Un agente AI si collega ai sistemi aziendali in quattro modi: i connettori già pronti della piattaforma, le API del sistema, un server MCP oppure l'accesso al database in sola lettura. La strada la decide quello che il sistema espone, non la preferenza di chi costruisce. In tutti i casi l'agente lavora con un'utenza dedicata e permessi minimi, e ogni operazione finisce in un registro.
Quali sistemi tocca di solito un agente?
Un agente aziendale tocca quasi sempre tre famiglie di sistemi: la posta, da cui arriva il lavoro, i documenti, dove stanno listini, contratti e procedure, e il gestionale o il CRM, dove il lavoro finisce dopo essere stato letto, controllato e preparato. Tre sistemi, tre rischi. Ognuna delle tre famiglie si collega in modo diverso.
| Sistema | Che cosa fa l'agente | Rischio principale |
|---|---|---|
| Posta | legge i messaggi in arrivo, prepara bozze di risposta | istruzioni nascoste nei messaggi di sconosciuti, risposte inviate senza controllo |
| Documenti | cerca in listini, contratti e procedure | mostrare a una persona documenti che non potrebbe aprire |
| Gestionale e CRM | cerca clienti e articoli, crea bozze | scritture sbagliate che saltano i controlli del gestionale |
Un processo che parte dalla casella condivisa e arriva al gestionale è descritto nella pagina di Deepelse sulla gestione delle email.
Quali sono le strade per collegarlo?
| Strada | Quando si usa | Attenzione a |
|---|---|---|
| Connettori della piattaforma | il sistema è Microsoft 365, Google Workspace o un'applicazione diffusa | il connettore chiede spesso permessi ampi, da restringere |
| API del sistema | il gestionale o il CRM espone API documentate | limiti di chiamate, versioni, utenza dedicata |
| Server MCP | lo stesso collegamento deve servire più assistenti o agenti | codice dei server di terzi da leggere, permessi per funzione |
| Database in sola lettura | API assenti o incomplete | mai in scrittura, perché salterebbe i controlli del gestionale |
Le strade si combinano. Un agente che prepara gli ordini può leggere la posta con il connettore di Microsoft 365, cercare gli articoli con le API del gestionale e scrivere le bozze attraverso un server MCP, il protocollo aperto che oggi supportano Claude, ChatGPT e gli strumenti di Microsoft (specifica del Model Context Protocol). La scelta dello strumento con cui costruire l'agente è nella guida sugli strumenti per creare un agente AI.
Quali permessi dare all'agente?
I permessi si danno per compito, non per sistema. Un agente che legge gli ordini della casella condivisa non ha bisogno di leggere la posta di tutta l'azienda. Microsoft Graph, l'interfaccia con cui si accede ai dati di Microsoft 365, distingue i permessi delegati, con cui l'agente agisce per conto di una persona, da quelli dell'applicazione, con cui agisce da solo, e raccomanda di chiedere solo quelli necessari (Microsoft, panoramica delle autorizzazioni di Microsoft Graph). Le regole pratiche sono quattro:
- un'utenza di servizio dedicata, mai le credenziali di una persona o di un amministratore;
- lettura dove basta leggere, scrittura solo sulle bozze;
- accesso limitato alle caselle, alle cartelle e alle tabelle del compito;
- chiavi e password in un archivio protetto, mai scritte nelle istruzioni dell'agente.
Che cosa l'agente fa da solo e dove chiede una conferma si decide prima, nelle regole d'ingaggio.
Come si evita che l'agente veda troppo?
Con i documenti il rischio è che l'agente mostri a una persona un contenuto che lei non potrebbe aprire. Succede quando l'agente cerca in un archivio con un'utenza che vede tutto. La regola è semplice da dire: l'agente cerca con i permessi di chi gli fa la domanda, oppure in un archivio che contiene solo documenti aperti a tutti quelli che lo useranno.
Con la posta il rischio è un altro. Un messaggio di uno sconosciuto può contenere istruzioni nascoste rivolte al modello, la prompt injection che l'OWASP mette al primo posto fra i rischi delle applicazioni basate su modelli linguistici (OWASP Top 10 for LLM Applications, 2025). Un filtro che le blocchi tutte non esiste. Per questo un agente che legge posta dall'esterno non scrive nel gestionale senza una conferma umana.
E i dati personali?
Email e anagrafiche contengono quasi sempre dati personali, quindi il collegamento rientra nel GDPR. Tre regole valgono per ogni agente: legge solo i dati che servono al compito, come chiede il principio di minimizzazione dell'articolo 5; con ogni fornitore che tratta i dati per conto dell'azienda, compreso quello del modello, c'è un contratto di trattamento (articolo 28); permessi e registri sono documentati fra le misure di sicurezza dell'articolo 32 (regolamento (UE) 2016/679 su EUR-Lex). Gli obblighi nel dettaglio, insieme a quelli dell'AI Act, sono nella guida su agenti AI, AI Act e GDPR.
Che cosa va nel registro?
Ogni operazione dell'agente sui sistemi lascia una riga con data e ora, utenza, sistema, funzione chiamata, dati usati ed esito. Il registro serve a ricostruire un errore, a dimostrare chi ha fatto che cosa e a misurare quanto lavoro l'agente svolge davvero, che è il numero su cui si decide se tenerlo. Come si usa il registro prima e dopo il rilascio è spiegato nella guida su come si porta un agente in produzione.
Domande frequenti su agenti AI
Un agente AI può leggere la posta aziendale?
Sì, se gli dai accesso, e conviene limitarlo. Un agente che smista gli ordini legge la casella degli ordini, non quella di tutti. In Microsoft 365 e in Google Workspace l'accesso si concede con permessi che l'amministratore approva e può revocare. Un agente che legge messaggi di sconosciuti non invia risposte senza una conferma umana.
Serve modificare il gestionale per collegarci un agente?
No. L'agente si collega alle API del gestionale, a un server MCP o al database in sola lettura, senza toccare il programma. Serve però un'utenza di servizio dedicata, creata da chi amministra il gestionale, con i soli permessi del compito.
I dati escono dall'azienda quando un agente li legge?
Dipende da dove gira il modello. Con un modello in cloud i testi letti dall'agente arrivano al fornitore, che con un piano aziendale li tratta secondo il contratto e non li usa per addestrare i modelli. Con un modello installato sui server dell'azienda restano nella rete interna. In entrambi i casi al modello si passano solo i dati che servono al compito.
Fonti
Scritto da
Co-founder, CTO e COO di Deepelse
Giovanni Vanini è co-founder di Deepelse, dove guida la parte tecnica e operativa: architetture degli agenti, scelta dei modelli, integrazioni con gestionali e CRM, agenti vocali.
