IA agentica in Francia: tre processi, e chi abilita gli strumenti

Il punto di partenza: due documenti dello stesso luglio

Il 20 luglio 2026 la Commission Nationale de l’Informatique et des Libertés, in breve CNIL, che in Francia esercita le funzioni che in Italia spettano al Garante per la protezione dei dati personali, e il Conseil de l’IA et du Numérique hanno pubblicato insieme una nota sull’IA agentica. Descrive prima l’architettura: un agente che coordina, accanto a lui agenti specializzati, e dietro servizi collegati, applicazioni, banche dati, strumenti di ricerca. Il quadro, come la CNIL lo riassume presentando la nota, sta in due formule. L’IA agentica mette in circolazione dati personali fra numerosi servizi e per chi la usa ne nasce un rischio concreto di perdere il controllo sui propri dati.¹ Si aggiunge un secondo punto, che nell’esercizio quotidiano pesa più di quanto sembri: poiché a un processo automatizzato partecipano più attori, diventa più difficile riconoscere chi risponde di quale passaggio.

Otto giorni dopo, il 28 luglio 2026, è uscita la nuova versione del Model Context Protocol, in breve MCP. MCP è uno standard aperto per il modo in cui un sistema di IA comanda strumenti esterni, quindi un’interfaccia: un modo stabilito in cui due programmi si parlano. La versione del 28 luglio 2026 rende il trasporto privo di stato. Cadono la stretta di mano iniziale e l’identificativo di sessione, ogni richiesta porta con sé la propria versione di protocollo, la propria origine e le proprie capacità. Si aggiungono un’autorizzazione irrobustita, con regole più severe per la registrazione delle applicazioni e per la verifica delle credenziali, e un sistema ordinato di estensioni; l’autorizzazione gestita per le imprese vi è tenuta come estensione a sé.²

I due documenti non sono una risposta l’uno all’altro, e non li presentiamo così. Descrivono lo stesso problema da due lati. Un lato chiede chi, in un sistema che agisce, mantenga il controllo sui dati e chi risponda di quale passaggio. L’altro stabilisce come una singola chiamata a uno strumento venga dichiarata, autorizzata e inoltrata. Chi vuole rispondere alla prima domanda nella pratica arriva inevitabilmente alla seconda, perché il controllo su un sistema che agisce è alla fine controllo sui suoi strumenti.

Quanto sia già diffusa l’IA agentica in Francia non è quantificabile con precisione, e il motivo sta nella statistica ufficiale stessa. Secondo Insee Première numero 2120 del 21 luglio 2026, nel 2025 il 18% delle imprese francesi con almeno dieci addetti ha utilizzato almeno una tecnica di intelligenza artificiale, con una rilevazione su circa 11.000 imprese da una popolazione di circa 194.000. Nella parte metodologica c’è la frase che conta: le risposte in linea di principio non comprendono l’uso che i dipendenti fanno in modo puntuale e per conto proprio.⁵ Le rilevazioni che interrogano direttamente i dipendenti arrivano perciò a valori del tutto diversi. Il Baromètre Phygital Workplace, condotto da Ifop per conto di una società di consulenza su 1.003 dipendenti di imprese con almeno 1.000 addetti, indica il 62% di utilizzo a fronte del 34% con regole formalizzate.⁶ Sono due domande poste a due popolazioni diverse, e nessuno dei due valori smentisce l’altro. Chi ne ricava un’unica percentuale vende una precisione che non esiste. Quello che resta è lo schema: si usa più di quanto sia regolato. La stessa rilevazione dell’Insee indica, fra le imprese che già impiegano l’IA, il 43% preoccupato per la protezione dei dati e per la sfera privata e il 42% per la mancanza di chiarezza giuridica.⁵

Chi è interessato, e che cosa fa nascere l’esigenza

Il gruppo più ristretto è quello che più spesso viene allargato troppo. Il decreto attuativo dell’articolo 31 della Loi SREN, del 14 aprile 2026, nomina le amministrazioni dello Stato, i loro operatori e sei groupements d’intérêt public indicati per nome. Il decreto non nomina gli enti territoriali; non rientrano quindi in questo obbligo. Nemmeno ogni ente pubblico vi rientra automaticamente.⁷ Sul piano sostanziale l’obbligo vale inoltre solo per dati la cui violazione potrebbe pregiudicare l’ordine pubblico, la sicurezza pubblica, la salute o la vita delle persone oppure la tutela della proprietà intellettuale. Chi oggi legge che tutta la Francia debba ospitare in modo sovrano, legge qualcosa che lì non c’è.

Sul versante della protezione dei dati la pressione è di altro tipo, ma misurabile. Per il 2025 la CNIL ha pubblicato un bilancio di 83 sanzioni per un totale di 486.839.500 euro, di cui 78 multe.⁸ Quei procedimenti non riguardavano l’IA agentica, ma descrivono la vigilanza sotto la quale lavorano i titolari del trattamento. Chi permette a un sistema di agire in più applicazioni gestionali non sposta responsabilità, la amplia.

Le persone che dovrebbero reggere tutto questo nell’esercizio quotidiano dicono loro stesse di non essere ancora a quel punto. Nella rilevazione dell’Observatoire des DPO, svolta dal 5 al 21 novembre 2025 presso 2.390 responsabili della protezione dei dati, il 6% delle organizzazioni risulta molto ben preparato al regolamento sull’IA. Il 27% degli interpellati dichiara di conoscere bene il testo del regolamento, l’85% non ha ancora seguito una formazione sull’intelligenza artificiale.³ Che gli obblighi per i sistemi ad alto rischio si applichino, in base al regolamento (UE) 2026/1744, solo dal 2 dicembre 2027 e per i sistemi incorporati dal 2 agosto 2028 dà respiro, ma non toglie il lavoro. La rilevazione è promossa dalla DGEFP, l’amministrazione francese del lavoro, e dalla CNIL, in partenariato con l’associazione professionale dei responsabili della protezione dei dati e con l’Afpa, che l’ha condotta: non è quindi uno studio di un fornitore ma un’autodichiarazione della categoria.

Cinque gruppi, cinque motivi diversi, e dietro una domanda comune: chi decide quale strumento un agente possa chiamare, e su che cosa lo si può mostrare a posteriori? La risposta cambia da gruppo a gruppo, e per uno di questi gruppi va contro di noi. Sta più avanti, nella sezione sui limiti, e sta lì per esteso.

Caso d’uso 1: la pratica che attraversa più applicazioni gestionali

Arriva una richiesta e la risposta si distribuisce su tre programmi: il contratto nell’archivio documenti, lo stato della consegna nel gestionale di magazzino, l’ultimo scambio di corrispondenza nella casella di posta. Oggi una persona clicca attraverso tutti e tre. Il collega IA può prendersi questo percorso, se i sistemi sono collegati. Pianifica i passaggi, chiama uno dopo l’altro gli strumenti abilitati, verifica ogni risultato intermedio e alla fine presenta una bozza da approvare. Il punto non è che ne sia capace. Il punto è che ogni singola chiamata può fallire prima su un diritto e dopo sta nel registro.

Il collegamento passa da MCP. Un connettore è il singolo collegamento a un determinato programma, un’istanza è l’installazione autonoma che gira per la Sua organizzazione. Ciò che il collega IA non può vedere lì, non lo vede: vale l’ordine utente, ruolo, gruppo, impostazione predefinita del server. Uno strumento non abilitato per un ruolo non compare nemmeno nella pianificazione, non viene quindi rifiutato, semplicemente non c’è. Quale software si possa collegare oggi è indicato nella pagina Integrazioni.

Il limite di questo processo: un diritto per strumento non è un diritto per singolo record. Se un connettore consente la ricerca su tutto l’archivio documenti, allora la consente su tutto l’archivio documenti, anche se la pratica ha bisogno di un solo contratto. Quanto finemente si possa restringere dipende dal sistema collegato e non da noi. Verifichi questo aspetto per ogni connettore prima di abilitarlo in modo ampio, e cominci dall’ambito più piccolo che regga il compito.

Caso d’uso 2: l’accesso in scrittura che deve essere permesso a parte

Leggere è una metà. L’altra comincia quando un sistema deve modificare un record, inviare un messaggio o cancellare una voce. Qui la piattaforma separa: strumenti in lettura e strumenti in scrittura non sono lo stesso diritto. Un accesso in scrittura va abilitato a parte, e dove ciò non è avvenuto la pratica finisce con una bozza invece che con una registrazione. È poco spettacolare ed è la differenza fra una proposta e un fatto compiuto.

La nota della CNIL va nella stessa direzione, senza riferirsi a un prodotto. Propone di ordinare per rischio le azioni possibili presso ciascun servizio, dalla lettura alla modifica e alla cancellazione fino all’invio di dati fuori dal sistema, e di richiedere da un certo livello in poi un’approvazione umana prima dell’esecuzione. Accanto a questo nomina la separazione delle memorie per ciascun agente, un ambiente di esecuzione isolato e la possibilità di interrompere in ogni momento un processo in corso.¹ Tradotto nell’esercizio quotidiano significa: la domanda non è se un agente possa agire, ma quale azione possa concludere da solo. Questa impostazione la decide l’amministrazione, non il modello.

Il limite: un’approvazione vale quanto l’attenzione che le sta dietro. Chi conferma venti volte al giorno, prima o poi conferma tutto. La sorveglianza umana non nasce dal fatto che si apre una finestra, ma dal fatto che pochi passaggi importanti richiedono questo passaggio intermedio e gli altri non sono affatto abilitati. Questa selezione è lavoro, appartiene alla Sua organizzazione e non si compra. La piattaforma non produce sorveglianza umana, la rende documentabile.

Caso d’uso 3: ricostruire che cosa ha fatto davvero un agente

Quattro settimane dopo qualcuno chiede conto: la revisione interna, un cliente, un’autorità di controllo, oppure l’interessato stesso. La domanda suona ogni volta simile. Quali dati sono stati utilizzati, quale strumento è stato chiamato, da chi approvato e in quale ordine? Senza registro la risposta è una ricostruzione fatta di ricordi e di schermate. Con il registro è un’interrogazione.

Con Kisuno ogni chiamata a uno strumento sta nel registro di audit, cioè nel registro progressivo delle operazioni, e questo registro può essere esportato. Le chiamate rifiutate vi compaiono come quelle eseguite, il che in sede di verifica è spesso la parte più interessante. Proprio questo elemento è fra quelli proposti dalla nota della CNIL: rendere riconoscibile, per ogni compito eseguito, quali dati personali siano stati utilizzati, quali agenti abbiano partecipato, quali servizi di terzi siano stati interpellati e in quale successione temporale.¹ Come questo si traduce in direttive e responsabilità è descritto da noi alla pagina Governance.

Il limite, ed è più grande di quanto sembri: il registro mostra ciò che è passato da Kisuno. Ciò che qualcuno fa a fianco con un accesso privato presso un fornitore qualsiasi non compare lì. Uno strumento non crea un inventario dell’intero utilizzo di IA in azienda, vede solo la propria strada. Esattamente qui sta anche la lacuna che la statistica ufficiale lascia aperta. Chi ha bisogno di un quadro completo non evita il lavoro organizzativo.

Limiti: dove questa strada per la Francia non va bene

La frase più scomoda per prima, e riguarda noi stessi. Per i dati particolarmente sensibili dello Stato l’articolo 31 della Loi SREN richiede una prova, e il decreto del 12 agosto 2026 che approva il catalogo dei requisiti ammette esattamente due strade: una qualificazione dell’ANSSI oppure una certificazione dell’Unione europea o di uno Stato parte dell’accordo sullo Spazio economico europeo, riconosciuta come equivalente dall’agenzia.⁴ Il catalogo, noto come SecNumCloud, richiede esso stesso al numero 19.6, per la protezione dal diritto extraeuropeo, che sede legale, amministrazione centrale e stabilimento principale del fornitore si trovino in uno Stato membro dell’Unione.⁹ La Svizzera non è né membro dell’Unione europea né parte contraente dello Spazio economico europeo. Un data center svizzero, allo stato attuale, non può soddisfare questo requisito, per quanto bene sia gestito. E il requisito va oltre la sede. Il numero 19.6 lettera a riguarda la nostra sede, la lettera c riguarda ogni società terza con sede fuori dall’Unione che potrebbe tecnicamente accedere ai dati trattati nel servizio o ai dati tecnici.⁹ Chi deve fornire questa prova deve quindi verificare anche il percorso dei modelli: i modelli di OpenAI (ChatGPT) e Anthropic (Claude) vengono eseguiti nel data center AWS di Francoforte, e AWS è un’azienda statunitense, per cui si applica lo US CLOUD Act. Per i clienti con requisiti elevati di protezione dei dati sono disponibili modelli aperti di punta come GLM, Kimi e DeepSeek, gestiti da aziende europee su server in Europa; lì il CLOUD Act non si applica. Vale allo stesso modo nel self-hosting, se Lei mantiene il percorso via AWS. Per le amministrazioni francesi che ricadono in questo obbligo il nostro servizio gestito a Lupfig non è quindi la strada giusta. Quello che resta è il self-hosting: l’obbligo è legato al ricorso a un servizio cloud di un fornitore privato. Se il software lo gestisce Lei, la questione non si pone più per noi, ma solo per le prestazioni a monte che acquista Lei. La base LibreChat è rilasciata con licenza MIT, il repository con le nostre estensioni seguirà a breve, e da noi il self-hosting non costa nulla, come si legge alla pagina Self-Host. Preferiamo dirlo noi, piuttosto che lasciarglielo scoprire in una procedura di gara.

Perché il limite non diventi più grande di quanto sia: questo obbligo non vale per il settore pubblico nel suo insieme. Il decreto attuativo del 14 aprile 2026 nomina le amministrazioni dello Stato, i loro operatori e sei groupements d’intérêt public indicati per nome. Il decreto non nomina gli enti territoriali; non rientrano quindi in questo obbligo, e fra imprese private l’obbligo non vale comunque.⁷ Chi però fornisce lo Stato dovrebbe leggere anche le circolari: la circolare numero 6519/SG del 5 febbraio 2026 fa della sovranità digitale il secondo obiettivo prioritario degli acquisti digitali dello Stato, dopo la prestazione funzionale, e vi comprende fra l’altro l’indipendenza dal diritto extraeuropeo con portata extraterritoriale.¹⁰ Se e come questo incida sul Suo caso concreto lo decide la stazione appaltante e non un articolo di blog. Questo articolo non sostituisce una consulenza legale.

Una seconda frase è letteralmente esatta e porta comunque fuori strada. È vero che nessun grande fornitore americano detiene questa qualificazione a proprio nome. Concluderne che la tecnologia americana sia perciò esclusa sarebbe sbagliato. Dal 17 dicembre 2025 è qualificata l’offerta PREMI3NS di S3NS, impresa comune di Thales e Google Cloud che si appoggia a tecnologia Google.¹¹ La strada che passa da una società francese che licenzia la tecnologia e risponde essa stessa dell’esercizio è aperta e viene percorsa. Chi in un bando o in una trattativa sostiene che la tecnologia statunitense sia così fuori gioco, viene smentito. Vale per noi come per tutti gli altri, ed è un motivo per non giocare questa carta.

Alla nota della CNIL appartiene una limitazione che lasciamo espressamente in piedi. È esplorativa. Non è una raccomandazione, non è una linea guida e non è un quadro vincolante, e non ne annuncia nemmeno uno. In Francia non vincola nessuno e in Italia non ha alcun effetto giuridico. Nomina il Model Context Protocol una sola volta, in una nota a piè di pagina, come esempio di un protocollo di scambio diffuso, e non ne trae alcuna conclusione, né a favore né contro un determinato procedimento.¹ Chi la cita come conferma di una decisione di prodotto la forza oltre quello che dice. Noi la leggiamo per quello che è: una descrizione dei rischi con cui l’autorità competente sta lavorando in questo momento, e una raccolta di elementi su cui nessuno ha ancora deciso.

Da ultimo il limite tecnico, ed è il più duro. La nostra piattaforma non riconosce un server di strumenti malevolo. Non impedisce nemmeno la prompt injection, cioè un’istruzione nascosta in un documento, in un messaggio o in una pagina web che un modello, leggendola, fraintende come incarico. Quello che fa è più stretto e più onesto. Limita il raggio d’azione, perché uno strumento non abilitato non viene chiamato e un accesso in scrittura richiede una seconda decisione, e rende la pratica verificabile, perché ogni chiamata sta nel registro. Neppure i riferimenti alle fonti in una base di conoscenza impediscono che un modello affermi qualcosa di falso, lo rendono soltanto verificabile. Un’offerta che a questo punto Le promette sicurezza invece di limitazione e prova andrebbe guardata più da vicino; che cosa facciamo e che cosa no è scritto alla pagina Security e Trust. E ancora una volta, visto che in questa sezione si è parlato molto di diritto: questo articolo non sostituisce una consulenza legale.

Domande frequenti su IA agentica, diritti sugli strumenti e Francia

Fonti

Tutte le cifre, le citazioni e i riferimenti giuridici di questo articolo provengono dalle fonti seguenti, verificate da ultimo nel settembre 2026. Le rilevazioni si riferiscono a popolazioni diverse, e nel testo abbiamo indicato di volta in volta quale sia.

1. CNIL e Conseil de l’IA et du Numérique, nota «IA agentique et protection des données personnelles: équation à inconnues multiples pour les utilisateurs», pubblicata il 20 luglio 2026. Le espressioni citate «la circulation de données personnelles entre de nombreux services» e «un risque réel de perte de maîtrise sur ses données personnelles» si trovano nel comunicato di accompagnamento della CNIL; gli elementi su tracciabilità, classificazione per rischio e approvazione umana stanno nella sezione IV della nota, la menzione del Model Context Protocol nella sua nota 2: cnil.fr
2. Model Context Protocol, specifica nella versione 2026-07-28, pubblicata il 28 luglio 2026, con nucleo di protocollo privo di stato, eliminazione di initialize e dell’identificativo di sessione, autorizzazione irrobustita e il campo extensions nelle capacità di client e server: modelcontextprotocol.io. L’autorizzazione gestita per le imprese è indicata come estensione a sé nella panoramica delle estensioni: modelcontextprotocol.io
3. DGEFP e CNIL, in partenariato con AFCDP e Afpa, Observatoire des DPO, indagine 2025 «Les DPO à l’heure de l’IA», condotta dall’Afpa, rilevazione online dal 5 al 21 novembre 2025, 2.390 responsabili della protezione dei dati rispondenti, risultati pubblicati il 3 luglio 2026: 6% delle organizzazioni molto ben preparate al regolamento sull’IA, 27% con buona conoscenza del testo del regolamento, 85% senza una propria formazione sull’intelligenza artificiale: cnil.fr
4. Arrêté du 12 août 2026 portant approbation du référentiel d’exigences relatif aux prestataires de services d’informatique en nuage, articolo 2 sulla prova tramite una qualificazione dell’ANSSI o una certificazione dell’Unione europea o dello Spazio economico europeo da essa riconosciuta come equivalente; ciò che viene così approvato è il catalogo dei requisiti SecNumCloud nella versione 3.2, quello a cui rinvia la nota 9: legifrance.gouv.fr
5. Insee, Insee Première numero 2120, «Les technologies de l’information et de la communication dans les entreprises en 2025», pubblicato il 21 luglio 2026, circa 11.000 imprese interpellate da una popolazione di circa 194.000 imprese con almeno dieci addetti. La parte metodologica precisa che le risposte in linea di principio non comprendono l’uso puntuale e individuale da parte dei dipendenti: insee.fr
6. Ifop per Julhiet Sterwen, Baromètre Phygital Workplace 2026, 1.003 dipendenti interpellati in imprese francesi con almeno 1.000 addetti, presentato nell’aprile 2026. Rilevazione commissionata da una società di consulenza; i valori qui utilizzati secondo la ripresa della stampa specializzata: themedialeader.com
7. Décret n° 2026-272 du 14 avril 2026 relatif à la protection des données d’une sensibilité particulière des administrations, opérateurs et groupements d’intérêt public de l’Etat traitées par un service d’informatique en nuage fourni par un prestataire privé, emanato in attuazione dell’articolo 31 della Loi SREN del 21 maggio 2024; l’articolo 1 del decreto nomina i sei groupements d’intérêt public, l’articolo 2 i dieci ambiti di requisiti: legifrance.gouv.fr. L’elenco delle categorie di dati, cioè ordine pubblico, sicurezza pubblica, salute o vita delle persone e tutela della proprietà intellettuale, sta nell’articolo 31 della Loi SREN stessa: legifrance.gouv.fr
8. CNIL, bilancio delle sanzioni e delle misure correttive per l’anno 2025, pubblicato il 9 febbraio 2026: 83 sanzioni, di cui 78 multe, per un totale di 486.839.500 euro: cnil.fr
9. ANSSI, «Prestataires de services d’informatique en nuage (SecNumCloud), référentiel d’exigences», versione 3.2, requisito 19.6 lettera a sulla protezione dal diritto extraeuropeo: «Le siège statutaire, administration centrale et principal établissement du prestataire doivent être établis au sein d’un État membre de l’Union Européenne.»; la lettera c dello stesso requisito riguarda il ricorso a una società terza con sede fuori dall’Unione e impone che questa non abbia alcuna possibilità tecnica di accedere ai dati trattati nel servizio, dati tecnici compresi: cyber.gouv.fr
10. Circulaire n° 6519/SG du 5 février 2026 relative à la commande publique numérique, con la sovranità digitale come secondo obiettivo prioritario dopo la prestazione funzionale e con l’indipendenza dal diritto extraeuropeo con portata extraterritoriale come una delle sue componenti: legifrance.gouv.fr
11. Thales, comunicato sulla qualificazione SecNumCloud 3.2 per l’offerta PREMI3NS di S3NS, l’impresa comune di Thales e Google Cloud, rilasciata il 17 dicembre 2025: thalesgroup.com