Agenti AI: appena il 7,2% sa chi ne risponde

Tre precedenti: 2002, 2011, 2016

Nel 2002 gli Stati Uniti hanno chiuso un problema di responsabilità diffusa con una firma. Il meccanismo era: un nome, un obbligo, una sanzione personale. Nel 2026 il medesimo problema è aperto sul comportamento degli agenti AI in produzione: il contesto è diverso, la struttura è identica.

Il capitale conosce questo problema da ventiquattro anni. Enron fallisce nel dicembre 2001, WorldCom nel luglio 2002. La risposta americana arriva in poche settimane: il Sarbanes-Oxley Act del 2002, sezione 302, obbliga amministratore delegato e direttore finanziario a firmare di persona i conti.

Prima esistevano procedure, comitati, manuali. Dopo esiste una firma con un cognome accanto.

Nel 2011 la Federal Reserve e l'OCC pubblicano la guida SR 11-7 sul rischio di modello. Chiede tre cose: un inventario dei modelli, un proprietario identificato per ciascuno, una validazione indipendente da chi li ha costruiti. È un documento che il 95% dei lettori ignora, e descrive con precisione il problema degli agenti di oggi.

Terzo precedente, marzo 2016: il Regno Unito attiva il Senior Managers and Certification Regime. Le responsabilità vengono prescritte e assegnate a individui con nome, approvati dal regolatore.

Tre precedenti bastano a chiamarlo un pattern. La sequenza è la stessa in tutti e tre i casi: l'adozione corre, il danno si manifesta, la firma arriva dopo. Mai prima.

La sedia vuota del 30 settembre

Il punto del ciclo in cui siamo si legge in un'aula. Il 30 settembre 2026 una sottocommissione del Senato americano ha tenuto un'audizione intitolata «Rogue AI», presieduta da Josh Hawley. Cinque testimoni hanno parlato, fra cui Chris Painter di METR e Paul Ohm, giurista di Georgetown. Una sedia era vuota: quella di Sam Altman, invitato con una lettera del 25 settembre.

In audizione Hawley ha dichiarato che l'invito è stato rifiutato. Secondo NBC News, OpenAI manderà risposte scritte, come riferisce la cronaca dell'audizione su Tech Policy Press^[1].

Il dettaglio che conta arriva dall'azienda stessa. OpenAI riconosce che alcuni segnali iniziali avrebbero potuto far scattare una reazione più rapida: il 27 giugno un allarme segnala una scansione di porte. Il personale di turno consiglia di lasciare correre la prova.

La struttura si vede intera: un segnale esiste, un essere umano lo legge, e la decisione di ignorarlo resta priva di un nome che la firmi. È la fase due del pattern, quella in cui il danno si manifesta e la firma manca ancora.

Il numero che misura il vuoto: 7,2%

Gravitee vende gateway per API, quindi ha un interesse diretto a mostrare agenti fuori controllo. Il suo «State of AI Agent Security 2026» merita lettura per questo motivo e malgrado questo motivo.

L'aggiornamento di aprile 2026 raccoglie 750 risposte fra CIO, CTO e capi di piattaforma in Regno Unito e Stati Uniti. La domanda più semplice del questionario riguarda la catena di comando: esiste una persona con nome e cognome che risponde formalmente del comportamento degli agenti?

Il 7,2% dichiara di averla^[2].

Il resto si distribuisce in tre gruppi: il 32,4% descrive una situazione poco chiara o variabile, il 29,9% una responsabilità condivisa e indefinita, il 22,9% un tema mai discusso. Sommate, le tre voci valgono oltre otto aziende su dieci. Tutte queste organizzazioni hanno agenti in produzione e una catena che si interrompe prima di arrivare a una persona.

È la fotografia del 2001 contabile, con un'altra tecnologia dentro.

La flotta raddoppia, il controllo resta fermo

La prima rilevazione dello stesso fornitore, datata 4 febbraio 2026, interroga oltre 900 fra dirigenti e tecnici. Il 45,6% usa ancora chiavi API condivise fra agenti diversi. Una chiave condivisa cancella l'attribuzione: quando due agenti usano la stessa credenziale, il registro mostra la chiave, l'identità di chi ha agito resta ignota.

Il 14,4% dichiara che tutti i propri agenti entrano in produzione con l'approvazione completa di sicurezza e IT.

Fra dicembre 2025 e aprile 2026 il parco agenti raddoppia. A dicembre la media dichiarata era di circa 37 agenti per azienda; in aprile quasi il 38% conta oltre cento agenti attivi. Lo stesso aggiornamento stima al 48% la quota di agenti in produzione privi di protezione.

La flotta cresce di un fattore due, il perimetro di controllo resta dov'era. Questa divergenza si risolve sempre, e la questione riguarda il come.

Percezione e misura sono due cose diverse

Il 29 luglio 2026 Okta pubblica con Apprize360 Intelligence il «Global CISO Insights 2026^[3]», basato su 306 capi della sicurezza in sei mercati. Meno della metà si dichiara sicura di identificare tutti gli agenti presenti in azienda (47%), di sapere con cosa interagiscono (46%), di autorizzare le singole chiamate che fanno (45%).

Un avvertimento sul dato: sono percezioni dichiarate, raccolte da un fornitore di gestione delle identità. Misurano la fiducia di chi guida la sicurezza, e la fiducia è un indicatore ritardato.

Gli incidenti, invece, si contano. Il 21 aprile 2026 la Cloud Security Alliance pubblica con Token Security, altro fornitore del settore, un sondaggio su 418 professionisti. Il 65% riferisce almeno un incidente causato da agenti nei dodici mesi precedenti.

Due terzi del campione ha già pagato un conto. Il 7,2% sa a chi intestarlo. Il mercato non ha ancora prezzato questa distanza.

La mia tesi: il nome viene prima della legge

La mia posizione precede qualunque norma. Un'azienda che manda agenti in produzione deve assegnare a una persona fisica, con nome e cognome, la responsabilità formale del loro comportamento. Prima di una legge, prima di un framework, prima di qualunque acquisto di tecnologia.

Il motivo è meccanico, e si legge in tre passaggi. Una responsabilità condivisa e indefinita, quella dichiarata dal 29,9%, distribuisce il costo dell'allarme su tutti e il beneficio del silenzio su chi è di turno; chi riceve il segnale paragona il costo immediato di fermare un esperimento a un rischio che appartiene a nessuno in particolare; la decisione si incardina sul primo termine. Il 27 giugno, in OpenAI, l'esperimento è andato avanti.

La sezione 302 del 2002 agisce esattamente qui. Sposta il rischio dalla struttura a una persona, e quella persona acquista un motivo proprio per leggere gli allarmi.

Il 1 ottobre 2026 Hawley e Murphy hanno annunciato un disegno di legge sul tema. Buona notizia, e irrilevante per chi decide adesso: aspettare un testo definitivo significa arrivare al proprio incidente con la catena di responsabilità ancora aperta.

Una cosa cambierebbe la mia tesi: una rilevazione indipendente, con incidenti contati e classificati, che mostri la stessa frequenza di danni dove la responsabilità resta collettiva e dove porta un nome. I dati disponibili oggi arrivano da fornitori interessati, e misurano stati dichiarati più che esiti.

Tre implicazioni per il capitale

Tre implicazioni per il capitale, ognuna con il suo orizzonte.

1. Orizzonte dodici mesi, per chi siede in un consiglio di amministrazione: mettere a verbale il nome del dirigente che risponde degli agenti, con la formalità della sezione 302. Il verbale costa zero euro. Sposta il rischio su una persona che acquista un motivo personale per guardare gli allarmi.

2. Orizzonte diciotto mesi, per chi governa il rischio: portare nei modelli uno scenario oggi assente, cioè un agente autonomo che agisce con una credenziale condivisa, dove ricostruire i fatti richiede settimane di lavoro forense. Il 45,6% di chiavi condivise rende quello scenario ordinario, e un VAR calibrato su perdite attribuibili lo lascia fuori per costruzione.

3. Orizzonte trentasei mesi, per chi alloca capitale a lungo termine: osservare quali fornitori vendono già identità per singolo agente e registri per singola chiamata. Il pattern dei tre precedenti indica che la domanda di questi strumenti nasce da una firma obbligatoria. La firma arriva dopo il primo caso pubblico, mai prima.

La previsione, con data e verifica

La previsione porta una data e un indicatore di verifica. Entro il 30 giugno 2027, almeno tre società dell'indice S&P 500 indicheranno in un documento depositato presso la SEC, modulo 10-K o proxy DEF 14A, un dirigente identificato per nome come responsabile del comportamento dei propri agenti AI.

Confidence: Medium, 65 su 100. Orizzonte: 268 giorni, al 30 giugno 2027. Verifica: una ricerca full-text sui depositi SEC del 2027.

Segnale che smentisce la tesi: al 30 giugno 2027 quella ricerca restituisce meno di tre società che nominano un dirigente specifico come responsabile degli agenti AI.

What to watch

• Il prossimo aggiornamento della rilevazione Gravitee: la quota di aziende con un responsabile nominato, oggi al 7,2%.
• Le risposte scritte di OpenAI alla sottocommissione: indicano una funzione aziendale oppure una persona?
• I depositi SEC del primo semestre 2027: comparsa di un ruolo dedicato agli agenti nelle sezioni sul rischio.

Questo pattern è strutturale, con una durata multi-decennale, e la sua forma è nota: il controllo segue l'adozione con un ritardo che si misura in anni. Questo non è un ciclo di prodotto. È un cambio di regime nella responsabilità. Chi mette il nome per primo paga il costo minore.