12 agosto 2026
Gli agenti di intelligenza artificiale stanno uscendo dai laboratori per entrare in produzione. Svolgono ricerche, scrivono codice, richiamano applicazioni, completano transazioni e concatenano attività articolate in più fasi con una supervisione umana minima. Questo cambiamento crea un problema di identità degli agenti di intelligenza artificiale che la maggior parte delle organizzazioni non ha previsto, poiché i sistemi a cui ora viene richiesto di gestire gli agenti non sono mai stati progettati tenendo conto della loro esistenza.
La gestione tradizionale delle identità e degli accessi presuppone la presenza di una persona dall’altra parte. I dipendenti effettuano l’accesso, ottengono un’autorizzazione legata al proprio ruolo e la perdono quando lasciano l’azienda. Gli agenti stravolgono questo modello. Un singolo agente può funzionare 24 ore su 24, interagire con una dozzina di sistemi contemporaneamente e agire per conto di diverse persone nel corso della giornata.
Nel suo rapporto “2026 Hype Cycle™ for Digital Identity”, riteniamo che Gartner® individui tre fattori che stanno ridefinendo l’identità digitale: l’ascesa degli agenti di intelligenza artificiale, la spinta verso la visibilità dell’identità e un insieme sempre più ampio di minacce legate all’identità. Il filo conduttore è che i responsabili della sicurezza dovranno ripensare le proprie scelte di investimento se vogliono sostenere l’adozione dell’intelligenza artificiale senza perdere il controllo su chi e cosa può accedere ai propri sistemi.
IAM è stato creato per le persone
L'IAM convenzionale funziona quando l'utente è una persona con una qualifica professionale, un ruolo manageriale e un insieme di responsabilità relativamente stabile. Un agente non ha nulla di tutto ciò. Potrebbe aver bisogno di un record cliente per due secondi, chiamare un'API, aggiornare un campo e passare oltre, con le sue autorizzazioni che cambiano da una transazione all'altra.
Molti team oggi gestiscono questa attività tramite account di servizio condivisi, chiavi API statiche o credenziali di accesso di un dipendente prese in prestito. Queste scorciatoie consentono di rendere operativo un progetto più rapidamente, ma lasciano senza risposta alcune domande fondamentali: chi ha effettivamente eseguito l’azione, cosa era autorizzato a fare l’agente, se fosse necessario un livello di accesso così elevato e chi è responsabile quando qualcosa va storto. Una volta che l’attività dell’agente viene attribuita a un account umano o condiviso, la traccia di audit perde gran parte del suo significato e diventa più difficile tenere sotto controllo le autorizzazioni.
Le identità delle macchine stanno superando i programmi destinati a controllarle
Le identità non umane si stanno già moltiplicando tra servizi cloud, API, container, flussi di lavoro automatizzati e applicazioni aziendali, ben prima che gli agenti entrassero in scena. Il sondaggio di Gartner del 2025 sulle identità delle macchine ha rivelato che “il 94% delle organizzazioni sta affrontando un aumento delle identità delle macchine, determinato in gran parte dall’intelligenza artificiale e dall’implementazione di agenti basati sull’IA”.
Questo divario trasforma i consueti problemi di sicurezza in problemi su larga scala. Le credenziali continuano a esistere ben oltre il loro scopo, le autorizzazioni si accumulano e i team perdono di vista quali identità esistono e a cosa possono accedere. Un malintenzionato non ha bisogno di compromettere l’accesso di un dipendente quando è disponibile un account di servizio con privilegi eccessivi o un agente che opera con una chiave a lunga durata.
L'autenticazione da sola non sarà sufficiente per la prossima strategia IAM
L'autenticazione di un agente conferma quale identità stia effettuando una richiesta. Non dice nulla sul fatto che la richiesta sia ragionevole o meno. Rispondere a questa domanda significa valutare il ruolo dell'agente, la persona per conto della quale agisce, il compito che deve svolgere e la sensibilità delle informazioni a cui sta cercando di accedere, e una singola decisione di accesso non può tenere conto di tutti questi aspetti.
A nostro avviso, il Gartner Hype Cycle™ raggruppa diverse tecnologie emergenti legate a questo problema: identità degli agenti di intelligenza artificiale, gestione dell’accesso ai carichi di lavoro, controllo degli accessi basato sull’intento, gestione dello stato di sicurezza delle identità e piattaforme di visibilità delle identità. Nel loro insieme, queste tecnologie descrivono un modello più dinamico, in cui l’accesso può essere di breve durata, limitato a una singola attività e sottoposto a revisione continua, anziché essere concesso una volta per tutte e poi dimenticato.
Da dove cominciare
Il primo passo concreto consiste nel mappare le modalità con cui gli agenti vengono già utilizzati all’interno della vostra organizzazione, compresi sia i progetti approvati sia quelli che uno sviluppatore ha configurato senza una revisione formale. Da lì potrete individuare i casi in cui gli agenti operano utilizzando credenziali umane, condividono account di servizio, dispongono di autorizzazioni estese o permanenti, accedono a dati sensibili o funzionano senza un responsabile chiaro.
L'obiettivo non è quello di rallentare l'adozione dell'IA, ma di evitare che una soluzione temporanea si trasformi in un'architettura di sicurezza permanente. È utile collegare la governance dell'identità degli agenti IA al lavoro già in corso sull'identità delle macchine e sul modello Zero Trust. Se si considera l'IA come un progetto di sicurezza a sé stante, si crea un altro silo; se invece si trattano gli agenti come identità, è possibile applicare controlli che l'azienda già conosce.
Una serie di domande più difficili
Per anni, l’IAM si è ridotto a un’unica domanda: “È l’utente giusto?”. Gli agenti ne aggiungono molte altre: “Cosa sta effettuando questa richiesta?”, “Chi l’ha autorizzata?”, “Cosa sta cercando di fare?”, “Dovrebbe ancora avere accesso in questo momento?”. Rispondere a queste domande diventa sempre più difficile man mano che gli agenti si fanno carico di un carico di lavoro maggiore, e le organizzazioni che le affrontano tempestivamente avranno molto più margine per utilizzare l’intelligenza artificiale senza concederle un accesso ampio e invisibile in tutta l’azienda.
Il Gartner Hype Cycle™ per l’identità digitale, 2026 illustra oltre due dozzine di tecnologie che stanno ridefinendo il concetto di identità, dall’identità degli agenti di intelligenza artificiale e la gestione dell’accesso ai carichi di lavoro alle piattaforme di visibilità dell’identità e allo Shared Signals Framework, ciascuna corredata dalla valutazione dei benefici di Gartner, dalla valutazione della maturità e dal tempo stimato per l’adozione su larga scala.
Scarica il “Gartner Hype Cycle for Digital Identity, 2026” ›
Gartner, Hype Cycle for Digital Identity, 2026, Zachary Smith, Nayara Sangiorgio, 6 luglio 2026.
Gartner e Hype Cycle sono marchi registrati di Gartner, Inc. e/o delle sue affiliate.
Gartner non promuove alcuna azienda, fornitore, prodotto o servizio citato nelle proprie pubblicazioni e non consiglia agli utenti di tecnologia di scegliere esclusivamente i fornitori con le valutazioni più elevate o altre designazioni. Le pubblicazioni di Gartner riflettono le opinioni dell’organizzazione di analisi aziendale e tecnologica di Gartner e non devono essere interpretate come affermazioni di fatto. Gartner declina ogni garanzia, espressa o implicita, in relazione alla presente pubblicazione, incluse eventuali garanzie di commerciabilità o idoneità per uno scopo particolare.
Questo grafico è stato pubblicato da Gartner, Inc. nell'ambito di un documento di ricerca più ampio e va valutato nel contesto dell'intero documento. Il documento di Gartner è disponibile su richiesta presso IPROOV LTD.
Prossimo articolo della serie: perché gli agenti di intelligenza artificiale hanno bisogno di identità proprie e perché consentire loro di utilizzare le credenziali dei dipendenti causa più problemi di quanti ne risolva
