Agenti AI per aziende: cosa sono e come cambiano il software

In breve

Cos'è

Un programma che decide da solo i passi per finire un compito, usa i software dell'azienda (posta, documenti, agenda, gestionale) e controlla il risultato.

Cosa cambia

I grandi fornitori aprono i loro prodotti agli agenti con uno standard comune, il Model Context Protocol (MCP). Google lo ha fatto con Gmail, Drive e Calendar e dall'11 novembre 2026 accetta solo agenti con un accesso dichiarato e separato da quello delle persone.

Cosa fare

Partire da un compito piccolo, dare all'agente solo i permessi minimi, lasciare a una persona l'ultima parola su ciò che invia, modifica o cancella.

Cosa sono gli agenti AI e come funzionano

Un agente AI è un programma che usa un modello linguistico (il motore di programmi come ChatGPT, Gemini o Claude) per raggiungere un obiettivo, non solo per rispondere a una domanda. Riceve un compito, sceglie uno strumento, legge il risultato e decide il passo successivo, finché ha finito o deve chiedere a una persona.

Gli strumenti sono azioni offerte da altri software: cercare un'email, leggere un file, scrivere una bozza. Per questo si parla di AI agentica: l'AI che agisce, oltre a generare testo.

A giugno 2025 Gartner ha chiamato «agent washing» l'abitudine di vendere come agenti assistenti AI, automazioni classiche (RPA) e chatbot che non ne hanno le capacità.

Cosa sono gli MCP server e a cosa servono

Un server MCP (Model Context Protocol) è un programma che mette gli strumenti e i dati di un software a disposizione degli agenti AI, con uno standard comune. Anthropic ha presentato MCP il 25 novembre 2024 come standard aperto per collegare in modo sicuro le fonti di dati agli strumenti di AI.

Funziona come una presa unica: chi produce un software scrive il suo server MCP una volta, e ogni applicazione di AI compatibile lo usa senza connettori fatti apposta. Il server descrive i suoi strumenti, come «cerca email» o «crea evento», e il modello li chiama quando servono.

Nei sei mesi successivi lo hanno adottato anche i concorrenti di Anthropic:

• OpenAI, il 26 marzo 2025, a partire dal suo Agents SDK.
• Google DeepMind, il 9 aprile 2025, per i modelli Gemini.
• Microsoft, il 19 maggio 2025, in GitHub, Copilot Studio, Dynamics 365, Azure AI Foundry e Windows 11.

Il 9 dicembre 2025 Anthropic ha donato MCP all'Agentic AI Foundation, un'iniziativa della Linux Foundation creata con Block e OpenAI e sostenuta anche da Google, Microsoft e AWS. Ad agosto 2026 nella stessa fondazione è entrato anche A2A, il protocollo nato in Google con cui gli agenti parlano tra loro.

Google Workspace MCP: cosa cambia per Gmail, Drive e Calendar

Gmail, Drive, Calendar e le altre app di Google Workspace hanno server MCP ufficiali che gli agenti AI esterni possono usare. Per ora sono in anteprima per sviluppatori, e dall'11 novembre 2026 accettano solo app dichiarate come agenti.

Per una PMI è l'esempio più vicino. Google li ha annunciati a Cloud Next '26 e dal 1° maggio 2026 ha iniziato ad aprirli in anteprima pubblica per gli sviluppatori, un po' alla volta.

La guida di Google elenca otto server: Gmail, Drive, Docs, Sheets, Slides, Calendar, Chat e contatti (People API). Un agente può così leggere la posta, preparare bozze, caricare file e trovare orari liberi.

Nella console Google Cloud un client OAuth, cioè l'identità con cui un'app chiede l'accesso ai dati, si può dichiarare come usato da agenti AI. La dichiarazione non dà permessi in più: consenso dell'utente e verifica dell'app restano.

Google chiede di tenere separati i client per le persone e quelli per gli agenti, e avvisa che alcuni server MCP, come quelli di Workspace, accetteranno solo client dichiarati per agenti.

Il SaaS è morto? Come cambia il mercato del software

No: il software in abbonamento resta, ma deve farsi usare anche dagli agenti, non solo dalle persone. A dicembre 2025 Google ha scritto che sta aggiungendo MCP a tutti i suoi servizi, un passo alla volta. Microsoft lo ha portato anche nel suo gestionale, Dynamics 365, a maggio 2025.

Per chi compra software, secondo noi, cambiano tre cose:

• Conta cosa il prodotto permette di collegare. Un programma senza API (le porte con cui altri programmi lo usano) né server MCP resta fuori dal lavoro degli agenti. Con Eleven PA, per esempio, il cassetto fiscale e la fatturazione elettronica si usano via API.
• Le integrazioni diventano uno standard. Collegare due programmi non è più un progetto a sé ogni volta.
• Il lavoro si sposta su permessi e controlli. Collegare diventa facile. Decidere cosa l'agente può fare, e verificarlo, è la parte difficile.

Gartner (giugno 2025) prevede che entro il 2028 il 33% delle applicazioni software aziendali includerà AI agentica, contro meno dell'1% nel 2024.

Secondo McKinsey (The state of AI in 2026, agosto 2026) il 40% degli intervistati di aziende con più di un miliardo di dollari di fatturato dice che la propria azienda sta portando gli agenti AI su larga scala, contro il 27% di un anno prima. Nelle aziende più piccole la quota è ferma al 22%.

Lo stesso Gartner prevede che oltre il 40% dei progetti di AI agentica sarà cancellato entro la fine del 2027, per costi crescenti, valore poco chiaro o controlli del rischio inadeguati. E stima che, delle migliaia di fornitori che si dicono agentici, solo circa 130 lo siano davvero.

Cambia anche il modo di scrivere software: nel sondaggio Stack Overflow 2026, il 73% degli sviluppatori che usano assistenti o agenti AI per programmare li usa ogni giorno. Si adattano anche gli strumenti con cui il software si costruisce, dalle librerie per le interfacce ai framework, che oggi devono essere chiari per le persone e per gli agenti. Ne parliamo in una guida dedicata a chi sviluppa, in arrivo nelle prossime settimane.

Agenti AI per PMI: cosa si guadagna e cosa si rischia

Una PMI che usa agenti AI guadagna tempo sul lavoro ripetitivo tra posta, documenti, agenda e gestionale, spesso senza costruire collegamenti da zero. Rischia però di dare le chiavi dei dati aziendali a un programma che si può ingannare.

Gli agenti AI sono pericolosi? Il rischio della prompt injection

Possono esserlo se hanno permessi ampi. Il rischio principale si chiama prompt injection: istruzioni nascoste in un'email, in un documento o in una pagina web, che il modello scambia per ordini.

Google stessa avverte, nella guida ai server MCP di Workspace, che un client collegato può leggere, modificare e cancellare i dati dell'account: vanno usati solo strumenti fidati e ogni azione va rivista. Il centro britannico per la cybersicurezza (NCSC) ha aggiunto a dicembre 2025 che questi attacchi potrebbero non essere mai eliminati del tutto.

Non è teoria. Nel maggio 2025 Invariant Labs ha mostrato che un messaggio scritto ad arte in un progetto pubblico su GitHub poteva spingere un agente, collegato al server MCP ufficiale di GitHub, a pubblicare dati di progetti privati.

Permessi: il minimo indispensabile

Per ogni server MCP di Workspace la guida di Google elenca i permessi da autorizzare: per Gmail lettura e gestione delle bozze, per Drive lettura di tutti i file e modifica dei soli file aperti con l'app. Conviene attivare solo i server che servono.

Attenzione: il permesso delle bozze di Gmail consente anche di inviare. L'invio va quindi fermato con l'approvazione di una persona, non con i soli permessi.

Nella console di amministrazione di Workspace ogni app si può segnare come attendibile, limitata a dati Google specifici, limitata o bloccata. Per Gmail, Drive, Documenti e Chat si possono anche bloccare i permessi ad alto rischio.

Google (2025) riassume la sicurezza degli agenti in tre principi: una persona responsabile, poteri limitati, azioni osservabili.

Regole: GDPR, AI Act e legge italiana sull'AI

Un agente che legge la posta tratta dati personali: il GDPR si applica già. Poi ci sono l'AI Act e la legge italiana.

La data dell'alto rischio è quella del Regolamento (UE) 2026/1744, che ha rinviato le scadenze dell'AI Act. Il 23 ottobre 2026 entra in vigore anche il d.lgs. 179/2026, che adatta la legge italiana all'AI Act.

Attenzione al ruolo: chi costruisce un proprio agente sopra un modello e lo mette in servizio con il suo nome ne è il fornitore, con più obblighi di chi lo usa soltanto.

Agenti AI per aziende: come iniziare in sei passi

Un'azienda che vuole usare un agente AI parte da un compito piccolo, gli dà solo i permessi che servono e lascia a una persona l'ultima parola su ciò che invia, modifica o cancella. Questi sono i sei passi, in ordine.

1. Scegliere un compito piccolo e misurabile

   Uno che oggi porta via ore e di cui si può contare il risultato, come smistare la posta di una casella condivisa. Il valore poco chiaro è, secondo Gartner, una delle cause dei progetti cancellati. Le prime prove si possono fare su dati sintetici invece che su quelli dei clienti, per esempio con Eleven Synth.

2. Fare l'inventario degli accessi

   Elencare app, integrazioni e client OAuth che leggono Gmail, Drive o il gestionale. In Workspace il registro degli eventi OAuth mostra utente, app e permessi di ogni autorizzazione.

3. Dare agli agenti un client OAuth separato

   Separato da quelli usati dalle persone e dichiarato come agentico nella console Google Cloud. Se ci sono già agenti collegati a Workspace, va fatto entro l'11 novembre 2026: da quel giorno i server MCP rifiutano gli altri client.

4. Dare permessi minimi e tenere una persona sulle azioni

   Lettura o bozza, non invio o cancellazione. Su Gmail però il permesso delle bozze consente anche di inviare, quindi conta il controllo umano: ogni email inviata, file modificato o decisione su un dipendente passa da una persona.

5. Registrare cosa fa l'agente e mettere in regola i dati

   Decidere nella valutazione d'impatto (DPIA) quanto conservare il registro delle azioni. Come riferimento, per i dati tecnici della posta dei dipendenti (mittente, destinatario, data e ora) il Garante indica di norma pochi giorni e, a titolo orientativo, non più di 21 (documento del 6 giugno 2024). Firmare con il fornitore l'accordo sul trattamento dei dati.

6. Informare e formare le persone

   Dire per iscritto ai dipendenti, e alle RSA o RSU, cosa fa l'agente e con quali dati. Poi una formazione breve su cosa può e non può fare.

Noi sviluppiamo integrazioni e automazioni con AI su misura per le PMI. Se un prodotto standard copre già quello che serve, lo diciamo subito.

Domande frequenti

Che differenza c'è tra un agente AI e un chatbot?

Un chatbot risponde a domande; un agente AI porta a termine un compito usando altri programmi, come posta, documenti e gestionale, con permessi veri. Per questo l'errore di un chatbot è una risposta sbagliata, quello di un agente può essere un'azione sbagliata.

Cosa significa AI agentica?

AI agentica (in inglese agentic AI) indica l'intelligenza artificiale che agisce: riceve un obiettivo, sceglie gli strumenti di altri software e li usa fino a finire il compito. Gli agenti AI sono l'applicazione pratica di questa idea.

Che differenza c'è tra AI generativa e AI agentica?

L'AI generativa produce un contenuto su richiesta: un testo, un riassunto, un'immagine. L'AI agentica usa lo stesso tipo di modello per fare qualcosa: sceglie gli strumenti, li usa e va avanti finché il compito è finito.

Che differenza c'è tra MCP e API?

Un'API è l'interfaccia di un software per i programmatori, diversa per ogni prodotto. MCP è un modo comune di offrire strumenti agli agenti e di solito si appoggia sulle API: Google, per esempio, ha aggiunto MCP alla sua infrastruttura di API esistente.

Quanto costa un agente AI?

Non c'è un prezzo di listino. Le voci di costo sono tre: l'uso del modello, che cresce con il volume; il collegamento ai programmi dell'azienda; il tempo per permessi e controlli. Il collegamento costa meno se i programmi hanno già un server MCP o un'API.

Serve un nuovo client OAuth per collegare un agente a Google Workspace?

Non sempre, ma conviene. Dall'11 novembre 2026 i server MCP di Workspace accettano solo client dichiarati come agentici. Un client esistente usato solo da agenti si può dichiarare agentico entro l'11 novembre; se lo usano anche le persone, Google chiede un client separato per l'agente. Dal 12 novembre l'impostazione non si cambia più, quindi la strada più pulita è un client nuovo. Le app che non sono agenti e usano solo le API di Gmail o Drive non devono fare nulla.