La direttiva NIS2 non nomina l'intelligenza artificiale agentica. Questo però non la mette fuori dal suo campo di applicazione: la NIS2 ragiona in termini di rischi per la continuità e la sicurezza dei servizi essenziali e importanti, e un agente che può leggere sistemi, invocare API e compiere azioni è a tutti gli effetti una componente operativa capace di generare quei rischi.
Il salto rispetto ai chatbot è sostanziale. Un assistente conversazionale produce testo; un agente produce effetti. Può aprire ticket, modificare record, avviare processi, inviare comunicazioni. Da un punto di vista di gestione del rischio non è un'applicazione di produttività: è un attore che opera dentro l'infrastruttura con un'identità e dei permessi.
Ne discende una serie di requisiti che le organizzazioni tendono a sottovalutare. Gli agenti vanno inventariati come si inventariano i sistemi. Vanno dotati di credenziali proprie e distinte, non delle credenziali di un utente umano. Le loro azioni vanno registrate in modo non alterabile. Il loro comportamento anomalo va rilevato come si rileva quello di un endpoint compromesso.
Sul piano delle competenze serve un profilo che oggi scarseggia: qualcuno che capisca sia il funzionamento dei modelli sia l'architettura di sicurezza aziendale. Chi conosce solo l'AI sottovaluta la superficie d'attacco; chi conosce solo la sicurezza tratta l'agente come un'applicazione tradizionale e non ne coglie l'imprevedibilità.
Infine la responsabilità manageriale, che nella NIS2 è esplicita e personale. Gli organi di direzione rispondono dell'adeguatezza delle misure di gestione del rischio. Autorizzare l'introduzione di agenti autonomi su processi rilevanti senza aver preteso una valutazione strutturata è una decisione che oggi ha un nome e un cognome accanto.