Chiedi al team di piattaforma dove gira il modello e ti rispondono con una regione: «Francoforte». Tiri un sospiro di sollievo. La stessa notte, per risolvere il caso di un cliente, l'agente interroga un CRM nel cloud di una terza parte, chiama uno strumento di ricerca esterno, fa passare il testo da un server MCP che qualcuno ha installato a marzo e, quando il fornitore principale si satura, riprova su un altro modello in un'altra regione. Francoforte era un anello su cinque.
La tesi in una riga: la sovranità dei dati di un agente non la decide dove gira il modello; la decide ogni anello della catena che l'agente percorre per fare il suo lavoro. Un perimetro che guarda solo il modello è un lucchetto su una porta con quattro finestre aperte.
Sovranità dei dati con gli agenti IA: la decide ogni chiamata, non il modello
Un chatbot classico aveva un confine facile da tracciare: l'utente scrive, il modello risponde e il dato va e viene da un unico posto. Un agente rompe questa geometria perché agisce: legge in un sistema, scrive in un altro, chiede aiuto a uno strumento, conserva memoria. Ognuna di queste azioni è una chiamata di rete, e ogni chiamata di rete è una decisione su dove va il dato, chi lo tratta e per quanto tempo lo conserva. «Dove vive il nostro agente?» non ha una risposta utile. Quella che ce l'ha è: «dove va ogni byte di questa esecuzione?»
Se l'esecuzione contiene dati personali, ogni destinazione è, in termini di protezione dei dati, un trattamento con il suo fornitore, il suo contratto di responsabile del trattamento e, se esce dallo Spazio economico europeo, la sua base di trasferimento. Un agente non cambia le regole: moltiplica i posti in cui applicarle. Abbiamo già spiegato in IA generativa e GDPR: quello che il tuo fornitore non ti dice perché l'etichetta «enterprise» non è una garanzia; con gli agenti il problema smette di essere un contratto e diventa un percorso.
I cinque anelli di una catena di agente e cosa esce da ciascuno
| Anello | Cosa può uscire | La domanda che decide |
|---|---|---|
| Modello principale | Il prompt completo: istruzioni, contesto recuperato e dati del caso | In quale regione viene elaborato e conservato, e con quale contratto? |
| Strumenti e API | I parametri di ogni chiamata: nomi, importi, identificativi | Quali campi riceve davvero lo strumento e gli servono tutti? |
| Server MCP e connettori | Ciò che il server chiede e che l'agente gli consegna, a volte a una terza parte | Chi lo gestisce, dove gira e chi l'ha approvato? |
| Modello di riserva | La stessa richiesta rinviata a un altro fornitore o a un'altra regione quando il principale fallisce | La tua policy consente quella riserva o scatta da sola? |
| Memoria, tracce ed embedding | Copie del dato in vettori, log e strumenti di osservabilità | Chi vede le tracce, quanto vengono conservate e dove vivono? |
MCP merita una riga a parte. È lo standard che collega un agente a strumenti e dati tramite server, e quei server possono essere tuoi, di un fornitore o di una terza parte che qualcuno ha installato per comodità (spieghiamo cos'è MCP e perché cambia gli agenti aziendali). Un server remoto riceve tutto ciò che l'agente gli manda. Trattarlo come «un plugin» significa trattare un sub-responsabile come un'estensione del browser.
I due anelli che perdono di più sono il quarto e il quinto, per lo stesso motivo: funzionano quando non li vedi. Il modello di riserva è una rete di sicurezza utile: il principale restituisce un errore, il router riprova sul successivo della lista e l'utente non si accorge di nulla. Nemmeno la tua policy dei dati se ne accorge: diceva «solo regione UE» e ha appena inviato lo stesso prompt a un'altra. Le tracce sono altrettanto silenziose: lo strumento che ti aiuta a fare debug conserva, se non l'hai configurato apposta, una copia letterale di ogni conversazione.
E il quadro giuridico dei trasferimenti? Non è una costante nemmeno quello
Parte della risposta a «posso mandare questo a un fornitore statunitense?» poggia sul Data Privacy Framework UE-USA. Il Tribunale dell'UE ne ha confermato la validità il 3 settembre 2025, respingendo il ricorso di Philippe Latombe, e Latombe ha impugnato la decisione davanti alla Corte di giustizia il 31 ottobre 2025 (fonte: WilmerHale, dicembre 2025). Ambito: diritto dell'UE; riguarda i dati personali che escono dal SEE verso aziende statunitensi certificate e non si estende ad altri regimi.
Come verificare la sovranità di un agente senza un team di piattaforma
Non serve un progetto di sei mesi. Servono un'esecuzione reale e un'ora:
- Prendi una richiesta reale, di quelle con dati di cliente, ed eseguila con il log di rete o le tracce dell'agente attivi.
- Annota ogni destinazione verso cui esce traffico: dominio, fornitore e regione, se la conosci. Di solito sono più di quante ti aspettavi.
- Segna quelle che portano dati personali o riservati e, per ciascuna, scrivi tre cose: contratto, regione e periodo di conservazione. Dove non sai compilarne una, quella è la tua scoperta.
- Decidi per anello: tagliare, minimizzare (inviare solo i campi necessari), pseudonimizzare prima dell'uscita o cambiare fornitore.
- Tieni il risultato come mappa viva: una pagina con le destinazioni approvate. Ogni nuovo anello — uno strumento, un server MCP, una riserva — entra nella mappa prima di entrare in produzione.
Due elementi lo rendono più facile di quanto sembri. Il primo sono i permessi di un agente IA: un agente con identità propria e ambito per attività limita già quali dati arrivano a ogni strumento. Il secondo è scegliere quale modello usare in un agente con regione e contratto sul tavolo, non solo la precisione. E se la tua risposta a «lo ospitiamo noi?» è sì, leggi prima quando conviene il self-hosting e cosa risolve davvero: ospitare il motore non chiude gli altri quattro anelli.
Quando la mappa ha più destinazioni di quante il tuo team riesca a rivedere, è lavoro di governance dei dati, e la parte che dimostra cosa è successo a ogni esecuzione è la tracciabilità delle decisioni dell'IA.
Quando non serve tanto
Se il tuo agente tocca solo informazioni pubbliche o non personali — uno che riassume documentazione aperta, per esempio — e non scrive in nessun sistema, la mappa a cinque anelli è eccessiva: basta sapere quale fornitore lo esegue. E ospitare tutto in casa non è una soluzione automatica: un modello sulla tua infrastruttura che consegna il dato completo a uno strumento esterno perde comunque; ha solo cambiato anello. Tutto questo è giudizio operativo, non consulenza legale: la base giuridica di ogni trasferimento la valida il tuo DPO o il tuo consulente.
La frase da portarsi via: non chiedere dove gira il modello, chiedi dove va ogni chiamata. La prima domanda ha una risposta comoda. La seconda ha una lista, ed è quella lista che devi poter mostrare.