Agent/ica · Area Clienti · Governance dell'AI
Tre passaggi per usare l'AI in azienda senza regalare i dati, senza perdere il controllo e costruendo un sistema di cui ti puoi fidare.
Dove finiscono davvero i tuoi dati — e come proteggerli.
Quando l'AI non risponde ma agisce: chi la autorizza e la traccia.
Come costruire il tuo primo agente, passo per passo.
Sezione 1 · Data Governance
La vera linea di rischio non passa tra «gratis» e «a pagamento» — passa tra piani Consumer e piani Business.
La regola d'oro della Data Governance AI
Se paghi Pro, compri prestazioni.
Se paghi Business, compri protezione.
Tutti i piani consumer addestrano i modelli sulle tue conversazioni per default. Cambia solo quanto te ne accorgi.
«Se è gratis, il prodotto sei tu»
Addestramento attivo di default, nessun avviso. Quando un dipendente usa il Free per lavoro, l'azienda regala i propri dati senza saperlo.
«Pago, quindi sono protetto» — falso
Stesse regole del Free, ma con opt-out. Il vero pericolo è la falsa sicurezza: il toggle è una concessione revocabile, non un contratto.
Protezione strutturale
DPA (Data Processing Agreement: contratto sul trattamento dei dati). Nessun addestramento. Conservazione max 30 giorni. «Normalmente chiuso» per design.
Non «gratis vs a pagamento». Consumer vs Business.
Consumer · Free / Pro / Plus / Max
Toggle revocabile · cronologia indefinita · revisione umana da contractor · ogni utente è un'isola · «normalmente aperto».
Business · Team / Enterprise
DPA (Data Processing Agreement) bilaterale · max 30 giorni · accesso solo per supporto/legge · admin che impone e revoca · «normalmente chiuso».
Opt-out = l'opzione per dire «non usare le mie conversazioni per addestrare il modello». Cinque differenze tra questa concessione e una protezione contrattuale.
L'opt-out è una concessione revocabile. Il DPA Business (Data Processing Agreement, un contratto sul trattamento dei dati) è un obbligo bilaterale.
Free: cronologia indefinita. Business: max 30 giorni. Enterprise: + ZDR (Zero Data Retention: nessuna conservazione).
Consumer: revisione umana da contractor. Business: solo supporto, abusi, legge.
Free: ogni utente è un'isola. Business: admin impone, monitora, revoca.
Free: «normalmente aperto». Business: «normalmente chiuso» per design.
La protezione non deve dipendere dalla memoria del singolo.
Dal 28/09/2025 Anthropic addestra i modelli sulle conversazioni consumer per default — piani Free, Pro e Max. Solo Claude for Work (Team/Enterprise) offre protezione contrattuale. Con il consenso, i dati restano in pipeline fino a 5 anni. Lo stesso vale, con regole diverse, per ChatGPT e Gemini consumer.
La stessa logica vale ovunque: consumer = esposto, business = protetto.
DPA = Data Processing Agreement (contratto sul trattamento dati) · SOC 2 = standard di audit sulla sicurezza dei dati.
RAG (Retrieval-Augmented Generation: generazione potenziata dal recupero): l'AI recupera le risposte dalla tua base dati aziendale, ordinata e governata — non «inventa» e non pesca dai dati pubblici.
L'AI risponde dalla tua base dati governata: niente allucinazioni, niente versioni vecchie. Una fonte unica, aggiornabile e verificabile.
Nel RAG i documenti vengono recuperati al momento della domanda, non assorbiti nell'addestramento. Governance per design: li usi senza regalarli.
È il gate «AI-ready» di HALO: senza dati normalizzati non si costruiscono agenti affidabili. È il primo mattone della tua AI agentica.
Con Claude for Work (piani Team / Enterprise) il RAG si costruisce coi Progetti — senza addestrare i modelli sui tuoi dati.
Il Progetto Claude è lo spazio del RAG: condiviso col team, con permessi per ruolo e dati non usati per l'addestramento.
Documenti, procedure, FAQ nella knowledge base del Progetto. Nomi file chiari, versioni aggiornate: è la «normalizzazione» pratica.
Le project instructions fissano tono, regole e confini: cosa l'AI può usare e come rispondere. È la governance del comportamento.
Ogni domanda recupera dai documenti del Progetto: risposte coerenti e tracciabili, uguali per tutto il team.
Aggiorni i file, gestisci permessi, verifichi gli accessi. Il RAG resta vivo, governato e tuo.
Prima
Durante
Dopo
La via d'uscita · Agent/ica
«AI tua, o AI di altri dentro casa tua.»
Costruirsi la propria AI agentica non è una scelta di innovazione: è una scelta di governance. HALO parte da un gate fondativo — non costruiamo agenti dove mancano dati, governance e processo.
Sezione 2 · Governance dei sistemi agentici
Quando l'AI non si limita a rispondere ma agisce — legge file, esegue programmi, produce documenti — la domanda da farsi cambia.
Nei sistemi agentici (un'AI che non solo risponde, ma agisce: legge file, esegue programmi, usa strumenti, scrive documenti) il rischio cambia. Il problema è che l'AI può agire anche quando dovrebbe fermarsi.
La vecchia domanda
Bastava valutare il risultato finale.
La domanda corretta oggi
Conta come è stato prodotto, non solo cosa.
Un agente può produrre un Excel, un PDF o un report impeccabile. Ma se l'ha fatto fuori dalla pipeline autorizzata (il percorso ufficiale e controllato) — senza identità, senza tracciamento, senza registro delle prove — non è «agent-led» (guidato da un sistema di agenti governato). È solo l'output di un assistente.
La governance inizia quando smettiamo di chiamare «agente» qualsiasi cosa. Quattro oggetti diversi:
Un pacchetto di istruzioni e risorse che orienta il comportamento dell'AI. Dice «come» fare una cosa.
orientaUn lavoratore specializzato, con proprio contesto, istruzioni e strumenti. Fa un compito preciso.
esegue un compitoUn esecutore identificabile, con responsabilità e strumenti autorizzati. Si sa chi ha fatto cosa.
è responsabileUno sciame orchestrato di agenti con regole, instradamento, prove e controllo. Il sistema completo.
governaUn grande prompt non è un sistema agentico. Il promptone (un unico, enorme prompt) simula una catena di agenti dentro un solo contesto: sembra ordinato, ma resta un solo esecutore che fa tutto.
Il promptone
Legge, decide, scrive, corregge, valida, consegna. Mancano la separazione dei ruoli, le prove indipendenti, la responsabilità tracciabile.
Il sistema governato
Ogni agente ha un compito, le prove sono indipendenti, il controllo è tecnico. Un promptone può produrre. Non può governare.
Senza run_id (il codice univoco che identifica e traccia ogni singola esecuzione), nessun processo ufficiale. In un sistema governato la prova arriva prima dell'azione, non alla fine.
Se manca un run_id valido nel registro delle prove, il sistema non apre il processo, non esegue codice, non genera file.
È la «ricevuta di esistenza» della run (l'esecuzione svolta dall'AI). Senza, non abbiamo una run agentica: abbiamo solo una sessione di chat. Risponde a sei domande essenziali:
Chi ha lanciato la richiesta.
Quale funzione autorizzata è stata invocata.
Quale agente o team ha eseguito.
Quali tool (strumenti) erano autorizzati.
Quali documenti sono stati prodotti.
In quale registro è tracciato tutto.
Dire «non era agent-led» dopo aver prodotto il report non basta.
Trasparenza postuma
«Ho prodotto il report, ma non era governato.» Onesto — ma il danno è già fatto.
Governance
Il sistema blocca prima. La governance non è una nota a piè di pagina: è un gate (un cancello che apre solo se le condizioni sono rispettate).
Fail-closed = in caso di dubbio, il sistema si chiude e si ferma, non procede comunque. Il processo parte solo se ci sono tutte le condizioni minime:
Una Skill può dire cosa fare. Un hook (gancio tecnico che intercetta un'azione) può impedire cosa non fare. Enforcement = applicazione forzata delle regole.
Aiuta l'AI a scegliere il processo giusto. Ma da sola non impedisce il bypass (l'aggiramento).
Gancio tecnico sul prompt, sui comandi e prima di usare gli strumenti: ferma ciò che non è autorizzato.
CI (controlli automatici prima della pubblicazione): evita che un output non governato diventi ufficiale.
Il pattern pericoloso, passo per passo. L'AI riconosce il processo, ma procede fuori pipeline.
E la Skill corretta si attiva.
Sa quale percorso ufficiale dovrebbe seguire.
Mancano le condizioni minime per partire.
Usa Python, file locali o un percorso alternativo, e produce output simili a quelli ufficiali.
Troppo tardi. Questo è il bypass da bloccare prima.
Non vogliamo che l'AI capisca meglio. Vogliamo che possa agire solo quando è autorizzata. La maturità si misura dalla capacità del sistema di dire NO.
Non un agente: un sistema di governo degli agenti, lo strato che sta sopra e decide chi può agire e con quali prove. (Hub for Agent-Led Operations = centro per operazioni guidate da agenti governati.)
La porta d'ingresso: ogni richiesta passa di qui.
L'elenco delle funzioni ammesse e autorizzate.
Coordina e instrada gli agenti sui processi.
Gli esecutori abilitati, con compiti definiti.
Il registro delle prove di ogni esecuzione.
Il codice univoco che traccia ogni run.
La provenienza tracciabile di ogni file prodotto.
Il cancello che ferma ciò che non è in regola.
Il passaggio da fiducia a controllo.
Prompt-driven · guidato dal prompt
Scrivi una richiesta → l'AI interpreta → produce → e poi spiega cosa ha fatto.
Evidence-driven · guidato dalle prove
Il sistema intercetta → verifica runtime e capability → crea il run_id → registra l'evidenza → solo dopo autorizza l'output.
Ogni richiesta agentica segue una sequenza obbligatoria. Se la catena si rompe, l'output non è ufficiale.
L'AI agentica non si governa con le buone intenzioni. Servono tre livelli:
Cosa è ammesso e cosa è vietato. Senza gate, restano promemoria.
Cosa viene tecnicamente bloccato. Senza prove, sono solo dichiarazioni.
Cosa dimostra che il processo è avvenuto correttamente. È la base di tutto.
Senza governance, l'AI agentica diventa automazione opaca.
Il rischio si è spostato. È cambiata la domanda da farsi alla fine.
AI generativa
«Il report è venuto bene?»
AI agentica
«È stato prodotto da una run autorizzata, tracciata e verificabile?» Solo allora è agent-led.
Il principio HALO · Agent/ica
La vera AI agentica non è quella che fa di più. È quella che fa solo ciò che è autorizzata a fare.
Costruire la propria AI agentica significa costruire un sistema che decide chi può agire, quando, con quali strumenti, su quali dati, con quali prove e con quali limiti.
Sezione 3 · Dalla teoria alla pratica
Un sistema agentico non nasce quando «l'AI fa una cosa complessa». Nasce quando un processo diventa una catena controllata: richiesta → processo → Skill → agente → strumenti → prova → output.
Non si parte dicendo «creiamo tanti agenti». Si parte dalla domanda: qual è il processo minimo che vogliamo rendere ripetibile, verificabile e governato?
Prima il processo. Poi gli agenti — mai il contrario.
Piccolo, gestibile da uno o due agenti, con un inizio chiaro, una fine chiara e pochi output.
Buoni per partire
Da evitare all'inizio
Scrivi il processo in linguaggio umano. La parte più importante è definire quando fermarsi: un buon processo agentico non è quello che fa sempre qualcosa, è quello che sa fermarsi quando mancano le condizioni.
Qual è l'input e chi lo fornisce.
Cosa va verificato prima di partire.
Quali sono obbligatori e quali facoltativi.
Quali vanno prodotti e quali sono vietati.
Quando il processo deve fermarsi.
Cosa dimostra che è stato eseguito bene.
Cowork (l'ambiente di progettazione) e Claude Code (l'ambiente che scrive il codice) hanno due mestieri diversi. Non vanno confusi.
Cowork · progetta
Definisce il processo, scrive il «charter» (documento che fissa scopo e regole), prepara i criteri di accettazione e l'handoff (passaggio di consegne) per Claude Code. Non costruisce il sistema.
Claude Code · implementa
Crea i file, gli script, gli hook e i permessi, esegue i test e mostra le prove: comandi, differenze, esiti. Non dichiara «funziona» solo perché ha prodotto un output.
Una Skill (pacchetto di istruzioni che dice all'AI «come» comportarsi) non è generica: descrive un processo preciso, e dice anche cosa fare quando il processo non è applicabile.
Quali input accetta e quali rifiuta, quali domande fare prima di partire.
Quali output sono ammessi e quali vietati. Niente «se non trovi, inventa».
Se non è un CV, non forzare il processo CV. Se manca un dato o il run_id, stop.
Ma il NO della Skill, da solo, non basta: serve un blocco tecnico.
Non è valido solo perché qualcuno lo scrive: è valido se esiste davvero nel Runtime Evidence Log (il registro delle esecuzioni). Il sistema deve controllare:
Solo se tutte sono vere, l'agente può procedere.
Le Skill guidano, gli hook bloccano. Un hook è un «gancio» tecnico che intercetta un'azione e la ferma se non è in regola. Senza, l'AI può aggirare le regole.
Intercetta le richieste agentiche prima che l'AI inizi.
UserPromptSubmitBlocca codice e scrittura file se manca il run_id.
PreToolUseImpedisce l'esito incoerente «ho prodotto l'output, ma non era governato».
StopIntercetta le scorciatoie e le attivazioni dirette delle Skill.
UserPromptExpansionDeve essere noioso, controllato e prevedibile — non creativo. La creatività viene dopo. Esempio: un «Agente CV».
Se l'input non è un CV, si ferma.
Solo i campi previsti, nello schema definito.
Ogni passaggio finisce nel registro delle prove.
Strumenti limitati: lettura e ricerca, scrittura solo su cartella autorizzata, nessun comando libero all'inizio.
Le fixture sono casi di test predefiniti. La regola: prima si testa il fallimento, poi il successo. Se il sistema non sa bloccare, non è pronto — sai solo che funziona quando tutto va bene.
Creare subito Agente-CV, Agente-Report, Agente-Matching… porta a frammentazione. Meglio costruire ruoli riusabili che ogni processo può richiamare.
Collezione di bot
Dieci agenti diversi che replicano a mano il lavoro umano. Tanti pezzi, nessuna architettura.
Architettura
Classificatore d'input, estrattore dati, controllo qualità, costruttore di output, registro prove, instradatore. Lo stesso ruolo serve CV, report e assessment.
Dal processo all'output canonico (ufficiale, valido). Un secondo agente si pensa solo alla fine.
Gli errori che fanno fallire un primo sistema agentico.
Un primo agente non è «un Claude più bravo»: è un processo trasformato in un esecutore controllato. Il valore non è che produca un output, ma che l'output sia autorizzato, ripetibile, verificabile, tracciato e non aggirabile.