> ## Content Index
> Fetch the complete content index at: https://www.cyberverso.net/llms.txt
> Use this file to discover other available public pages before exploring further.

# Chi risponde per l’agente
- URL: https://www.cyberverso.net/it/chi-risponde-per-l-agente/
- Published: 2026-09-06T16:31:00.000Z
- Updated: 2026-09-17T17:47:30.000Z
- Description: Un assistente può comprare per te e mostrare le prove di ciò che gli hai permesso. Quando l’azione passa di mano, chi conserva i limiti che hai dato, e quanto ti costa farli valere?
- Author: Paolo De Rosa
- Tags: ai, Identità digitale, Governance, #it, #tx-agent-answers, #Import 2026-09-17 18:04

Un assistente può comprare per te, chiamare altri servizi e mostrare le prove di ciò che gli hai permesso. Quando l’azione passa di mano, chi conserva i limiti che hai dato, e quanto ti costa farli valere? Standard, circuiti di pagamento e wallet costruiscono la risposta da posizioni diverse, e con risorse diverse.

## Il wiki, agire prima di rendere conto

Al culmine cancellava cento pagine al giorno. Gli agenti ne creavano quattrocento. Per il moderatore di DSEWiki, un vecchio wiki in lingua tedesca dedicato allo sviluppo software, l’intelligenza artificiale ha significato settimane di pulizia.

Il 4 settembre 2026 quattro ricercatori hanno pubblicato la ricostruzione di circa 18.000 post prodotti da agenti che si presentavano come sistemi OpenAI, in gran parte su quel sito. I nomi che si erano dati non bastavano a identificarli. Per capire da dove venissero, gli autori hanno incrociato indirizzi di rete, contenuti e altri indizi, concludendo che si trattava di attività interna alla società. Nel frattempo gli agenti avevano imparato a firmarsi con il nome di un amministratore, sostituendo una lettera latina con una cirillica.[\[1\]](#fn1)

L’attività si è fermata in giugno, con qualche residuo a luglio. OpenAI ha riconosciuto il caso il 5 settembre, il giorno dopo la pubblicazione, annunciando che lavora a un quadro per la comunicazione degli incidenti.[\[2\]](#fn2) È una risposta giusta a una parte del problema: un incidente che si scopre dall’esterno chiede una procedura. Al moderatore, a giugno, sarebbero servite altre due cose che una procedura di comunicazione non dà: un canale per far cessare l’attività e qualcuno che si facesse carico del ripristino.

La vicenda mostra quanto lavoro serva per attribuire un’azione già compiuta, e su chi ricade. Un’organizzazione ha moltiplicato la propria capacità di agire; persone estranee a quell’organizzazione hanno assorbito il lavoro necessario a gestirne gli effetti.

Un registro o un wallet non avrebbero necessariamente cambiato il corso di questo caso. Il caso pone però una domanda che vale anche per gli impieghi autorizzati, quelli per cui gli agenti vengono venduti: quando un software agisce nel mondo, quali prove accompagnano la sua azione, chi può usarle per chiederne conto, e quanto gli costa? È la domanda del moderatore, in altra forma: dove si realizza il risparmio dell’automazione, dove ricompare il lavoro, chi lo paga.

## Le sei domande dentro un’identità

Prendiamo un’impresa che incarica un assistente di comprare materiali entro un tetto di 1.000 euro al mese. Per completare l’ordine l’assistente si appoggia a un servizio esterno. Può essere uno strumento che inoltra la richiesta, un altro agente che decide come eseguirla, o un fornitore che assume un impegno contrattuale in proprio. Chiamare tutto «subdelega» cancella le differenze rilevanti.

Due ordini da 600 euro sono entrambi inferiori a 1.000 euro, e insieme superano il budget. Dopo il primo restano 400 euro. Qualcuno deve conoscere quel residuo prima di approvare il secondo, anche se le due richieste arrivano nello stesso istante. E se l’impresa ritira l’incarico, qualcuno deve far arrivare la revoca ai servizi che stanno ancora lavorando.

![La catena della delega: mandato da 1.000 euro, due ordini da 600, residuo di 400 e revoca](https://storage.ghost.io/c/df/67/df67311e-998a-4b4b-a718-6ad7e28a0af7/content/images/2026/09/fig1-catena-it.png)

Dentro questa operazione ci sono sei verifiche: quale sistema sta chiamando; per conto di chi; per quale azione; entro quali limiti ancora validi; su quale base accede ai sistemi della controparte, e quali limiti questa può opporre; con quali conseguenze e rimedi se qualcosa va storto.

Identità del software, autorizzazione informatica e potere di rappresentanza rispondono a domande diverse. Una prova digitale documenta istruzioni, consenso raccolto e operazioni. La responsabilità per un danno richiede anche obblighi, causalità e ripartizione dei rischi, e questi orientano contratti, investimenti e comportamenti molto prima che qualcuno faccia causa. Chiedere a un token di contenerli tutti è chiedergli di sostituire il diritto.

C’è poi una domanda che le sei non coprono: nell’interesse di chi l’agente ha scelto? Un acquisto perfettamente autorizzato può favorire chi paga il fornitore dell’assistente. È il problema della lealtà, e non è il problema di questo articolo.

In [Chi controlla l’interfaccia](https://www.cyberverso.net/it/chi-controlla-linterfaccia/) avevo descritto il potere di mediazione che risale verso l’assistente. Qui prende una forma precisa: decidere quali prove accettare, quali servizi integrare, quanto rendere facile una contestazione. La mia tesi è che questa distribuzione è la posta in gioco. Che le prove conservino i limiti quando l’azione passa di mano, corrispondano ai poteri del delegante e vengano accettate da chi le riceve dipende da decisioni prese in sedi diverse, dove però siedono spesso gli stessi attori. Il vantaggio ce l’ha chi possiede già l’infrastruttura dentro cui l’integrazione sembra semplice, e chi decide quanto costa uscirne.

## Autorizzare un salto, controllare una catena

![undefined](https://images.unsplash.com/photo-1773517459319-ae1dd572c974?crop=entropy&cs=tinysrgb&fit=max&fm=jpg&ixid=M3wxMTc3M3wwfDF8c2VhcmNofDExfHxhdXRob3JpemV8ZW58MHx8fHwxNzg5NjYyMDI0fDA&ixlib=rb-4.1.0&q=80&w=2000)  
Photo by [Dave Meckler](https://unsplash.com/@phosphorvs) / [Unsplash](https://unsplash.com/?utm%5Fsource=ghost&utm%5Fmedium=referral&utm%5Fcampaign=api-credit)

I protocolli hanno fatto una parte consistente del lavoro. Strumenti e agenti comunicano, i servizi verificano richieste autorizzate. OAuth disciplina esattamente l’autorizzazione: ridurlo alla domanda «chi sei?» è un errore comune e comodo. Una sua estensione, la RFC 9396, permette richieste dettagliate, con esempi che comprendono importo e beneficiario di un pagamento.[\[3\]](#fn3)

Un’altra specifica, la RFC 8693, distingue il soggetto rappresentato dall’attore che opera, e consente di scambiare un token con uno che ha permessi più ristretti. La catena è rappresentata. Che ogni anello mantenga i limiti ricevuti, o venga a sapere di una revoca, non è garantito dalla sola specifica: dipende anche dalle decisioni di chi emette e di chi accetta quei token.[\[4\]](#fn4)

Il nostro tetto mensile rende concreto il confine. Scrivere «1.000 euro» in un’autorizzazione obbliga a dire cosa significa: per ordine, per mese, per mandato, presso quali destinatari. Applicarlo obbliga a tenere un conto aggiornato. Due servizi possono leggere la stessa cifra e comportarsi in modo diverso, se non condividono il significato del vincolo e il modo di verificarlo.

Una discussione sulla lista OAuth ha reso visibile questo confine. Nel febbraio 2026 un ricercatore ha chiesto al gruppo di verificare una possibile debolezza: combinare token validi di soggetto e attore, presi però da contesti diversi, per ottenere uno scambio che nessuno aveva autorizzato. La coautrice di un draft sugli agenti ha confermato la diagnosi come lacuna già in lavorazione; un architetto di AWS ha separato ciò che uno standard può imporre dalle politiche che ogni authorization server decide da sé. È un dibattito pubblico, non una vulnerabilità accertata, e il draft indicato come sede della soluzione è rimasto individuale ed è scaduto.[\[5\]](#fn5) Leggere quella lista è gratis. Incidere sul suo esito richiede personale, competenze e continuità: un costo che favorisce chi può finanziare una partecipazione stabile.

La questione che il thread lascia aperta è quali garanzie debbano essere comuni quando le deleghe si compongono, e quali restino affidate a ciascun sistema. Un nome nello standard e una firma valida non dicono che due organizzazioni abbiano scelto la stessa politica, e quella politica dipende da decisioni organizzative e incentivi che la conformità alla specifica non fissa.

Nei pagamenti alcune specifiche affrontano proprio questi controlli. Ed è lì che il rapporto fra chi autorizza, chi tiene il conto e chi accetta la prova smette di essere teoria.

## Il commercio elettronico: accesso, aggregazione, prove

L’accesso è già arrivato in tribunale. Nel novembre 2025 Amazon ha citato Perplexity per l’assistente del browser Comet, che poteva operare negli account dei clienti. Il 9 marzo 2026 il tribunale federale di primo grado in California ha concesso un’ingiunzione preliminare: il permesso degli utenti non sostituiva l’autorizzazione di Amazon.[\[6\]](#fn6)

Il 4 agosto la Corte d’appello federale del Nono Circuito, il grado superiore per la California e gli altri Stati dell’Ovest, l’ha annullata. Nell’architettura esaminata è il browser dell’utente a parlare con Amazon; Perplexity riceve screenshot e restituisce istruzioni. Ai fini della disposizione del Computer Fraud and Abuse Act discussa dalla Corte, l’assistente è uno strumento, e l’accesso è dell’utente. Sul fascicolo cautelare, Amazon difficilmente avrebbe dimostrato un accesso di Perplexity rilevante per quella legge. La Corte si ferma a quel requisito, lasciando impregiudicato il resto.[\[7\]](#fn7)

La decisione non dà agli agenti un diritto generale di entrare nei servizi. Dice una cosa più interessante: la qualificazione giuridica di un accesso dipende da come l’intermediario opera, fin nel dettaglio di chi acquisisce la schermata. Il mandato dell’utente e i limiti opponibili dalla controparte restano due questioni. Nel wiki si ricostruiva una provenienza; qui si decide come leggere un accesso. In entrambi i casi, conoscere il nome del software non sarebbe bastato.

Intanto le reti di pagamento costruiscono percorsi in cui il nome, invece, serve. Il Trusted Agent Protocol di Visa, annunciato nell’ottobre 2025 con Cloudflare, accompagna ogni richiesta dell’agente con firme temporanee, legate al destinatario e al percorso, con controlli contro il riuso. Il commerciante verifica la chiave attraverso una directory operata da Visa, e la documentazione parla di agenti «approvati da Visa».[\[8\]](#fn8) Qui la parola registro smette di essere una metafora. La directory è concreta ed è limitata all’ecosistema di chi la gestisce, non è il registro di tutti gli agenti. Per il fornitore di materiali dell’esempio, una firma verificabile può essere un incentivo comprensibile rispetto a uno user-agent che si spaccia per Chrome.

Per il costruttore dell’assistente, essere riconosciuto vuol dire entrare nel mercato. Il potere commerciale nasce esattamente qui: nelle condizioni di ammissione e nel costo di lavorare fuori da un percorso già integrato.

Visa Intelligent Commerce Connect, annunciato l’8 aprile 2026 e allora in pilot, offre una singola integrazione nella propria piattaforma di accettazione per pagamenti avviati da quattro protocolli con funzioni diverse. Mastercard, con Agent Pay, aveva annunciato nell’aprile 2025 agenti registrati e token dedicati. La promessa comune è la stessa: infilare le nuove operazioni nelle infrastrutture che commercianti e banche usano già.[\[9\]](#fn9)

È una promessa credibile perché Visa e Mastercard non arrivano in questo mercato: ci sono già, con rapporti commerciali, procedure di contestazione e infrastrutture che banche e commercianti hanno già pagato. Riutilizzare un’integrazione può ridurre il lavoro iniziale. La dipendenza va misurata altrove: nei contratti, nelle modifiche necessarie per cambiare fornitore, e nella possibilità di continuare ad accedere alle prove delle operazioni precedenti dopo averlo lasciato. Accettare più protocolli può semplificare l’ingresso in un servizio senza rendere altrettanto semplice abbandonarlo. La domanda politica è chi può rendere conveniente l’ingresso nel proprio sistema, e quanto costa uscirne.[\[10\]](#fn10)

Il terzo passaggio è la prova dell’intenzione. Il protocollo AP2 descrive mandati con vincoli, legati alla chiave dell’agente e completati poi con i dati dell’operazione. Prevede due modelli di fiducia. Nel primo l’utente approva attraverso un sistema che firma con la chiave della sua credenziale. Nel secondo è il fornitore dell’assistente a raccogliere il consenso e a firmare con la propria chiave. Cambia chi attesta l’approvazione e su chi il verificatore fa affidamento, e cambia in una direzione precisa: verso la piattaforma. Da questa scelta non discende chi debba risarcire ogni danno, e la specifica prevede anche mandati conservati dall’agente e ricevute firmate. Discende però una domanda: quanta dipendenza dall’intermediario resta quando l’utente deve usare quelle prove contro di lui.[\[11\]](#fn11)

![AP2, due modelli di fiducia: la chiave che firma si sposta dall'utente alla piattaforma](https://storage.ghost.io/c/df/67/df67311e-998a-4b4b-a718-6ad7e28a0af7/content/images/2026/09/fig2-ap2-it.png)

AP2 affronta anche il nostro budget, e va detto: la specifica richiede di sommare l’importo richiesto alla spesa già accumulata sotto il mandato, verificare il massimo e aggiornare il totale dopo l’approvazione. Verifiable Intent di Mastercard assegna alla rete un controllo cumulativo sui mandati pertinenti. Il problema non è stato ignorato.[\[12\]](#fn12) Resta da verificare come l’implementazione applichi quei controlli al periodo mensile, alle richieste contemporanee e ai percorsi che escono dal mandato.

Perché il punto debole non è la funzione, è la sua adozione. Se l’impresa distribuisce gli acquisti fra servizi diversi, deve decidere se dividere il budget o far consultare a tutti un conto comune. Due mandati separati da 1.000 euro ciascuno possono essere rispettati alla lettera e tradire il tetto complessivo. È un errore nella costruzione della delega, e nessuna firma valida lo corregge. Chi configura il sistema deve poter dimostrare come il limite aziendale è diventato un limite operativo, e chi lo aggiorna.

Verifiable Intent organizza a sua volta prove firmate che, nel modo autonomo, collegano credenziale, autorizzazione del titolare ed esecuzione dell’agente; l’autenticazione della persona la decide l’implementazione. Queste evidenze possono sostenere una contestazione, ma l’accettazione commerciale di un’evidenza va distinta dal suo valore giuridico: una rete governa le proprie procedure, e il costo di portare la controversia altrove le dà un vantaggio pratico che nessuna specifica le assegna per iscritto.[\[13\]](#fn13)

Ed è qui che compare l’EUDI Wallet. AP2 e Verifiable Intent riusano tecnologie presenti anche in quell’ambiente, comprese credenziali che permettono di mostrare soltanto alcuni attributi. Componenti in comune rendono plausibile raccordare le prove; perché un wallet interpreti un mandato agentico devono coincidere anche significati, controlli e fiducia negli emittenti. I contributi sono arrivati alla FIDO Alliance nell’aprile 2026, e vale la pena guardare chi li riceve: il gruppo sui pagamenti che li esaminerà è presieduto da membri di Mastercard e Visa, e il nuovo gruppo sull’autenticazione agentica da membri di CVS Health, Google e OpenAI. I nomi dicono che chi vende l’intermediazione siede anche dove si scrivono le regole comuni, e che un conferimento avvia un percorso senza chiuderlo.[\[14\]](#fn14)

Per l’impresa la domanda diventa una sola: la persona che ha autorizzato l’assistente poteva impegnarla per quella spesa? La prova del consenso e quella del potere di rappresentanza possono essere collegate. Il raccordo che resta da verificare è chi accetta quel collegamento come sufficiente, e a quali condizioni.

## Le cornici pubbliche viste dall’esterno

![undefined](https://images.unsplash.com/photo-1608817576136-0f3a56922823?crop=entropy&cs=tinysrgb&fit=max&fm=jpg&ixid=M3wxMTc3M3wwfDF8c2VhcmNofDE4fHxldXJvcGV8ZW58MHx8fHwxNzg5NjYyMjM4fDA&ixlib=rb-4.1.0&q=80&w=2000)  
Photo by [Christian Lue](https://unsplash.com/@christianlue) / [Unsplash](https://unsplash.com/?utm%5Fsource=ghost&utm%5Fmedium=referral&utm%5Fcampaign=api-credit)

Il diritto europeo offre già parte della materia. Il quadro dell’EUDI Wallet, il regolamento 2024/1183, contempla persone fisiche e giuridiche, wallet e attestazioni elettroniche di attributi. Vieta di negare effetto giuridico o ammissibilità probatoria a un’attestazione perché elettronica o non qualificata, e attribuisce effetti specifici ad alcune categorie qualificate e pubbliche.[\[15\]](#fn15)

Una credenziale privata può dunque avere valore giuridico. Contano ciò che attesta, chi lo garantisce e verso chi si fa valere. L’incontro fra pagamenti e identità passa anche da servizi privati che producono prove rilevanti per il diritto, ed è così da quando esistono le firme elettroniche.

Fra gli attributi contemplati ci sono i poteri di rappresentanza, con condizioni sulle fonti, sul diritto applicabile e sull’attuazione. Nel nostro esempio un’attestazione può documentare il potere di impegnare l’impresa. Se comprenda quella spesa, e come il limite venga applicato dai servizi coinvolti, resta da verificare. Il riconoscimento di un ruolo non sostituisce il controllo dei 400 euro ancora disponibili.[\[16\]](#fn16)

Anche l’AI Act si applica già agli agenti: nelle sue FAQ la Commissione spiega che rientrano nelle definizioni esistenti, con obblighi che dipendono da caratteristiche, impiego e ruolo degli attori. Sul versante dell’identità d’impresa c’è inoltre la proposta europea di Business Wallet, destinata a sostenere identità e interazioni delle organizzazioni. Insieme all’EUDI Wallet è lo strumento con cui il collegamento fra potere di rappresentanza e mandato dell’agente potrebbe essere costruito con effetto giuridico, e colmare proprio il vuoto che questo articolo descrive: una risposta che il mercato, da solo, non ha modo di dare.[\[17\]](#fn17)

Altre iniziative rendono meno netto il confine fra pubblico e privato: il vLEI collega identità organizzative e ruoli, e GLEIF, che lo governa, è una fondazione sottoposta alla supervisione di un comitato di autorità pubbliche, il che non rende le sue credenziali equivalenti alle attestazioni qualificate europee.[\[18\]](#fn18)

La Model Law UNCITRAL sulla contrattazione automatizzata, adottata nel 2024, affronta l’attribuzione. Privilegia la procedura concordata fra le parti e, in mancanza, riconduce l’azione a chi usa il sistema per quello scopo, lasciando separate le conseguenze giuridiche. È un modello, non una regola vigente ovunque. Mostra che gli atti automatizzati hanno una grammatica giuridica che non aspetta i protocolli.[\[19\]](#fn19)

Una cornice pubblica va giudicata sui diritti che rende esercitabili: accesso alle prove, possibilità di contestare un rifiuto, portabilità, tutela di chi resta fuori dagli accordi fra operatori. Un diritto scritto bene non si esercita da solo: servono autorità con competenze e risorse per farlo rispettare, obblighi esigibili verso chi conserva le informazioni, rimedi che una persona o una piccola impresa possano permettersi, e la possibilità di agire insieme quando il danno è piccolo per ciascuno e grande in totale. E una cornice pubblica produce effetti anche quando protegge male: riconosce intermediari, distribuisce oneri di conformità, rende alcune infrastrutture più convenienti di altre. Va giudicata su quali rapporti di potere rafforza e quali rende contestabili. La sola presenza di un marchio pubblico non dice ancora se una piccola impresa riuscirà a far riconoscere la propria delega presso un servizio dominante.

## Singapore, organizzare il controllo oggi

![undefined](https://images.unsplash.com/photo-1491542451321-54b31bd2d961?crop=entropy&cs=tinysrgb&fit=max&fm=jpg&ixid=M3wxMTc3M3wwfDF8c2VhcmNofDc5fHxzaW5nYXBvcmV8ZW58MHx8fHwxNzg5NjYyMzcyfDA&ixlib=rb-4.1.0&q=80&w=2000)  
Photo by [Lily Banse](https://unsplash.com/@lvnatikk) / [Unsplash](https://unsplash.com/?utm%5Fsource=ghost&utm%5Fmedium=referral&utm%5Fcampaign=api-credit)

Singapore offre un confronto sul lavoro organizzativo, che è la parte che nessuno standard può fare al posto dell’organizzazione. L’addendum della Cyber Security Agency sui sistemi agentici propone di mappare i flussi, applicare controlli lungo il ciclo di vita e tenere conto del grado di autonomia. Il framework IMDA, nella versione 1.5, articola quattro dimensioni: circoscrivere i rischi, rendere effettiva la responsabilità umana, predisporre controlli tecnici, favorire un uso consapevole. Sono documenti di indirizzo.[\[20\]](#fn20)

Per la nostra impresa significa stabilire chi assegna il budget, chi controlla i servizi collegati e chi interviene quando il sistema fa una cosa diversa da quella prevista. Se nessuno ha l’autorità concreta di sospendere un’operazione, il supervisore umano è un nome su un organigramma. Una firma all’inizio del progetto non mantiene il controllo durante l’uso.

Un discussion paper IMDA sulla responsabilità degli agenti aggiunge il passaggio ai rimedi: il diritto esistente ha strumenti, ricostruire i fatti e distribuire la responsabilità resta difficile, e resta più difficile per chi ha meno informazioni e meno potere contrattuale.[\[21\]](#fn21) È la stessa asimmetria del moderatore tedesco, scritta da un’autorità.

Una delega eseguita bene non dice ancora quanto sarebbe costato contestarne un abuso.

## Il cittadino: prove, riservatezza, rimedi

![undefined](https://images.unsplash.com/photo-1567458927686-b8dacba3749d?crop=entropy&cs=tinysrgb&fit=max&fm=jpg&ixid=M3wxMTc3M3wwfDF8c2VhcmNofDQwfHxjaXRpemVuc3xlbnwwfHx8fDE3ODk2NjIxNDZ8MA&ixlib=rb-4.1.0&q=80&w=2000)  
Photo by [Sonder Bridge Photography](https://unsplash.com/@sonderbridgephotography) / [Unsplash](https://unsplash.com/?utm%5Fsource=ghost&utm%5Fmedium=referral&utm%5Fcampaign=api-credit)

Riprendiamo gli stessi acquisti dal punto di vista di una persona. Il tetto di spesa è l’esempio immediato: deve limitare l’assistente, ma comunicarlo al venditore può indebolire chi compra. Il mandato contiene informazioni che servono a governare l’agente e che non hanno motivo di diventare informazioni commerciali della controparte. Sapere che un ordine da 600 euro è autorizzato è una cosa; conoscere l’intera disponibilità del mese è un’altra.

Rendere verificabile il potere conferito non richiede che ogni partecipante riceva tutto, e la distinzione vale anche per l’impresa: attribuire un acquisto all’organizzazione non impone di esporre i dati del dipendente che lo ha autorizzato. La domanda è sempre a chi serve conoscere l’identità, per quale verifica, per quanto tempo. Una traccia utile a chiudere una disputa, riutilizzata altrove, diventa uno strumento per seguire una persona fra servizi diversi.

AP2 e Verifiable Intent prevedono divulgazione selettiva e separazione delle informazioni, e sono strumenti pertinenti: alcuni destinatari ricevono solo la parte necessaria al proprio compito. Resta da stabilire chi vede i vincoli e chi attesta che siano stati rispettati. Nascondere una cifra non dimostra che l’acquisto resti al di sotto di quella cifra; la verifica deve avvenire in un punto della catena su cui gli altri possano fare affidamento, e nel modello Verifiable Intent il controllo dei vincoli di pagamento è affidato alla rete, mentre gli altri partecipanti conservano verifiche proprie. Il cittadino può scegliere il servizio; l’architettura con cui il servizio verifica il suo mandato non la sceglie.[\[22\]](#fn22)

Mostrare meno attributi non rende nemmeno due operazioni impossibili da collegare. Chiavi, identificatori e metadati possono bastare a collegarle. La domanda progettuale è concreta: quali soggetti riescono a riconoscere la stessa delega, con quali informazioni, e chi controlla che quei dati servano a verificare l’operazione e non a costruire uno storico commerciale permanente.

L’altro versante è il diritto alla prova. Se arriva un secondo addebito da 600 euro, il cliente deve poter ricostruire istruzioni, budget residuo, approvazioni e operazioni. AP2 prevede una ricevuta firmata dell’esito dell’autorizzazione; Verifiable Intent una catena di credenziali utilizzabile nelle dispute. Sono evidenze diverse, e una ricevuta di autorizzazione non documenta l’intera esecuzione.[\[23\]](#fn23)

Il controllo sulle prove può collocarsi in passaggi diversi: produrre l’attestazione, conservare i dati sottostanti, consentirne l’esportazione, accettarli in una contestazione. Dovremmo pretendere un interlocutore identificabile, tempi ragionevoli e accesso alle prove pertinenti. Il cliente non dovrebbe scoprire da solo quale dei cinque fornitori conserva il passaggio decisivo. I protocolli rendono le evidenze verificabili; regole del servizio e diritto devono dire chi è tenuto a procurarle, conservarle e assistere nella contestazione. Documentare tutto senza che l’interessato possa ottenere nulla concentra il controllo presso chi custodisce i registri, e lo fa in nome della trasparenza.

Fermare l’assistente, revocare la delega e annullare un contratto già concluso sono tre operazioni distinte. La revoca deve raggiungere chi potrebbe ancora agire; il rimedio per un acquisto eseguito dipende da cosa è accaduto e dalle regole applicabili, e anche il recesso previsto per molti contratti a distanza ha eccezioni.[\[24\]](#fn24)

La misura della tutela è la sua utilizzabilità: correggere un limite, cambiare fornitore, contestare un esito senza perdere le prove. Una garanzia disponibile solo finché si resta clienti di una piattaforma lascia a quella piattaforma il potere di stabilirne il prezzo.

## Rendere effettiva la delega

Nel wiki, il divario fra l’agire e il renderne conto si è trasformato in lavoro umano, e in lavoro non pagato. Gli agenti producevano attività più in fretta di quanto chi la subiva riuscisse a ricostruirla. Nei servizi commerciali, riconoscimento, controlli e ricevute possono ridurre quel divario. Va misurato però dalla parte di chi deve ottenere una risposta, non di chi la archivia.

La qualità della catena che collega un potere riconosciuto dal diritto a un’azione verificabile dipende da quali parti del mandato accompagnano l’operazione quando cambia mano, da chi le verifica e da chi può farle valere.

Il controllo si distribuisce in decisioni concrete: ammettere un agente, accettare una credenziale, aggiornare un budget, custodire una ricevuta, rispondere a un reclamo. Ognuna può essere ragionevole per chi la prende, e costosa per chi deve poi ottenere un rimborso. Il risultato complessivo può emergere senza che nessuno lo abbia progettato per intero. Le decisioni che lo producono restano però nelle mani di soggetti precisi. Chi gestisce l’infrastruttura stabilisce condizioni di accesso, conservazione delle prove e procedure di contestazione; chi la usa deve fare i conti anche con il costo di abbandonarla. La dipendenza si costruisce attraverso queste scelte, e attraverso la diversa capacità di negoziarle.

Una cornice pubblica vale se permette di esercitare quei diritti anche fuori dalla rete commerciale in cui la delega è nata, e se qualcuno ha i mezzi per farli rispettare.

Resta la domanda sulla scelta: di chi fa gli interessi l’agente quando decide quale offerta presentarci? La scelta delle offerte e i conflitti d’interesse dell’assistente cominciano dove l’autorizzazione smette di spiegare il risultato. Prima ancora, chi affida un’azione deve poter governare l’incarico e ottenere risposte sulla sua esecuzione.

Delegare un’azione dovrebbe lasciare nelle nostre mani il potere di limitarla e di chiederne conto.

**Le informazioni e le opinioni espresse sono dell’autore e non riflettono necessariamente la posizione ufficiale delle istituzioni europee.**

## Note e fonti

Fonti verificate al 17 settembre 2026\. Le specifiche tecniche prive di una versione immutabile descrivono lo stato della documentazione consultata.

---

1. Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts e Thomas Larsen, [Discovery of a new OpenAI agent message board](https://collusion.wiki/), 4 settembre 2026\. I ricercatori distinguono oltre 3.700 nomi autodichiarati. Il 98,5% riguarda circa 17.000 modifiche DSEWiki attribuite agli agenti. L’attività crolla il 22 giugno; compaiono residui il 1–2 luglio. [↩︎](#fnref1)
2. [TechCrunch, 5 settembre 2026](https://techcrunch.com/2026/09/05/openai-confirms-wiki-incident-says-its-working-on-a-framework-for-more-disclosure/). Il [post ufficiale OpenAI](https://x.com/OpenAI/status/2096133504417616165) è identificato tramite la cronaca, ma non è stato recuperato direttamente per questa verifica. [↩︎](#fnref2)
3. IETF, [RFC 9396, OAuth 2.0 Rich Authorization Requests](https://www.rfc-editor.org/rfc/rfc9396.html), maggio 2023\. Su livelli differenti operano anche [MCP](https://modelcontextprotocol.io/specification/2026-07-28/basic/authorization), per l’accesso agli strumenti, e [A2A](https://a2a-protocol.org/latest/specification/), per la comunicazione fra agenti. L’autorizzazione descritta da MCP riguarda i trasporti HTTP; non è obbligatoria per qualsiasi implementazione del protocollo. L’[architettura WIMSE](https://datatracker.ietf.org/doc/draft-ietf-wimse-arch/) è un draft del gruppo IETF; [AuthZEN](https://openid.net/wg/authzen/specifications/) distingue l’Authorization API finale dai profili ancora in bozza. [↩︎](#fnref3)
4. IETF, [RFC 8693, OAuth 2.0 Token Exchange](https://www.rfc-editor.org/rfc/rfc8693.html), gennaio 2020, in particolare §§1, 2.1 e 4.1\. La specifica distingue soggetto e attore; una storia degli attori annidati non equivale da sola a una politica di autorizzazione dell’intera catena. [↩︎](#fnref4)
5. Lista OAuth: [Chhaya, 27 febbraio 2026](https://mailarchive.ietf.org/arch/msg/oauth/6MHkSfhGfugVmcb2p08ocM7piqQ/); [Dissanayaka, stessa data](https://mailarchive.ietf.org/arch/msg/oauth/G2ZDGCcwSGWdg6tZ%5FKC8-dksa-E/); [Lombardo, 12 marzo](https://mailarchive.ietf.org/arch/msg/oauth/ADHZL-o9W6EjIdPD8zSpNMEqRvk/); [replica di Chhaya, 13 marzo](https://mailarchive.ietf.org/arch/msg/oauth/raNBfRf9DrYuLLf1TOry9YoQ7xM/). Chhaya dichiara l’assistenza di Claude e Gemini. [Stato del draft on-behalf-of](https://datatracker.ietf.org/doc/draft-oauth-ai-agents-on-behalf-of-user/): individuale, scaduto e archiviato. [↩︎](#fnref5)
6. N.D. California, [ordine del 9 marzo 2026, causa 3:25-cv-09514-MMC](https://www.govinfo.gov/content/pkg/USCOURTS-cand-3%5F25-cv-09514/pdf/USCOURTS-cand-3%5F25-cv-09514-0.pdf). La valutazione cautelare è stata successivamente superata dall’annullamento dell’ingiunzione. [↩︎](#fnref6)
7. Ninth Circuit, [opinione del 4 agosto 2026, causa 26-1444](https://cdn.ca9.uscourts.gov/datastore/opinions/2026/08/04/26-1444.pdf), pp.15–17 e nota 5 a p.21\. Il [riesame en banc è stato respinto il 10 settembre](https://www.courthousenews.com/wp-content/uploads/2026/09/amazon-perplexity-no-rehearing.pdf); ciò non conclude l’intera causa. [↩︎](#fnref7)
8. Visa Developer, [Trusted Agent Protocol Specifications](https://developer.visa.com/capabilities/trusted-agent-protocol/trusted-agent-protocol-specifications). TAP usa HTTP Message Signatures, RFC 9421, in allineamento con Web Bot Auth. Il controllo contro il riuso richiede di tenere traccia dei nonce. I tag distinguono navigazione e pagamento; la specifica contempla anche altri schemi di pagamento e modalità di reperimento delle chiavi. [↩︎](#fnref8)
9. Visa, [annuncio Intelligent Commerce Connect](https://visa.gcs-web.com/news-releases/news-release-details/visa-opens-door-ai-driven-shopping-businesses-worldwide), 8 aprile 2026: TAP, Machine Payments Protocol, Agentic Commerce Protocol e Universal Commerce Protocol. Mastercard, [annuncio Agent Pay](https://www.mastercard.com/global/en/news-and-trends/press/2025/april/mastercard-unveils-agent-pay-pioneering-agentic-payments-technology-to-power-commerce-in-the-age-of-ai.html), aprile 2025\. Annunci, disponibilità e caratteristiche delle implementazioni vanno distinti. [↩︎](#fnref9)
10. I costi di ingresso e di uscita sono un meccanismo, non una misura: le fonti documentano le integrazioni offerte, non i costi. Sulla velocità con cui cambiano gli assetti del checkout agentico, e sul fatto che i circuiti vi fossero presenti dall’inizio: [lancio OpenAI con Stripe](https://openai.com/index/buy-it-in-chatgpt/), 29 settembre 2025; [coinvolgimento Mastercard](https://www.mastercard.com/my/en/news-and-trends/stories/2025/agentic-commerce-momentum.html), 30 settembre; [cambio di enfasi OpenAI](https://openai.com/index/powering-product-discovery-in-chatgpt/), 24 marzo 2026; [annuncio Visa–OpenAI del 10 giugno](https://investor.visa.com/news/news-details/2026/Visa-Partners-with-OpenAI-to-Power-the-Next-Generation-of-AI-Commerce/default.aspx), che descrive capacità da integrare. Sulle contestazioni, [Mastercard, Agentic Commerce Q3](https://innovationinsights.mastercard.com/mastercard-agentic-commerce-q3) discute l’evoluzione di procedure e responsabilità: le funzioni di contestazione delle reti operano insieme al diritto applicabile e non garantiscono lo stesso rimedio per ogni acquisto. [↩︎](#fnref10)
11. [AP2 Agent Authorization Framework](https://ap2-protocol.org/ap2/agent%5Fauthorization/), modelli User Credential e Trusted Agent Provider. La specifica usa OpenID4VP con `transaction_data` e SD-JWT VC, raccomanda Digital Credentials API dove disponibile e prospetta un adattamento per mdoc. La primitiva [Delegate SD-JWT](https://datatracker.ietf.org/doc/draft-gco-oauth-delegate-sd-jwt/) è un Internet-Draft individuale. [↩︎](#fnref11)
12. [AP2 Payment Mandate, Budget](https://ap2-protocol.org/ap2/payment%5Fmandate/#budget), insieme a `payment.agent_recurrence`; [Verifiable Intent, §5.3](https://verifiableintent.dev/spec/). Si tratta di requisiti dei rispettivi schemi: il budget dell’organizzazione, i mandati emessi e gli eventuali periodi di rinnovo devono essere raccordati nell’implementazione. [↩︎](#fnref12)
13. Verifiable Intent, [Overview](https://verifiableintent.dev/spec/) e [Security Model](https://verifiableintent.dev/spec/security-model/), in particolare §2.4\. La specifica consultata è una bozza; distingue modo immediato e autonomo. Non prescrive una biometria FIDO come requisito intrinseco del formato. [↩︎](#fnref13)
14. FIDO Alliance, [annuncio dei contributi AP2 e Verifiable Intent](https://fidoalliance.org/fido-alliance-to-develop-standards-for-trusted-ai-agent-interactions/), 28 aprile 2026, e [approfondimento sul riuso dell’infrastruttura wallet](https://fidoalliance.org/building-the-trust-layer-for-agentic-payments-with-ap2-and-verifiable-intent/), 26 maggio. Per i componenti EUDI, [Feature Map dell’implementazione di riferimento](https://docs.eudi.dev/latest/reference-implementation/feature-map/). [↩︎](#fnref14)
15. [Regolamento (UE) 2024/1183](https://eur-lex.europa.eu/eli/reg/2024/1183/oj/eng), che modifica eIDAS. L’articolo 45b distingue il divieto di discriminazione delle attestazioni per forma elettronica o mancata qualificazione dagli effetti specifici delle attestazioni qualificate e di quelle emesse dall’organismo pubblico responsabile di una fonte autentica, o per suo conto. [↩︎](#fnref15)
16. Stesso regolamento adottato, articolo 45e e allegato VI: poteri e mandati di rappresentanza sono contemplati nel quadro della verifica degli attributi, con condizioni relative alle fonti autentiche pubbliche, alla richiesta dell’utente, al diritto nazionale e all’attuazione. Non ne deriva che ogni limite di spesa sia già disponibile ovunque come attributo attestato. [↩︎](#fnref16)
17. Commissione europea, [FAQ sull’applicazione dell’AI Act agli agenti](https://ai-act-service-desk.ec.europa.eu/en/ai-act/faq/how-are-ai-agents-addressed-within-ai-act-0). Per il Business Wallet: [presentazione pubblica dell’iniziativa](https://digital-strategy.ec.europa.eu/en/library/european-business-wallets-nutshell) e [riferimento EUR-Lex alla proposta](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A52025PC0838). Il richiamo riguarda soltanto esistenza e finalità dichiarata della proposta. [↩︎](#fnref17)
18. GLEIF, [Regulatory Oversight Committee](https://www.gleif.org/en/about/governance/regulatory-oversight-committee-roc/roc-observers). La supervisione pubblica della fondazione va distinta dagli effetti giuridici di ciascun impiego delle credenziali vLEI. [↩︎](#fnref18)
19. UNCITRAL, [Model Law on Automated Contracting e guida](https://uncitral.un.org/sites/uncitral.un.org/files/2424674e-mlautomatedcontracting-rev1-ebook.pdf), articolo 7; [pagina istituzionale](https://uncitral.un.org/en/mlac). Modello adottato l’11 luglio 2024; attribuzione e conseguenze giuridiche restano distinte. [↩︎](#fnref19)
20. CSA, [Addendum on Securing AI Systems](https://www.csa.gov.sg/resources/publications/addendum-on-securing-ai-systems/), pagina datata 17 giugno 2026; permane un’incoerenza fra richiami alla consultazione e cronologia del PDF, perciò non si qualifica qui una data definitiva di approvazione. IMDA, [Model AI Governance Framework for Agentic AI](https://www.imda.gov.sg/-/media/imda/files/about/emerging-tech-and-research/artificial-intelligence/mgf-for-agentic-ai.pdf), v1.5, pubblicata il 20 maggio e aggiornata il 5 giugno 2026\. [↩︎](#fnref20)
21. IMDA, [Legal Responsibility for AI Agents](https://www.imda.gov.sg/-/media/imda/files/about/emerging-tech-and-research/artificial-intelligence/agents-legal-responsibility.pdf), discussion paper, maggio 2026, sintesi e discussione dell’applicabilità del diritto esistente e dell’accesso ai rimedi. [↩︎](#fnref21)
22. [AP2 Security and Privacy Considerations](https://ap2-protocol.org/ap2/security%5Fand%5Fprivacy%5Fconsiderations/) e [Verifiable Intent, §4.3](https://verifiableintent.dev/spec/). La separazione delle informazioni fra destinatari non equivale alla garanzia che ogni vincolo possa restare nascosto a chi deve verificarlo. [↩︎](#fnref22)
23. AP2, [Action Authorization e Mandate Receipt](https://ap2-protocol.org/ap2/agent%5Fauthorization/); Verifiable Intent, [Dispute Evidence](https://verifiableintent.dev/spec/security-model/). La ricevuta AP2 riguarda l’esito dell’autorizzazione; la catena VI costituisce materiale probatorio, lasciando alle regole applicabili le procedure di disputa e l’allocazione della responsabilità. [↩︎](#fnref23)
24. Your Europe, [recesso e restituzioni](https://europa.eu/youreurope/citizens/consumers/shopping/returns/index%5Fen.htm), comprese le eccezioni. Un ordine autenticato, un contratto vincolante e un servizio dell’assistente correttamente eseguito sono questioni da verificare separatamente. [↩︎](#fnref24)