Un agente IA che naviga sul web è l'ultima risorsa, non la prima
Un agente IA che naviga sul web fa esattamente quello che il nome promette: apre un browser, guarda lo schermo, muove il cursore, digita e clicca, come farebbe una persona. Ed è lì la trappola, perché sembra una soluzione universale: se può farlo una persona, può farlo l'agente. È vero ed è irrilevante. Anche una persona può copiare mille righe a mano. Che una cosa sia possibile non la rende il modo sensato di farla.
La tesi, senza giri di parole: il browser è il piano D. Prima vengono l'API del sistema dall'altra parte, l'integrazione via connettore o iPaaS e — molto più spesso di quanto si ammetta — una persona che dedica dieci minuti al giorno a qualcosa che non giustifica automatizzare niente. Il browser entra in scena solo quando tutte e tre sono davvero chiuse. Le vie pulite stanno in integrare l'IA con i tuoi sistemi: quella guida scarta tutto ciò che non è una porta in cui infilare la spina, e questa comincia esattamente dove quella si ferma, sul caso che scarta.
Il motivo di tanta cautela è che questa via non fallisce per il modello. Fallisce per cose fuori dal tuo controllo: lo schermo di un altro, la sessione di un altro, le regole di un altro. Puoi fare tutto bene e svegliarti un martedì con il processo fermo perché qualcuno ha spostato un pulsante.
I tre casi in cui non c'è un'altra porta
Ci sono situazioni in cui il browser non è pigrizia: è l'unica cosa rimasta. Si riconoscono da un segnale comune — non è che l'API non esista ancora, è che non esisterà.
- Il portale del fornitore o del cliente grande. Ti obbligano a entrare nella loro extranet per caricare bolle, scaricare liquidazioni o confermare ordini. Non c'è API, non ci sarà, e il tuo volume non giustifica che ne costruiscano una per te. Il rapporto commerciale va in una direzione, e non è la tua.
- La pubblica amministrazione. Portali telematici, piattaforme di gara, registri. Qui l'accesso è pensato perché lo faccia una persona con il suo certificato, e la strada automatizzata o non esiste o richiede un'integrazione formale che impiega mesi a essere concessa. Attenzione a dare per scontato che pubblico significhi aperto: non è la stessa cosa.
- Il vecchio gestionale interno. Quell'ERP del 2009, l'applicativo desktop del magazzino, il programma installato da un fornitore che ha chiuso. Ha un database, ma nessuno firma per toccarlo; ha uno schermo, e lo schermo funziona. L'API non esiste perché non esiste il budget per costruirla, che è un modo perfettamente valido di non esistere.
Il controesempio conta quanto i casi. Se il fornitore ha un'API e non te l'ha data perché sta in un altro piano tariffario, quello non è un problema tecnico: è una trattativa. Montare un agente che naviga per non pagare il connettore costa di solito più in manutenzione il primo anno del connettore stesso, e in più ti mette dal lato scomodo delle loro condizioni d'uso. Prima di scrivere la prima riga, chiedi il prezzo. A volte l'automazione più redditizia è una mail a un commerciale.
Cosa si rompe sempre: cinque guasti che non dipendono da te
Questi cinque non sono rischi ipotetici che forse arriveranno. Sono il calendario di manutenzione di qualsiasi agente che viva dentro il browser di un altro. Chi te lo vende senza nominarli non l'ha mai avuto in produzione.
- L'interfaccia cambia e nessuno ti avvisa. Niente versionamento, niente nota di rilascio, niente periodo di grazia. Un restyling, un nuovo campo obbligatorio o un banner cookie diverso e il flusso si ferma a metà. Con un'API rotta lo scopri da un codice di errore; qui lo scopri perché qualcuno chiede perché non sono arrivate le fatture.
- La sessione scade e il secondo fattore non tratta. Tenere un agente autenticato in un sistema di terzi è il problema noioso che si porta via metà del tempo di gestione. Se l'accesso richiede un codice usa e getta, un'app sul telefono di qualcuno o un certificato su una smart card, c'è una persona nel ciclo per design. Non è un difetto dell'agente: è una decisione di sicurezza dell'altra parte, ed è legittima.
- Il captcha e le condizioni d'uso. Il captcha non è un ostacolo tecnico da aggirare: è la controparte che dice esplicitamente di non volere traffico automatico. Superarlo di solito rompe i termini del servizio e, a seconda del contesto, qualcosa di più dei termini. Quando compare un captcha, la conversazione giusta non è con il team tecnico, è con chi firma il contratto.
- La pagina che legge può anche dargli ordini. Un agente che naviga non distingue in modo affidabile tra il contenuto che gli chiedi di leggere e un'istruzione nascosta in quel contenuto. Non è un problema di maturità in via di risoluzione: OpenAI ha dichiarato a dicembre 2025 che la prompt injection, come le truffe e l'ingegneria sociale, difficilmente sarà mai risolta del tutto (TechCrunch, 22 dicembre 2025), e Anthropic ha pubblicato i suoi risultati di robustezza sulla navigazione con un avvertimento esplicito: nessun agente di browser è immune (Anthropic, 24 novembre 2025). La conseguenza pratica è di architettura, non di prompt: l'agente può fare danni solo fin dove arrivano le sue credenziali.
- Il costo e l'orologio si contano per passo. Ogni passo è uno screenshot, una decisione del modello e un'azione. Un compito da dodici passi sono dodici decisioni con immagine, non una chiamata. Quello che via API è una richiesta di millisecondi qui diventa minuti e un consumo che cresce a ogni tentativo.
Perché il punteggio del benchmark non predice il tuo
I numeri pubblici di questa categoria sono migliori di quanto molti credano e peggiori di quanto suggerisca la demo. Su WebArena, il banco di prova di riferimento, il miglior sistema tracciato nella classifica pubblica si aggira sul 74 % di compiti completati contro il 78 % di una persona (Steel.dev, classifica WebArena). OpenAI ha riportato per il suo agente d'uso del computer un 87 % su WebVoyager e un 58,1 % su WebArena nei test interni. Numeri rispettabili per un problema difficile.
Il problema è cosa misurano. Quei banchi di prova girano su repliche di siti pubblici, lungo il percorso buono, senza accesso aziendale, senza secondo fattore, senza captcha e — questo è il punto — senza conseguenza. Un clic sbagliato in un benchmark aggiunge un fallimento a una tabella. Un clic sbagliato sul portale del tuo fornitore conferma un ordine da undicimila euro. Non c'è modo di trasferire una percentuale dal primo al secondo, quindi non provarci: l'unico dato che vale è il tuo, misurato sul tuo portale, con i tuoi casi reali, per un paio di settimane in modalità osservazione.
Tradotto in decisione: non comprare per la demo né per la classifica. Chiedi una prova sul tuo schermo, casi scomodi inclusi — il fornitore che scrive il numero di fattura con un trattino, l'ordine con due righe annullate — e conta quante volte va recuperato. Quella percentuale è ciò che determina se il processo ti fa risparmiare lavoro o se te lo sposta altrove.
Le quattro condizioni per andare in produzione
Se il caso è legittimo e la prova è andata ragionevolmente, manca ancora la parte che separa un esperimento da qualcosa che può restare acceso da solo. Quattro condizioni, nessuna opzionale: con tre su quattro, questo non va in produzione.
- Azione reversibile. L'agente esegue solo cose che si possono disfare senza chiamare nessuno: scaricare, leggere, compilare una bozza, salvare senza inviare. Confermare, pagare, firmare e annullare restano fuori dall'ambito automatico dal primo giorno, per quanto l'agente sia perfettamente in grado di cliccarli.
- Limite di passi rigido. Un tetto di azioni per compito che, una volta raggiunto, ferma e avvisa. Senza, un agente perso su uno schermo che non capisce riprova finché non esaurisce il budget, e il primo segnale che qualcosa non andava arriva in fattura.
- Registrazione di ogni azione. Screenshot o log di cosa ha visto e cosa ha cliccato, a ogni passo, conservato fuori dalla sessione. Non è burocrazia: è l'unica cosa che permette di ricostruire cosa è successo quando il fornitore dice che è stato confermato un ordine che nessuno ricorda di aver confermato. Senza prova non c'è audit, e senza audit questo non è un sistema, è una scommessa.
- Persona su ciò che è irreversibile. Il passo che impegna denaro, invia qualcosa a terzi o cambia uno stato che non si può tornare indietro passa da una persona che vede cosa sta per accadere e lo approva. Con contesto sufficiente per decidere in dieci secondi, non una finestra che si chiude per abitudine.
Le ultime due condizioni non sono specifiche di questa via: sono le stesse che regolano quali permessi dare a un agente IA e quanta autonomia concedergli. Quello che cambia qui è il margine: quando l'agente agisce sullo schermo di un altro, con la credenziale di un tuo dipendente, l'errore non resta in casa.
L'ordine di decisione, in un pomeriggio
Quattro domande, in quest'ordine. La prima che dà un sì decide, e se arrivi alla quarta sai già a cosa ti esponi.
- C'è un'API e te la possono dare? Se esiste, anche a pagamento, chiedi il prezzo prima di programmare qualsiasi cosa. Un connettore noioso batte un agente brillante che si rompe a ogni restyling.
- C'è un'integrazione già fatta — connettore, iPaaS, esportazione pianificata? L'esportazione notturna su un file, di cui nessuno si vanta in una demo, risolve più processi di quanto sembri, e non si rompe.
- Quanto lavoro umano c'è davvero qui? Dieci minuti al giorno non pagano la manutenzione di un agente che naviga. Misuralo prima di decidere; a volte il risultato dell'esercizio è non automatizzare, ed è una risposta perfettamente buona.
- Se sei arrivato fin qui, le quattro condizioni sono soddisfatte? Reversibile, tetto di passi, registrazione di tutto, persona sull'irreversibile. Se ne manca una, il processo non è pronto, e forzarlo significa comprarsi un rischio per risparmiarsi una pratica.
Arriviamo a questa via con riluttanza e la usiamo quando serve, cioè più spesso di quanto vorremmo: buona parte dell'Europa fattura ancora contro portali senza API. Quando è il caso, la montiamo con le quattro condizioni messe dal primo giorno e con la manutenzione a budget, perché quello che uccide questi progetti non è costruirli, è il terzo restyling. È ciò che sta sotto l'automazione delle operazioni e sotto l'infrastruttura di IA aziendale quando il processo deve convivere con sistemi già in produzione. Il resto delle decisioni di montaggio — permessi, autonomia, memoria, canale — sta in creare un agente IA che regga la produzione.