni point-in-time non sono più sufficienti: la superficie d’attacco cambia ogni volta che si aggiunge un tool, si aggiorna un modello o si modifica un template di prompt. Implementate engine di red teaming automatizzato che eseguano batterie di attacco continue: prompt injection, tool call hijacking, memory poisoning e credential exfiltration.
5. Comitato AI Cross-Funzionale
Create un comitato AI cross-funzionale che riunisca esperti legali, IT, sicurezza ed etica. Questo organismo deve definire policy applicabili — non solo linee guida — che dettaglino esattamente quando un’azione richiede una “firma umana”.
Sovereign AI e la Questione della Provenienza
Un tema emergente nel 2026 è il concetto di Sovereign AI: le aziende si preoccupano sempre più della provenienza delle loro soluzioni AI. Secondo un report Deloitte, l’83% delle aziende considera la Sovereign AI almeno moderatamente importante per la pianificazione strategica, e il 66% è preoccupato per l’eccessiva dipendenza da AI di proprietà straniera.
Questo si collega direttamente alla governance: sapere dove vengono addestrati i modelli, chi li controlla e sotto quali leggi operano è parte integrante della compliance. Ne ho parlato anche nell’articolo sui modelli AI open source e Small Language Model, dove l’uso di modelli locali con Ollama può rappresentare una strategia di sovranità sui dati.
FAQ
Cos’è la bounded autonomy per gli AI agents?
La bounded autonomy è un modello di governance in cui gli AI agents operano in modo indipendente entro guardrail rigorosi, escalando ai supervisori umani solo quando vengono superati confini predefiniti. In pratica, si definiscono tre livelli: azioni autonome a basso rischio, azioni con notifica a rischio medio e azioni che richiedono approvazione umana obbligatoria per decisioni ad alto impatto come transazioni finanziarie o deploy di codice.
Quali sono le sanzioni previste dall’EU AI Act per la non-compliance nel 2026?
L’EU AI Act prevede sanzioni fino a 35 milioni di euro o il 7% del fatturato mondiale annuo per le violazioni più gravi. Oltre alle multe, le conseguenze includono richiami obbligatori, sospensione del deployment e restrizioni all’accesso al mercato europeo. Le disposizioni per i sistemi AI ad alto rischio diventano pienamente applicabili dal 2 agosto 2026.
Cos’è il OWASP Top 10 for Agentic Applications 2026?
È un framework peer-reviewed sviluppato da OWASP con oltre 100 esperti del settore che identifica i 10 rischi di sicurezza più critici per i sistemi AI autonomi. Include minacce come Agent Goal Hijacking, Memory Poisoning, Tool Misuse e Agentic Supply Chain Risk. È progettato specificamente per affrontare rischi che i tradizionali framework di sicurezza applicativa non coprono.
Come implemento il human-in-the-loop senza rallentare i workflow degli agent?
Il protocollo CIBA (Client Initiated Backchannel Authentication) permette di implementare l’autorizzazione umana in modo asincrono: l’agent invia la richiesta di approvazione tramite API sicure, il supervisore riceve una notifica push sul suo dispositivo e approva o rifiuta senza interrompere il flusso. Framework come LangGraph supportano nativamente checkpoint HITL con la funzione interrupt().
Qual è il ruolo del NIST nella governance degli AI agents nel 2026?
A febbraio 2026, il NIST ha lanciato l’AI Agent Standards Initiative per promuovere standard industriali, protocolli open source e ricerca sulla sicurezza e identità degli AI agent. L’iniziativa affronta temi come l’identificazione degli agent (distinguerli dagli umani), l’autorizzazione (OAuth 2.0), la delega degli accessi e il logging trasparente delle azioni. Il NIST sta raccogliendo input pubblici fino ad aprile 2026.
Conclusione: Governance degli AI Agents Come Vantaggio Competitivo
Il messaggio per il 2026 è chiaro: la governance degli AI agents non è più un costo di compliance ma un vantaggio competitivo. Le organizzazioni che padroneggiano orchestrazione, governance e misurazione non definiranno solo questo anno — stabiliranno la traiettoria per il prossimo decennio di AI.
Il nuovo mantra è “muoviti velocemente e verifica tutto”. La tecnologia diventa agentica, gli attacchi diventano strutturali, e i regolatori stanno guardando. Come ho appreso dalla mia esperienza con la protezione dai deepfake e dalle truffe AI, la sicurezza non è qualcosa che si aggiunge dopo: deve essere progettata dall’inizio.
Vi consiglio di partire con pilot governati in aree con ROI documentato, strutturare la data infrastructure prima di scalare, e misurare tutto. Se avete domande o esperienze da condividere sulla governance dei vostri AI agents, scrivetemi nei commenti: è un tema su cui stiamo tutti imparando.