Agenti AI personali sugli account di lavoro: l'avviso di Singapore, l'AI Act e la regola che serve in azienda

Un dipendente installa un agente AI personale sul telefono. Per farsi aiutare con le email lo collega alla casella, e la casella è quella di lavoro. Da quel momento l'agente legge la posta dei clienti, il calendario con gli appuntamenti, magari i documenti condivisi. Nessuno in azienda lo ha deciso, e spesso nessuno lo sa.

Il 6 novembre 2026 tre agenzie del governo di Singapore, la Cyber Security Agency (CSA), la Government Technology Agency (GovTech) e l'Infocomm Media Development Authority (IMDA), hanno pubblicato un avviso su come usare questi strumenti in sicurezza. È scritto per i consumatori, e sugli account di lavoro dice una cosa sola: verificate se il datore di lavoro lo consente.

La domanda torna quindi alle aziende, e la risposta è una regola scritta: se e a quali condizioni un agente personale può collegarsi a posta, calendario e documenti di lavoro. Senza, la regola la scrive ogni dipendente, un'installazione alla volta. In Europa c'è un motivo in più per scriverla: l'AI Act guarda a chi usa un sistema AI per lavoro, non solo a chi lo produce.

Che cosa sono gli agenti AI personali

L'avviso li distingue dai chatbot: un agente AI personale agisce per conto dell'utente. Si collega ad applicazioni e account, naviga sul web, gestisce la posta, fa prenotazioni, ricorda preferenze e informazioni. Alcuni continuano a lavorare in background anche quando l'utente non li sta usando. L'avviso cita come esempi Dots, Hermes, Muse, Grok Bot e OpenClaw.

Da qui i rischi che l'avviso elenca: secondo gli accessi ricevuti, un agente può leggere e rivelare informazioni personali delicate, sbagliare, fare cose non volute. Può essere ingannato da siti, messaggi o persone malintenzionate. E chi riceve un messaggio scritto dall'agente può non sapere che non sta parlando con una persona.

La conclusione delle agenzie è netta: gli agenti non vanno trattati come assistenti umani, con lo stesso accesso ampio e la stessa fiducia implicita. L'utente resta responsabile di come li usa, comprese le azioni che l'agente compie per suo conto.

I cinque passi dell'avviso

1. Limitare ciò a cui l'agente accede. Collegare solo le applicazioni che servono, partire da account poco sensibili, evitare banca, servizi pubblici e sanità. Non dare all'agente password, codici o OTP, nemmeno dentro documenti o email. Una casella che riceve i codici di accesso, se collegata, può diventare leggibile dall'agente. Dove si può, limitare l'agente a cartelle precise ed evitare di installarlo su dispositivi con dati sensibili.
2. Mantenere il controllo sulle azioni importanti. Partire con permessi di sola lettura, chiedere conferma prima di inviare messaggi, cancellare o condividere file, preferire l'approvazione singola al «consenti sempre». I limiti dati in chat possono non essere rispettati con costanza: vanno impostati nelle impostazioni dell'agente e delle applicazioni a cui accede.
3. Capire come vengono usati e conservati i dati. Che cosa raccoglie il fornitore, con chi lo condivide, per quanto lo tiene, se lo usa per addestrare i modelli o per la pubblicità. Molti agenti hanno una memoria persistente e possono costruire profili dell'utente e dei suoi contatti.
4. Proteggersi da chi prova a manipolare l'agente. I truffatori possono puntare all'agente invece che alla persona, con istruzioni nascoste in pagine web, email, inviti, documenti o immagini. Poiché alcuni agenti lavorano in background, ci si può accorgere tardi che qualcosa è andato storto. La protezione migliore, scrivono le agenzie, è limitare ciò che l'agente può vedere e fare. In più: fare in modo che solo l'utente possa dargli istruzioni, scaricare gli agenti solo da fonti ufficiali e usare solo componenti aggiuntivi affidabili.
5. Pensare all'impatto sugli altri. Email e documenti contengono informazioni su familiari, amici e colleghi. L'avviso chiede di indicare quando un messaggio è stato scritto o inviato da un agente.

Se l'agente si comporta in modo strano, l'avviso indica di fermarlo, scollegare gli account, cambiare le password, cercare modifiche non fatte (regole di inoltro della posta, nuovi dispositivi, nuovi beneficiari di pagamento), salvare i registri delle attività prima di cancellare e revocare tutte le credenziali. Nell'esempio pratico allegato all'avviso, riferito a Muse di Meta, se quello che l'agente dice in chat non coincide con il registro delle attività, vale il registro. È una buona regola con qualunque agente.

Perché è una decisione dell'azienda

Le agenzie di Singapore si fermano al consumatore. Ma i punti 1, 2 e 4 dell'avviso, applicati a un account di lavoro, sono decisioni aziendali, non personali: quali dati può leggere un fornitore esterno, chi può inviare messaggi a nome dell'azienda, chi risponde se un'istruzione nascosta in una email fa partire un'azione.

C'è poi la questione dei dati personali. Se nella casella ci sono dati di clienti o colleghi, collegarla a un agente scelto dal dipendente significa farli arrivare a un fornitore che l'azienda non ha scelto, senza contratto né istruzioni, a volte fuori dall'Unione europea e con condizioni d'uso che possono prevedere l'addestramento dei modelli. La responsabilità dei dati resta dell'azienda, che ne è titolare del trattamento: va valutato se si tratta di una comunicazione non autorizzata, e quindi di una violazione dei dati personali da gestire secondo gli artt. 33 e 34 del GDPR. Meglio portare la questione al DPO, se c'è, o al consulente privacy prima che un dipendente colleghi un agente alla casella di lavoro.

Che cosa chiede l'AI Act

L'avviso di Singapore è un consiglio. In Europa, per chi usa questi agenti per lavoro, c'è anche il regolamento sull'intelligenza artificiale, il Reg. (UE) 2024/1689, modificato nel 2026 dal Digital Omnibus.

Chi è il deployer. Il regolamento chiama deployer chi utilizza un sistema AI «sotto la propria autorità», con un'unica esclusione: l'uso «nel corso di un'attività personale non professionale» (art. 3, punto 4). Un agente collegato alla casella di lavoro non rientra nell'esclusione, perché l'attività è professionale. Se l'azienda lo consente, lo fornisce o ne fissa le condizioni, lo usa sotto la propria autorità ed è deployer. Se il dipendente lo collega di nascosto, la qualificazione è meno netta, ma non conviene contarci: l'agente lavora comunque per l'azienda, sui suoi account e sui suoi dati. La regola scritta serve a stabilire che cosa l'azienda ha autorizzato e che cosa no.

Alfabetizzazione AI. L'obbligo si applica dal 2 febbraio 2025. Nel testo modificato dal Digital Omnibus, fornitori e deployer «adottano misure volte a sostenere lo sviluppo dell'alfabetizzazione in materia di IA del loro personale» (art. 4), senza dover garantire un livello specifico. Le misure vanno prese tenendo conto delle competenze delle persone e del contesto d'uso. Per chi usa agenti, i cinque passi dell'avviso di Singapore sono una buona base. Che cosa può leggere l'agente, quando chiede conferma, che cosa fa il fornitore con i dati, come lo si manipola, chi ne subisce le conseguenze: le persone devono saperlo prima di collegarlo alla casella.

Trasparenza. Dal 2 agosto 2026 si applica l'art. 50. L'obbligo di far capire a una persona che sta interagendo con un sistema AI è del fornitore, che deve progettarlo così (art. 50, par. 1). Il deployer ha obblighi di trasparenza solo in casi precisi: i deep fake e i testi pubblicati per informare il pubblico su questioni di interesse pubblico (art. 50, par. 4). Un'email a un cliente scritta da un agente non rientra in questi casi; una telefonata fatta dall'agente con la voce clonata del dipendente, invece, può essere un deep fake audio. L'indicazione di Singapore, dire quando un messaggio è stato scritto o inviato da un agente, va oltre l'AI Act, ma restano le altre norme di trasparenza, per esempio quelle a tutela dei consumatori. Resta comunque una buona regola da mettere nella policy, soprattutto per i messaggi inviati senza revisione.

Quando diventa alto rischio. Fra gli usi ad alto rischio dell'Allegato III ci sono i sistemi usati per selezionare il personale, in particolare per «analizzare o filtrare le candidature e valutare i candidati», e quelli usati per «monitorare e valutare le prestazioni e il comportamento» dei lavoratori (punto 4). Un agente che smista i curricula arrivati nella casella dell'ufficio personale si avvicina a questo uso. Per questi sistemi gli obblighi dell'AI Act si applicano dal 2 dicembre 2027 (art. 113). Fra gli obblighi del deployer c'è informare i rappresentanti dei lavoratori e i lavoratori interessati prima di usare il sistema sul luogo di lavoro (art. 26, par. 7). C'è anche un rischio più serio: chi usa per uno di questi scopi un sistema nato per altro può essere considerato fornitore di un sistema ad alto rischio, con gli obblighi che ne seguono (art. 25, par. 1, lett. c).

In Italia, però, non serve aspettare il 2027. Chi usa sistemi decisionali o di monitoraggio integralmente automatizzati che incidono su assunzione, gestione, valutazione o sorveglianza dei lavoratori deve già oggi informare i lavoratori e le rappresentanze sindacali (d.lgs. 152/1997, art. 1-bis, richiamato dall'art. 11 della legge 132/2025 sull'intelligenza artificiale). Sono usi da escludere esplicitamente dalla regola sugli agenti personali, e da valutare a parte con un legale se l'azienda lo vuole.

Cosa fare ora

1. Scrivere la regola. Se e a quali condizioni un agente AI personale può collegarsi a posta, calendario, documenti e chat aziendali, e per quali attività è escluso, a partire da selezione e valutazione del personale. Anche «per ora no» è una regola, purché sia scritta e comunicata.
2. Formare chi lo usa. Spiegare alle persone autorizzate che cosa può fare l'agente, quali dati vede e quali rischi porta. È anche una delle misure di alfabetizzazione AI che l'art. 4 chiede al deployer; conviene tenerne traccia.
3. Guardare chi ha già accesso. Le console di amministrazione della posta e dei documenti in cloud mostrano quali applicazioni esterne hanno ricevuto un accesso autorizzato dall'utente e con quali permessi. Non vedono tutto: un agente che usa il browser con la sessione già aperta del dipendente, o che legge la posta con una password per app, lì non compare. Conviene guardare anche le regole di inoltro automatico e chi usa IMAP o POP. Se questi controlli possono servire anche a verificare il comportamento delle persone, vanno previsti nell'informativa ai dipendenti.
4. Controllare i consensi alle applicazioni. Decidere chi può autorizzare un'applicazione esterna ad accedere agli account aziendali: ogni utente da solo, o solo dopo un'approvazione. Prima di bloccare i consensi, fare l'elenco delle integrazioni già in uso: bloccarli all'improvviso può fermare strumenti che servono.
5. Offrire un'alternativa. Se le persone usano agenti personali è perché servono. Un assistente scelto dall'azienda, con permessi e contratto decisi prima, toglie il motivo di usare quello personale.
6. Dire che cosa fare quando qualcosa va storto. A chi si segnala un'azione strana dell'agente, e chi revoca gli accessi.

Aggiornato al 10 novembre 2026. L'avviso è sintetizzato dall'autore; fa fede il testo pubblicato dalle agenzie di Singapore. Per l'AI Act fa fede il testo pubblicato nella Gazzetta ufficiale dell'Unione europea. Le traduzioni dall'inglese sono a cura dell'autore. Articolo informativo, non consulenza tecnica o legale sul caso specifico.