Gli agenti nell’AI Act non sono una categoria a parte: la FAQ del Service Desk, punto per punto

Nel codice della strada non esiste la categoria «SUV». Per la legge un SUV è, di solito, un’autovettura come un’utilitaria: stessa patente, stessa revisione, stessi limiti di velocità. A decidere le regole non è il nome commerciale ma la categoria in cui il veicolo è omologato e l’uso a cui è destinato. Lo stesso furgone resta un autocarro finché porta merci, e chi lo trasforma in camper deve passare dalla Motorizzazione e aggiornare la carta di circolazione, perché il mezzo è diventato un’altra cosa.

Sugli agenti di AI la Commissione europea ha fatto lo stesso ragionamento. «Agente» è la parola con cui oggi si descrive gran parte di ciò che si costruisce sopra un modello linguistico: un LLM che chiama strumenti, legge il risultato e decide il passo successivo, magari attraverso un server MCP che gli apre un database o una casella di posta. Nel testo del 2024 del regolamento europeo sull’AI la parola non compare. L’Omnibus digitale, in vigore dal 27 luglio, ce l’ha portata una volta sola e di lato: nel nuovo allegato XIV, l’elenco dei codici che delimitano che cosa può certificare un organismo notificato, dove l’«IA agentica» figura fra le tecnologie emergenti. Una definizione non c’è, e secondo la Commissione non serve.

Lo ha scritto fra le domande frequenti dell’AI Act Service Desk, lo sportello online con cui risponde a chi deve applicare il regolamento, in una voce intitolata «How are AI agents addressed within the AI Act?» e classificata sotto «General-purpose AI models». La pagina non porta una data. Nelle copie dell’Internet Archive la voce c’è il 6 aprile 2026, non il 14 febbraio, ed è stata ritoccata due volte in estate, l’ultima entro l’8 agosto per allineare all’Omnibus le date sull’alto rischio. La versione italiana della pagina, al 24 settembre, è ferma alla prima stesura e dice ancora che per gli agenti ad alto rischio i requisiti valgono «dal 2 agosto 2026», il che non è più vero. Per questo le citazioni che seguono vengono dalla versione inglese, in traduzione nostra.

Una FAQ non è una norma, e l’interpretazione vincolante spetta alla Corte di giustizia dell’Unione. Ma è una presa di posizione ufficiale della Commissione dedicata agli agenti, e va letta frase per frase, con gli articoli che richiama e quelli che non richiama.

Un sistema, con un modello dentro

La FAQ comincia ammettendo che il termine «agente» si usa in modo incoerente. C’è però «ampio consenso» su un nucleo: un agente riceve ed elabora input dal suo ambiente ed esegue, in base a quell’elaborazione, azioni che possono interagire con l’ambiente o modificarlo, per esempio chiamando funzioni. «Agentic AI» indica a volte le configurazioni che mettono insieme più agenti, e il rapporto fra le due espressioni è, anch’esso, in evoluzione.

Poi il passaggio centrale: «tipicamente», con il corsivo nell’originale, un agente contiene almeno un modello di AI per finalità generali (in sigla, GPAI) e costituisce un sistema di AI, perché di solito ha una qualche forma di interfaccia, che è un componente del sistema. Il rimando è al considerando 97 del regolamento 2024/1689: i modelli sono componenti essenziali dei sistemi ma non sono sistemi da soli, e per diventarlo hanno bisogno di altri componenti, «ad esempio un’interfaccia utente». Di più la Commissione non si sente di dire, perché il termine non ha una definizione giuridica. Conclusione: le definizioni che il regolamento ha già, quella di sistema di AI (articolo 3, punto 1) e quella di modello per finalità generali (punto 63), bastano a coprire gli agenti, che quindi ereditano le regole degli uni e degli altri.

Tradotto per chi sviluppa: l’LLM dentro l’agente è quasi sempre un modello per finalità generali; il ciclo, gli strumenti, la memoria e l’interfaccia fanno del tutto un sistema. Il «quasi» conta: un agente costruito su un modello piccolo e specializzato può non contenerne nessuno, perché per le linee guida della Commissione è GPAI solo un modello che sa svolgere con competenza un’ampia gamma di compiti. E l’interfaccia, nel considerando, è un esempio, non una condizione: un agente senza schermo, lanciato da un altro programma, ha comunque attorno al modello il ciclo e gli strumenti. La FAQ, sul caso, tace.

Chi è chi, quando il modello è di un altro

Sui ruoli, la prima domanda di chi costruisce un agente sull’API di un laboratorio, la FAQ non dice nulla. La risposta sta nel regolamento e nelle linee guida della Commissione sui modelli per finalità generali, e ha tre anelli.

• Chi fa il modello ne è il fornitore anche quando lo offre solo via API, che le linee guida contano fra i modi di «immettere sul mercato» un modello. Ha obblighi dal 2 agosto 2025 (articolo 53), e uno riguarda direttamente chi costruisce agenti: dare a chi integra il modello le informazioni per capirne capacità e limiti. L’allegato XII ne fissa il minimo, e fra le voci ci sono le politiche di utilizzo accettabile e il modo in cui il modello «interagisce o può essere utilizzato per interagire con hardware o software che non fanno parte del modello stesso»: il tool use, in lingua giuridica.
• Chi fa l’agente e lo mette sul mercato o in servizio con il proprio nome o marchio, a pagamento o gratis, è fornitore di un sistema di AI (articolo 3, punto 3), «a valle» se integra un modello, proprio o di un altro (punto 68). Vale anche per l’agente costruito per uso interno, «messo in servizio» per uso proprio (punto 11). Se ritiene che il fornitore del modello violi i suoi obblighi, può presentare un reclamo all’AI Office (articolo 89).
• Chi lo usa per lavoro, sotto la propria autorità, è deployer (punto 4).

Due casi complicano lo schema. Il primo è l’addestramento aggiuntivo. Chi fa fine-tuning di un modello per il proprio agente non ne diventa per questo il fornitore: secondo le linee guida lo diventa solo se la modifica cambia in modo significativo il modello, e l’indicatore proposto è un calcolo superiore a un terzo di quello usato per addestrare l’originale. Oggi, riconosce la Commissione, poche modifiche arrivano a tanto; e se il fine-tuning passa per l’API del laboratorio, per capire chi abbia modificato il modello conta anche chi ne controlla i pesi.

Il secondo caso sono i pesi aperti. Chi pubblica un modello con licenza libera e open source, rendendo pubblici pesi, architettura e informazioni sull’uso, è esentato dagli obblighi di documentazione verso l’AI Office e verso chi integra il modello, a meno che il modello non presenti un rischio sistemico (articolo 53, paragrafo 2). Chi costruisce un agente su un modello aperto e senza rischio sistemico non ha quindi diritto alla documentazione dell’allegato XII, e deve ricavare ciò che gli serve da quanto è pubblico. Chi vigila dipende da chi ha fatto che cosa (articolo 75, dopo l’Omnibus), come riassume lo schema.

Le regole che la FAQ richiama

I divieti di manipolazione (articolo 5, paragrafo 1, lettere a e b), in vigore dal 2 febbraio 2025. Vietano i sistemi che usano tecniche subliminali, volutamente manipolative o ingannevoli, o che sfruttano le vulnerabilità legate all’età, a una disabilità o a una specifica situazione sociale o economica, quando distorcono in modo rilevante il comportamento di una persona causando, o potendo ragionevolmente causare, un danno significativo a lei o ad altri. La FAQ li definisce «particolarmente rilevanti» per gli agenti senza spiegare perché, ma la logica si vede: un agente che negozia, vende o prenota per conto di qualcuno non mostra soltanto, agisce, e può spingere. Rispettare il divieto «può richiedere» salvaguardie già nella progettazione. Esempi, la FAQ non ne fa.

La trasparenza (articolo 50), dal 2 agosto 2026: un agente destinato a interagire con persone o a generare contenuti ricade nelle regole dell’articolo, di cui abbiamo scritto a parte. Per i sistemi generativi già sul mercato prima di quella data, l’obbligo di marcare i contenuti sintetici (paragrafo 2) scatta il 2 dicembre 2026, per una norma transitoria dell’Omnibus (articolo 111, paragrafo 4) che la FAQ non menziona.

L’alto rischio (capo III): se l’agente è classificato così ha requisiti in più, che dopo l’Omnibus si applicano dal 2 dicembre 2027 per gli usi dell’allegato III e dal 2 agosto 2028 per i prodotti regolati dell’allegato I. Quando succeda, la FAQ non lo dice; ci torniamo sotto.

Il modello sotto l’agente. Qui la FAQ è più precisa. Un modello diventa «a rischio sistemico» per presunzione, se l’addestramento supera la soglia di calcolo dell’articolo 51, paragrafo 2, o per decisione della Commissione, sulla base dei criteri dell’allegato XIII (articolo 51, paragrafo 1, lettera b). Fra quei criteri, alla lettera e), ci sono «il livello di autonomia e scalabilità e gli strumenti a cui ha accesso»: gli ingredienti di un agente. La FAQ lo dice in chiaro, autonomia e uso di strumenti possono essere «decisivi» nella designazione; e il considerando 110 mette entrambi fra i fattori che influenzano il rischio sistemico.

Per questi modelli la FAQ rimanda al capitolo «Safety and Security» del codice di buone pratiche sui modelli GPAI, lo strumento volontario firmato, fra gli altri, da Anthropic, Google, Microsoft, Mistral AI e OpenAI (xAI ha aderito solo a questo capitolo). I punti citati contano fra le fonti di rischio l’autonomia, la pianificazione su orizzonti lunghi, l’accesso a strumenti e ad altri modelli, il grado di sorveglianza umana; fra gli esempi di mitigazione, le «tecniche per consentire ecosistemi sicuri di agenti», come l’identificazione dei modelli e protocolli di comunicazione specializzati. Il punto più concreto è l’ultimo: le valutazioni devono riprodurre il contesto d’uso atteso, con un’impalcatura (scaffolding) e un accesso agli strumenti equivalenti a quelli delle integrazioni previste o già in uso per modelli simili. Chi firma si impegna, cioè, a provare il modello anche dentro un agente, e non solo davanti a un prompt.

Quando un agente diventa ad alto rischio

La FAQ scrive «se l’agente è classificato come sistema ad alto rischio» e si ferma. Nel regolamento la classificazione non dipende dalla tecnologia ma dalla finalità prevista: l’uso che il fornitore indica nelle istruzioni, nel materiale promozionale e di vendita, nelle dichiarazioni e nella documentazione tecnica (articolo 3, punto 12). Fuori dai prodotti regolati, un agente è ad alto rischio se quella finalità rientra negli usi dell’allegato III: fra gli altri, filtrare candidature e valutare candidati (punto 4, lettera a) o il merito di credito delle persone (punto 5, lettera b). L’articolo 6, paragrafo 3, lascia fuori per esempio i sistemi destinati a un compito procedurale limitato o preparatorio, ma mai quelli che fanno profilazione.

Per un agente generico la domanda vera è che cosa succede quando lo si usa proprio per quelle cose. Aiutano due testi che la FAQ non cita. Il primo è la bozza di linee guida sulla classificazione dei sistemi ad alto rischio, pubblicata dalla Commissione il 19 maggio, in consultazione fino al 23 luglio e, al 24 settembre, ancora presentata come bozza dal Service Desk. Contiene due passaggi che toccano gli agenti.

• La finalità si legge in tutto ciò che il fornitore scrive. Se istruzioni, termini di servizio, politiche d’uso e materiale di vendita presentano un sistema come applicabile a ogni contesto e non limitano né escludono in modo coerente gli usi ad alto rischio, la finalità prevista si considera comprensiva di quegli usi, soprattutto se sono fattibili e ragionevolmente prevedibili. Una clausola nei termini di servizio non basta, se il resto della comunicazione quegli usi li promuove.
• La catena si valuta intera. Quando più sistemi o moduli servono insieme una finalità ad alto rischio, la configurazione conta come un sistema solo, perché spezzare l’architettura non serva ad aggirare la classificazione. La bozza estende il principio in modo esplicito ai sistemi agentici che si coordinano con azioni collegate: un modulo che da solo farebbe un compito procedurale, dentro una catena del genere, non può invocare l’eccezione.

Il secondo testo è l’articolo 25, ritoccato dall’Omnibus. Chi modifica la finalità di un sistema che non era ad alto rischio, «anche un sistema per finalità generali», in modo che lo diventi, ne diventa il fornitore, con tutti gli obblighi (paragrafo 1, lettera c). Il fornitore originale esce di scena ma deve collaborare, e l’Omnibus ha scritto come: documentazione tecnica sufficiente, limitazioni note e modalità di guasto, un accesso tecnico mirato anche per prove e convalida. L’obbligo cade se il fornitore originale ha specificato chiaramente che il suo sistema non va trasformato in uno ad alto rischio.

Messe insieme, la bozza e l’articolo 25 disegnano, a nostra lettura, un’alternativa per chi costruisce agenti generici: o esclude gli usi ad alto rischio in modo chiaro e coerente, e allora, se un cliente lo usa comunque per quello, fornitore diventa il cliente (paragrafo 1, lettera c) e l’originale non deve nemmeno collaborare (paragrafo 2); oppure, per la bozza, quel rischio è già suo. Metà del ragionamento poggia su un testo non definitivo, e una nota della bozza annuncia linee guida separate proprio sull’articolo 25.

Un dettaglio riguarda chi lavora con MCP. Il fornitore di un sistema ad alto rischio deve firmare un accordo scritto con chi gli fornisce strumenti, servizi, componenti e processi, e l’Omnibus ha aggiunto all’elenco i modelli (articolo 25, paragrafo 4). A nostra lettura ci rientra anche il server MCP di un’altra azienda che un agente ad alto rischio usa per lavorare. Sono esentati strumenti e componenti pubblicati con licenza libera e open source, ma non i modelli per finalità generali.

Che cosa la FAQ non dice

La catena lunga. Un agente che ne chiama un altro, di un’altra impresa, che a sua volta usa i server MCP di una terza: chi è fornitore di che cosa, e chi deployer? La FAQ nomina i sistemi con più agenti solo per dire che il loro rapporto con gli agenti singoli è ancora in evoluzione, e la bozza sull’alto rischio guarda alla finalità dell’insieme, non ai ruoli.

Chi paga il danno. Se un agente fa qualcosa che nessuno gli ha chiesto, l’AI Act non dice chi risarcisce, e la proposta di direttiva europea sulla responsabilità civile per l’AI, che doveva facilitare le cause per danni, è stata ritirata nel 2025. In Italia, dal 30 settembre, il decreto legislativo 160/2026 cambia le regole delle prove nelle cause per un danno «cagionato nell’utilizzo di un sistema di intelligenza artificiale»: di qualunque sistema, quindi anche di un agente.

Una strategia. Le considerazioni della Commissione, scrive la FAQ, sono «solo preliminari»; l’AI Office segue la materia e, «se necessario», valuterà strategie per i rischi degli agenti. L’unico segnale concreto citato è una gara da 9 milioni di euro per il supporto tecnico sulla sicurezza dei modelli, in sei lotti, il sesto dedicato alle valutazioni «agentiche», cioè al comportamento autonomo dei modelli in compiti dinamici o aperti. La FAQ la chiama «recente»: è stata pubblicata il 10 luglio 2025.

La scelta della Commissione ha una logica che chi scrive codice riconosce: non inseguire i nomi, guardare che cosa fa l’oggetto. Per sapere quali regole valgono per un agente non serve chiedersi se sia «un agente», ma che modello c’è dentro, chi lo mette in circolazione con il proprio nome e che cosa si è scritto che fa. Come per il furgone, è quella dichiarazione a decidere la categoria, e chi la cambia si prende le regole della categoria nuova. Le date, intanto, sono scritte: la trasparenza vale dal 2 agosto, l’alto rischio arriva il 2 dicembre 2027. Chi costruisce agenti ha poco più di un anno per decidere, nero su bianco, che cosa il suo agente non deve fare.