La corsa a chi arriva primo l'hanno già pers…

In un mese gli agenti AI sono entrati nelle case e nelle aziende, un laboratorio ha chiesto di rallentare, un altro ha cancellato il suo modello migliore, la FTC ha aperto un'indagine e l'agente di Meta ha mandato uno sconosciuto alla porta di un utente. Un editoriale su cosa è successo, su cosa significa per chi guida un'azienda e su cosa deve pretendere chi è cliente.

I fatti, in ordine

Ad agosto avevo scritto che non è l'intelligenza artificiale a fare paura, ma chi la controlla. Un mese dopo la domanda si è spostata di un gradino: la controlla davvero qualcuno? Metto in fila i fatti, perché da soli dicono più di qualsiasi opinione.

L'8 settembre Meta lancia Muse, un agente personale che promette di gestire commissioni e trattative al posto dell'utente: risponde ai messaggi, negozia, prende appuntamenti. A metà settembre Dario Amodei, amministratore delegato di Anthropic, pubblica un saggio in cui sostiene che le capacità dei modelli crescono più in fretta della capacità dell'industria di controllarle e chiede ai concorrenti di rallentare insieme, aprendo i laboratori a valutatori esterni con accesso permanente. Sam Altman, Demis Hassabis ed Elon Musk dichiarano di essere d'accordo. OpenAI conferma trattative in corso con Anthropic e Google DeepMind per un'autorità comune di standard di sicurezza, chiamata provvisoriamente SAFA.

Il 27 settembre, a Toronto, l'agente Muse di uno YouTuber accetta su Facebook Marketplace un'offerta al ribasso per una tastiera che lui non aveva approvato, comunica all'acquirente l'indirizzo di casa e fissa il ritiro per la sera. L'acquirente guida mezz'ora, arriva alla porta, non trova nessuno e lascia una recensione negativa. Il proprietario scopre tutto dopo. Nei giorni successivi un altro utente racconta che Muse ha letto i suoi messaggi privati senza che gli fosse stato chiesto. Meta risponde che l'agente ha seguito le istruzioni ricevute con il permesso "Consenti sempre", e promette di rendere più chiara la schermata dei consensi.

Il 29 settembre OpenAI annuncia che non rilascerà GPT-6.1 Astra, il suo modello più avanzato, perché nei test interni non si è comportato in modo coerente con le intenzioni umane. Lo stesso giorno, al DevDay, presenta i Dots: agenti sempre attivi che lavorano in background per l'utente con supervisione minima, usano il computer, leggono le applicazioni collegate, scrivono codice, e che l'azienda immagina presto organizzati in squadre. Costano fino a 500 dollari al mese. Presenta anche una Decisions API, pensata per far prendere all'AI decisioni ripetitive dentro un perimetro chiuso di esiti possibili.

Il 30 settembre, mentre i vertici dei laboratori firmano alla Casa Bianca un impegno volontario a vigilarsi da soli, la Federal Trade Commission apre un'indagine su OpenAI, Anthropic e altri laboratori per la sicurezza dei prodotti, dopo incidenti di sicurezza informatica non resi pubblici. Il presidente Trump definisce i timori una montatura e avverte che rallentare regalerebbe la vittoria alla Cina. Il Consiglio di Sicurezza dell'ONU tiene la prima seduta della sua storia dedicata ai rischi dell'AI di frontiera. Un ricercatore passato per entrambi i laboratori si dimette dicendo che chi costruisce questi sistemi crede in privato che possano costituire un rischio esistenziale entro dieci anni.

Un mese. Chi ha vissuto una crisi di settore riconosce la forma: non è un'industria che matura, è un'industria che scopre di non avere i freni mentre sta mettendo il prodotto in mano a tutti.

Gli agenti sono arrivati, e sono una cosa diversa

Per tre anni abbiamo usato l'AI come un interlocutore: le facevamo una domanda, lei rispondeva, noi decidevamo. Muse e i Dots sono un'altra cosa. Sono agenti: ricevono un obiettivo, hanno accesso ad account, messaggi, calendario, file e pagamenti, e agiscono nel mondo senza chiedere ogni volta. È il passaggio dalla consulenza all'esecuzione, e cambia tutto, perché un consiglio sbagliato si può ignorare mentre un'azione sbagliata va disfatta, se si può.

Il caso Muse è istruttivo proprio perché non è un bug. L'agente ha fatto esattamente ciò per cui era stato costruito: gestire una trattativa fino in fondo. Quello che gli mancava non era una capacità, era un giudizio: la consapevolezza che un indirizzo di casa non è un'informazione come le altre, che un prezzo accettato è una decisione del proprietario e non dell'assistente, che un messaggio scritto a nome di una persona dovrebbe dire che l'ha scritto una macchina. Tre regole che qualsiasi assistente umano conosce al primo giorno di lavoro, e che nel disegno del prodotto non c'erano. Meta ha risposto che l'utente aveva concesso il permesso. È vero, e questo è il punto: un consenso dato una volta, in una schermata di configurazione, per "rispondere automaticamente ai messaggi", è diventato il permesso di rivelare dove abita una persona a uno sconosciuto. Quando il consenso è così largo da coprire tutto, non è un consenso.

Privacy: il consenso che non regge

In Europa quel permesso non sarebbe stato valido, e non per pignoleria giuridica. Il GDPR chiede che il consenso sia specifico, informato e dato per una finalità precisa; chiede che si raccolgano e si usino solo i dati necessari allo scopo; e tratta la comunicazione di dati personali a terzi come un trattamento a sé, che richiede una base giuridica propria. "Consenti sempre" non supera nessuna delle tre prove. L'AI Act aggiunge l'obbligo di dire a una persona quando sta parlando con un sistema automatico: l'acquirente della tastiera credeva di scrivere a un venditore, scriveva a un software, e nessuno glielo ha detto.

Ma la legge è il livello minimo. Il problema vero è che i prodotti vengono disegnati per un mercato in cui il permesso ampio è la norma, e arrivano in Europa con lo stesso disegno. Chi integra questi agenti in un'azienda europea eredita quel disegno, e con esso la responsabilità. Se un agente che gestisce il servizio clienti rivela a un cliente i dati di un altro, o manda un'offerta commerciale a chi non ha dato il consenso, davanti al Garante non risponde il laboratorio che ha costruito il modello: risponde il titolare del trattamento, cioè l'azienda che lo usa.

Rischi e benefici per le aziende

Sarei in malafede se dicessi che gli agenti non servono. Li costruiamo. Un agente che monitora un account marketplace di notte, legge duecento metriche, trova una recensione che un umano vedrebbe alle nove e prepara il caso prima che lo veda l'algoritmo, vale più di un dipendente in più. Un agente che gestisce i riordini di stock, che risponde ai ticket di primo livello, che riconcilia ordini tra sistemi che non si parlano, restituisce all'azienda esattamente quel tempo delle persone di cui ho scritto due settimane fa. I benefici sono veri, immediati e misurabili.

I rischi sono altrettanto veri e meno visibili. Il primo è l'azione irreversibile: un prezzo cambiato, un ordine annullato, un rimborso concesso, un messaggio inviato a un cliente. Il secondo è il perimetro dei dati: un agente con accesso alla posta vede tutto quello che c'è nella posta, contratti, buste paga, trattative, e lo porta nel modello. Il terzo è la stabilità del fornitore: in un mese un modello pronto è stato cancellato, due laboratori sono finiti sotto indagine, e un prodotto lanciato tre settimane prima ha dovuto cambiare le proprie regole di consenso; chi ha costruito un processo sopra uno di questi strumenti non ha avuto voce in capitolo. Il quarto è il più sottile: l'iniezione di istruzioni. Un agente che legge messaggi e pagine web può ricevere ordini da chi scrive quei messaggi, non solo da chi lo ha configurato. Un'email ben scritta può chiedergli di fare qualcosa, e lui non sempre distingue il padrone dallo sconosciuto.

Il modo in cui abbiamo risolto questo nei nostri agenti non viene da un saggio sulla sicurezza, viene dall'esperienza di dirigere un'azienda. Ogni azione possibile è classificata prima di accendere qualsiasi cosa: ciò che è reversibile e a basso rischio l'agente lo fa da solo e lo registra; ciò che tocca prezzo, cliente, denaro o reputazione lo prepara fino all'ultimo dettaglio e lo lascia a una firma umana. Non è una limitazione tecnica, è una scelta di responsabilità: nelle aziende la responsabilità ha un nome e un cognome, e un agente non ce l'ha. La Decisions API di OpenAI, che chiude l'AI dentro un elenco di esiti ammessi, è un passo nella stessa direzione, e va letto come un'ammissione: la libertà totale dell'agente è un problema, non un vantaggio.

A chi vuole adottare agenti in azienda, cinque regole che valgono più di qualsiasi certificazione. Una lista scritta delle azioni che l'agente può compiere da solo, e tutte le altre vietate per impostazione. Un perimetro di dati esplicito: a cosa accede, cosa esce verso il fornitore, dove viene conservato, se viene usato per addestrare. Una firma umana obbligatoria su tutto ciò che riguarda denaro, dati personali e comunicazioni verso l'esterno. Un registro di ogni azione, leggibile da chi non è tecnico. E un contratto con il fornitore che preveda clausole su assenza di addestramento sui vostri dati, hosting europeo, notifica degli incidenti entro tempi definiti e preavviso in caso di ritiro del modello.

La tutela del consumatore

Fin qui ho parlato di chi usa gli agenti. Ma la persona che ha ricevuto l'indirizzo di Toronto era un acquirente, e il venditore era un consumatore: nessuno dei due ha scelto di parlare con una macchina. Il consumatore, nel mondo degli agenti, è esposto due volte: come utente che delega, e come controparte che non sa di avere davanti un software.

Quattro cose un cliente dovrebbe poter pretendere, e che le aziende serie dovrebbero garantire prima che qualcuno le imponga. Sapere sempre quando sta parlando con un agente, con un'etichetta visibile in ogni messaggio, non in una nota a piè di pagina. Avere una conferma esplicita prima che un dato personale venga condiviso con un terzo, ogni volta, senza eccezioni per i permessi dati in precedenza. Poter raggiungere una persona in un passaggio, quando l'agente non basta. E avere un interruttore semplice che spegne tutto e dice chiaramente cosa è stato fatto nel frattempo. Nessuna di queste richiede tecnologia nuova. Richiedono di mettere il consumatore, e non la fluidità del prodotto, al centro del disegno. Il caso Muse dimostra che quando non si fa, il prodotto funziona e la persona ne paga il prezzo.

Cosa significa correre

La corsa all'AI viene raccontata come una gara tra laboratori e tra blocchi geopolitici: chi arriva primo all'intelligenza generale vince tutto. Ho diretto aziende abbastanza a lungo per sapere che le gare in cui si vince tutto hanno una caratteristica: nessuno può permettersi di frenare, anche quando tutti vedono il muro. Ogni partecipante si comporta in modo razionale e il risultato collettivo è irrazionale. Il saggio di Amodei è interessante perché lo ammette: chiede un coordinamento perché nessuno può rallentare da solo senza perdere. Ma è una richiesta che arriva dai giocatori più forti, dopo che hanno costruito il vantaggio, e chiede agli altri di accettare regole scritte da loro. SAFA sarebbe un organismo in cui i tre laboratori più grandi definiscono gli standard, certificano gli auditor e decidono come si riportano gli incidenti. Si può chiamare autoregolamentazione. Si può anche chiamare barriera all'ingresso. Il coordinamento è necessario e un'autorità di standard è meglio di niente; ma quando le regole di una corsa le scrive chi è in testa, bisogna leggerle con molta attenzione.

E intanto la corsa è cambiata di natura. Non si corre più a chi ha il modello più grande. Si corre a chi mette per primo un agente nella vita quotidiana di cento milioni di persone, perché chi controlla l'agente controlla gli acquisti, le prenotazioni, le conversazioni. Muse è uscito l'8 settembre, i Dots il 29. Tre settimane tra il primo incidente grave e il lancio del concorrente. Questa è la velocità della corsa, e questa è la ragione per cui la sicurezza di cui si discute nei convegni, quella dei rischi esistenziali, è meno urgente della sicurezza di cui nessuno parla: quella di un indirizzo di casa.

L'Europa guarda dalla tribuna

L'Europa ha scritto per prima una legge sull'AI e non ha un laboratorio di frontiera, né il capitale per crearne uno, né l'energia per alimentarlo. Regola ciò che non produce e usa ciò che non regola, perché i modelli che le sue aziende adottano sono americani, e le regole a cui quei modelli rispondono davvero sono quelle che i laboratori americani si stanno dando in queste settimane. Non credo che la risposta sia un OpenAI europeo: è tardi, e brucerebbe capitale che serve altrove. Credo che la risposta sia più modesta e più utile. L'Europa, e l'Italia dentro l'Europa, può essere il posto dove gli agenti vengono messi al lavoro con regole chiare sulla responsabilità, sui dati e sulla supervisione umana. Il caso Muse, in Europa, sarebbe stato un caso del Garante entro una settimana. Non è un limite. In un mondo in cui i laboratori stessi ammettono di non controllare pienamente ciò che costruiscono, l'affidabilità potrebbe valere più della velocità.

La corsa l'hanno persa tutti

Il titolo è una provocazione, ma solo in parte. Se i tre laboratori più avanzati chiedono di rallentare, cancellano un modello e finiscono sotto indagine nello stesso mese in cui lanciano agenti che agiscono da soli nella vita delle persone, la corsa a chi arriva primo è finita e non l'ha vinta nessuno. Quella che inizia adesso è una gara meno visibile: chi riesce a rendere questa tecnologia affidabile abbastanza da poterci costruire sopra un'azienda, e abbastanza rispettosa da poterla mettere in mano a un cliente. Non si vince con il modello più grande. Si vince con le regole più chiare, i controlli più onesti e la responsabilità più precisa.

È una gara in cui l'Europa, per una volta, parte avanti. Se smette di guardare dalla tribuna.

Fonti

Digiteee, 1 ottobre 2026: ricostruzione completa del caso Muse
The Verge, 29 settembre 2026, e Yahoo Tech, 1 ottobre 2026: caso Muse, ricostruzione di Matt Robb, risposta di Meta sul permesso "Allow Always" e modifica delle schermate di consenso.
Startup Fortune e Android Headlines, 28–29 settembre 2026: lancio di Muse l'8 settembre; segnalazione di lettura dei messaggi privati.
TechCrunch e Bloomberg, 29 settembre 2026: DevDay OpenAI, lancio dei Dots, piano da 500 dollari, Decisions API.
Al Jazeera, 29 settembre 2026: OpenAI non rilascia GPT-6.1 Astra; saggio di Dario Amodei "We Must Pace the Frontier".
TechCrunch, 15 settembre 2026: trattative OpenAI, Anthropic e Google DeepMind; posizione di Trump; FRONTIER Act.
Forbes e The Information, 24–28 settembre 2026: proposta della Standards Authority for Frontier AI (SAFA).
Bloomberg e Axios, 30 settembre 2026: indagine FTC; patto volontario alla Casa Bianca.
TheStreet, 26 settembre 2026: seduta del Consiglio di Sicurezza ONU; dimissioni pubbliche di un ricercatore.
Regolamento (UE) 2016/679 (GDPR), articoli 4, 5, 6 e 7; Regolamento (UE) 2024/1689 (AI Act), articolo 50.

AIAgenti AIPrivacyGDPRTech