Gravitee ha pubblicato Agent Accountability, un framework aperto per stabilire identità, autorità e supervisione degli agenti AI nelle organizzazioni. Il documento, disponibile come concept paper, definisce cinque principi: Identità, Ruolo, Autorità, Supervisione e Ricorso. Sono il punto di partenza di un processo collaborativo che punta a una versione 1.0 definitiva.
I numeri del contesto sono diretti. Secondo i dati raccolti da Gravitee, oltre 7 milioni di agenti AI operano già all’interno di grandi aziende — più del doppio rispetto a sei mesi fa. Eppure solo l’11% circa delle imprese li gestisce in ambienti di produzione reali. Una ricerca condotta dall’azienda nell’ottobre 2025 mostra che l’82% delle organizzazioni ha già incontrato scenari in cui l’interazione con agenti AI ha causato problemi concreti: esposizione di dati, azioni non autorizzate su sistemi interni. La velocità di adozione e la maturità dei controlli non stanno andando di pari passo.
Il problema non è tecnico nel senso stretto del termine. Gli analisti del settore indicano l’accountability come uno degli ostacoli principali alla diffusione in produzione: a differenza dei dipendenti umani, gli agenti non hanno un’identità verificata, un’autorità formalmente definita né un registro coerente di ciò che hanno fatto o del perché. Sono entità che agiscono, ma senza che nessuno possa rispondere delle loro azioni. Il framework di Gravitee parte esattamente da questa lacuna. I cinque principi replicano il modo in cui le organizzazioni gestiscono i nuovi dipendenti: assegnare un ruolo, definire responsabilità, concedere accessi e mantenere la rendicontabilità. Ogni principio si traduce in controlli specifici e verificabili, così da consentire a un’organizzazione di certificare la conformità per ogni agente attivo.
L’approccio si distingue dai sistemi tradizionali di gestione delle identità, che si concentrano sulle persone che costruiscono o utilizzano i modelli. Qui l’agente AI viene trattato come un’identità distinta, con permessi propri, regole di comportamento definite e tracce di audit. Non un account di servizio generico, ma un attore con ruolo e limite chiari. La piattaforma Gamma di Gravitee integra già Agent Management, API Management, Authorization Management e Identity & Access Management: il framework pubblicato oggi fornisce i principi concettuali su cui costruire i controlli operativi.
Il tema si muove in parallelo anche sul fronte normativo. Singapore ha pubblicato a gennaio 2026 il primo framework completo per gli agenti autonomi, richiedendo che ogni agente porti un’identità digitale verificabile e una traccia di audit. Il NIST ha avviato nello stesso periodo un’iniziativa dedicata agli standard per agenti AI, identificando come lacuna critica l’assenza di identità, autorizzazione e accountability dedicate. L’AI Act europeo, con gli articoli sulla supervisione umana e sulla sicurezza, si applica già agli agenti in domini ad alto rischio. Gravitee si inserisce in questo quadro con uno strumento pensato per i team tecnici, non per i legislatori.
Gravitee sta invitando professionisti, organismi di standardizzazione e team aziendali di sicurezza a contribuire alla definizione dei controlli specifici che porteranno alla versione 1.0. Se il processo funziona, il risultato potrebbe diventare un punto di riferimento condiviso per chi deve rispondere alla domanda più scomoda del momento: quando un agente AI sbaglia, chi ne è responsabile e come lo si dimostra.
