Le organizzazioni che implementano agenti di intelligenza artificiale senza una chiara strategia di osservabilità e controllo si espongono a conseguenze gravi. Secondo un’indagine recente, più della metà delle aziende non ha un sistema centralizzato per monitorare l’attività dei propri agenti.
Una pendenza rischiosa
Gli agenti di intelligenza artificiale, pur essendo promettenti, introducono nuovi livelli di complessità e vulnerabilità. «Molte aziende li utilizzano in modo troppo ingenuo», spiega T.J. Marlin, CEO di Guardrail Technologies. «Pensano siano semplicemente una forma di avanzato automazione, ma non riescono a prevederne accuratamente i risultati.» Egli sottolinea che per rendere questi agenti veramente utili alle organizzazioni, i team IT devono sviluppare politiche di controllo e supervisione continua.
Una delle criticità principali risiede nel fatto che i team sottostimano la velocità di adozione e l’impatto che l’agentività può avere. Per Marlin, questa fretta nasconde un grave rischio: «Come si immagina di far cuocere un pollo mettendo una cocotte sul fuoco e dimenticandosene? Finiremo davanti alla TV con un titolo sensazionalistico per un disastro aziendale».
Una questione di competenza e visione
Secondo Marlin, molte organizzazioni si sono lanciate nel campo dell’IA agentica senza sufficiente conoscenza tecnologica e una visione strategica solida. «Questo è il problema della mancanza di competenza e di controllo», afferma. «Si crea un agente dopo l’altro senza verificare realmente se si sta facendo bene o male.»
Il CEO sottolinea che il contesto richiede un cambio radicale rispetto a forme di automazione più tradizionali come l’RPA. «Nel caso dell’IA agentica, il codice non basta più. Non bastano nemmeno le politiche di verifica tradizionali», aggiunge.
La governance in cecità
Una recente analisi di TrueFoundry mostra che il 54% degli intervistati non segue con precisione l’attività dei propri agenti e che il 56% non dispone di un sistema centrale di controllo. «Questo è un problema enorme», spiega Mahesh Kumar Goyal, esperto di dati e IA presso Google. «Senza inventario, le aziende si affidano a processi visibili, ma non effettivi.»
I sistemi SIEM (Security Information and Event Management) e EDR (Endpoint Detection and Response) non sono pensati per rilevare attività anomale di agenti autonomi, ma solo di interventi umani. «Un agente che compie la stessa operazione ripetutamente, anche mille volte, sembra normale ai sistemi di controllo, anche se è malizioso», sottolinea Goyal.
Sicurezza e tracciabilità
Goyal ribadisce l’importanza di impostare una governance chiara, ma limitata al minimo necessario. Le aziende, per proteggersi, dovrebbero adottare:
- Permesso limitati e accesso controllato
- Raggi di sicurezza che regolamentino ogni interazione
- Tracciabilità completa, da inizio a fine processo
- Sistema di log audibili e verificabili
«La governance non può essere un problema postumo», insiste. «Deve essere integrata fin dall'inizio.»
Modelli di verifica aggiornati
Adel El Hallak, VP di AI Software presso Nvidia, spiega che gli agenti hanno ridefinito i modelli di controllo e verifica. A differenza del software tradizionale, dove gli ingegneri potevano analizzare il codice per individuare gli errori, gli agenti operano autonomamente.
«L’unica fonte di verità per il comportamento di un agente è la traccia di esecuzione», spiega El Hallak. «Serve raccoglierne informazioni dettagliate e, successivamente, tradurle in azioni concrete. Senza tracciabilità, non si può controllare nulla.»
Nel contesto finanziario, ad esempio, non si fidi alla cieca: ogni azione deve essere tracciata, riconciliata e verificata. «Ecco perché il modello da seguire per gli agenti dovrebbe prevedere una supervisione umana attiva nelle attività centrali e una maggiore autonomia solo per quelle secondarie», aggiunge Goyal.
Governance sostenibile vs governanza sovradimensionata
Nirmal Ganesh, direttore principale di Box per la gestione prodotti, avverte che un approccio manuale o estremamente controllato alla governanza rischia di limitare il potenziale dell’agente. «Alcune aziende optano per un controllo totale da parte umana per ogni risultato dell’agente. Si tratti di un processo completamente manuale», sottolinea Ganesh.
Una visione evolutiva
Per Ganesh, il futuro della gestione della IA agentica passerà attraverso il bilanciamento tra autonomia e controllo. «Non possiamo permetterci di reinventare i processi da zero. Serve una governance scalabile e automatizzata, integrata con il ciclo di vita dell’agente», spiega.
I processi umani devono diventare complementari alla governance, intervenendo solo su eccezioni e situazioni complesse. «L’osservabilità non è una feature aggiuntiva. È fondamentale per il funzionamento efficiente e sicuro», sottolinea lo stesso Ganesh.
Marcelo Lorenzetti, fondatore e CTO di SavvyLex, concorda: «La governanza non riguarda solo la produzione. Deve includere prove legali, accesso alle informazioni, utilizzo degli strumenti, la tracciabilità delle decisioni. Solo allora un agente può essere veramente considerato efficace e legittimo.»