Un agente AI non deve mai decidere da solo quando il suo gesto non si può annullare, quando parla a un terzo con la tua voce, quando muove denaro o quando cambia ciò che è già pubblico. Tutto il resto si delega, si fa girare e si misura dopo. Un gate umano ben messo è piccolo: sta in pochi punti, e in quei punti non si scavalca.
Lo scrivo da chi ogni giorno costruisce e usa agenti AI sorvegliati da controlli automatici e test, e scrive le lezioni dei propri errori. La regola che segue è quella che applico io.
Il test in tre domande
Prima di decidere se un gesto dell’agente richiede un umano, le domande sono tre. Se anche una sola risposta è «sì», il gate serve.
- Si annulla? Un file riscritto in una cartella versionata si ripristina. Una email partita, un pagamento, una pagina indicizzata da un motore di ricerca no.
- Parla a qualcuno che non sono io? Un cliente, un fornitore, un lead, il pubblico. Se il messaggio porta il mio nome o la mia voce, la responsabilità è mia, non dell’agente.
- Quanto costa sbagliare una volta? Non la media: il caso peggiore. Un agente che sbaglia un titolo costa un ritocco. Un agente che sbaglia un destinatario costa una relazione.
Questo test è volutamente rozzo. Serve a separare i gesti in due gruppi, e la separazione è tutto il lavoro: nel primo gruppo l’agente decide e io misuro dopo; nel secondo l’agente prepara e un umano decide.
Perché un gate che chiede sempre non protegge nessuno
L’istinto sbagliato è chiedere conferma per ogni azione. Sembra prudente ed è l’opposto. Anthropic ha pubblicato un dato che lo mostra senza giri di parole: «Claude Code users approve 93% of permission prompts». Nello stesso articolo (25 marzo 2026) descrive la conseguenza come «approval fatigue», la fatica da approvazione: chi ha detto sì centinaia di volte smette di leggere a cosa sta dicendo sì.
Un umano che approva per riflesso non è un gate, è un timbro. Ed è peggio di niente, perché il sistema si sente coperto mentre non lo è. La conclusione pratica è controintuitiva: per rendere sicuro un agente bisogna togliere conferme, non aggiungerne. Le poche che restano devono essere sui gesti che contano, così chi approva sa che quando arriva una richiesta, quella conta.
Perché il tema pesa sui progetti veri
Nel comunicato del 25 giugno 2025 Gartner prevede che oltre il 40% dei progetti di agentic AI sarà cancellato entro la fine del 2027 (comunicato Gartner; ripreso anche da National CIO Review). È una previsione, non una misura, e va letta come tale. Il mio modo di leggerla: un progetto con agenti che nessuno sa tenere sotto controllo è un progetto che costa più di quanto rende, e un perimetro ben disegnato aiuta a evitarlo.
Cosa dicono gli standard
Non è solo una questione di gusto operativo. Due riferimenti dicono la stessa cosa da angolazioni diverse.
| Fonte | Cosa chiede | Dove si applica |
|---|---|---|
| OWASP LLM06:2025, Excessive Agency | Tre cause da ridurre (funzionalità, permessi, autonomia) e approvazione umana sulle azioni ad alto impatto | Qualunque applicazione con agenti che chiamano strumenti |
| AI Act, articolo 14 | Sorveglianza umana effettiva, con possibilità di annullare l’output e fermare il sistema | Sistemi classificati ad alto rischio |
OWASP: l’agenza eccessiva
Nella classifica dei rischi per le applicazioni basate su LLM, OWASP mette l’Excessive Agency (LLM06:2025) e ne individua tre cause: funzionalità eccessiva, permessi eccessivi, autonomia eccessiva. La contromisura sull’autonomia è esplicita: usare un controllo human-in-the-loop che richieda a una persona di approvare le azioni ad alto impatto prima che avvengano. L’esempio che fanno è quello giusto: un’app che crea contenuti per i social deve chiedere l’approvazione dell’utente prima di pubblicare.
Notate che due cause su tre non riguardano il gate umano: riguardano quanto si dà all’agente. Ridurre funzioni e permessi viene prima. Il gate umano è l’ultima difesa, non la prima.
AI Act, articolo 14: l’umano deve poter dire no
Per i sistemi ad alto rischio l’articolo 14 dell’AI Act chiede una sorveglianza umana effettiva. Chi sorveglia deve poter capire capacità e limiti del sistema, restare consapevole del rischio di affidarsi troppo al suo output (il cosiddetto automation bias), ignorare, ribaltare o annullare l’output, e intervenire o fermare il sistema con un pulsante di stop o una procedura equivalente. Per i sistemi di identificazione biometrica la norma spinge oltre: la verifica deve essere confermata da almeno 2 persone fisiche qualificate, salvo le eccezioni previste per le forze dell’ordine.
Vale per i sistemi classificati ad alto rischio, non per ogni agente che gira in un’azienda. Ma il principio è utile ovunque: un gate è reale solo se chi lo presidia può davvero fermare il gesto, ha visto ciò che sta approvando, e non è addestrato a dire sempre sì.
I quattro punti dove l’agente non decide da solo
1. Ciò che esce verso un terzo con la mia voce
Email, messaggi, risposte a un cliente. L’agente può scrivere la bozza, allegare il contesto, preparare tutto. L’invio lo fa una persona che ha letto il testo che parte. Un agente può rispondere da solo a un lead se si presenta per quello che è, un’AI, e se non promette nulla di nuovo; appena il messaggio porta la mia voce, la firma è mia.
2. Il denaro
Pagamenti, rimborsi, budget pubblicitari, abbonamenti. Un errore di un agente su un importo si moltiplica alla velocità con cui l’agente lavora. Qui l’agente propone e un umano autorizza, ogni volta.
3. Ciò che cambia lo stato pubblico
Pubblicare una pagina, riscrivere un articolo già indicizzato, cambiare un prezzo online. Un contenuto pubblicato viene letto e indicizzato in fretta e non si annulla davvero: anche se lo ritiri, qualcuno lo ha già visto. Per questo la riscrittura di una pagina viva è un gesto verso il mondo quanto una pubblicazione nuova.
4. Le cancellazioni che non si recuperano
Eliminare dati, svuotare cestini, chiudere account. Se esiste una copia e un rollback, il gesto torna nel gruppo dei reversibili. Se non esiste, l’agente si ferma.
Cosa non va nel gate
Altrettanto importante è ciò che lascio fuori. Un agente decide da solo, senza chiedere, tutto ciò che è interno, reversibile e additivo: scrivere codice in un ramo separato, aggiungere un test, preparare una bozza, riordinare appunti. Lì il controllo sta dopo il gesto: si guarda l’effetto, si misura, si corregge. Un rollback rapido vale più di un’ora di analisi preventiva.
Se metto il gate anche qui, ottengo esattamente l’effetto dei 93% di approvazioni: tanto rumore, nessuna attenzione per il punto che conta.
Come si costruisce un gate che regge
- Un solo varco verso il mondo. Tutti i gesti che escono passano da un unico punto. Non tanti piccoli gate sparsi: uno solo, dove si può guardare, registrare e fermare.
- L’approvazione si registra, non si presume. Il «sì» ha un autore, una data, e riguarda quella cosa precisa che ha visto: non un permesso generico. Un campo di testo che scrive chi chiama («approvato da: io») non autorizza niente; la prova sta nel sistema, non nella stringa.
- Chi produce non si verifica da solo. Chi scrive un contenuto non è chi lo controlla. Un secondo passaggio indipendente, che non ha scritto il pezzo, rintraccia le fonti e toglie ciò che non trova. Resta un modello che controlla un modello: riduce gli errori, non li azzera, per questo il controllo non sostituisce il varco umano dove il gesto è irreversibile.
- Il default è il rifiuto. Se un registro manca, è illeggibile o è corrotto, il gesto non parte. Un gate che nel dubbio lascia passare è un gate che passa tutto, il giorno in cui qualcosa si rompe.
- Un verde si prova. Un controllo che non è mai diventato rosso non misura nulla. Rompo apposta la funzione per vedere se il gate se ne accorge; se non se ne accorge, non l’ho costruito, l’ho disegnato.
Il rischio che molti non contano: il testo che l’agente legge
C’è un caso che sfugge a chi pensa il gate solo come «l’agente sbaglia». Un agente che legge il web può incontrare una pagina con un’istruzione nascosta, e per un modello il testo letto può diventare un ordine. È lo scenario che OWASP descrive con la prompt injection su un’app che riassume email: l’agente, ingannato, inoltra informazioni sensibili. Le contromisure indicate sono due: togliere permessi in eccesso (per esempio accessi in sola lettura) e richiedere la revisione manuale prima dell’invio di qualunque messaggio.
Per questo le sessioni che navigano il web, nel mio sistema, non hanno accesso a disco, posta o gestionale: solo gli strumenti del lavoro che stanno facendo. È la stessa idea del gate, applicata a monte: meno si dà all’agente, meno c’è da sorvegliare.
Ne parlo anche in Agenti AI in produzione: cosa si rompe davvero e nel pezzo su Jev TypeSafe, il modello che decide e non parla. Se ti serve capire come si divide il lavoro fra più agenti prima di decidere dove mettere i gate, c’è Quanti agenti AI servono a un’azienda; per il lato dei costi, il costo mensile di una flotta di agenti.
Domande frequenti
Un gate umano rallenta l’agente?
Solo sui gesti dove deve rallentare. Se lo metti sui pochi punti irreversibili, l’agente lavora a velocità piena su tutto il resto e la persona dedica attenzione solo a ciò che la richiede.
Posso usare un secondo agente al posto dell’umano?
Per ridurre gli errori sì, ed è utile come primo filtro. Per i gesti irreversibili verso un terzo no: un modello che controlla un modello condivide parte dei suoi punti ciechi, e la responsabilità finale resta di una persona.
Come capisco se il mio gate è un timbro?
Guarda la percentuale di approvazioni. Se dici sì quasi sempre, il gate è troppo largo: restringilo ai gesti che contano, oppure automatizza i gesti sicuri e lascia le conferme per gli altri.
Da dove si parte in una PMI?
Elenca i gesti che l’agente può compiere e passali nel test delle tre domande: si annulla, parla a un terzo, quanto costa sbagliare. Tutto ciò che risponde «sì» a una domanda va dietro un varco unico con approvazione registrata. Il resto parte e si misura.
