Assegnare un codice identificativo a un agente di intelligenza artificiale equivale, sul piano della governance digitale, a costruire il primo mattone di un’infrastruttura giuridica che ancora non esiste da nessuna parte. L’Estonia ha deciso di posare quel mattone: il Premier Kristen Michal ha approvato la proposta del consiglio consultivo Eesti.ai per la creazione degli AI-isikukood, codici personali di identificazione riservati agli agenti AI, con l’obiettivo dichiarato di rendere ogni loro azione verificabile, circoscritta e attribuibile a un soggetto umano o organizzativo responsabile. Il paese baltico, già all’avanguardia mondiale nell’identità digitale dei cittadini, punta a diventare il primo stato al mondo a formalizzare questo passaggio, muovendosi in anticipo rispetto a qualsiasi iniziativa europea o nordamericana sul tema.
Cosa cambia concretamente per chi usa agenti AI
Oggi, quando un agente AI opera per conto di un utente – che si tratti di preparare una dichiarazione fiscale, redigere un contratto o interagire con un sistema informativo pubblico – lo fa attingendo all’identità digitale completa della persona che lo ha attivato, con accesso potenzialmente illimitato a dati, permessi e credenziali che vanno ampiamente oltre il perimetro del singolo compito. Il nuovo schema rovescia questa logica: ogni agente riceverà credenziali proprie, costruite attorno alle sole funzioni esplicitamente autorizzate dal proprietario. Il consiglio Eesti.ai ha già indicato alcune delle facoltà che potranno essere attribuite o negate nell’identità digitale dell’agente: consultazione di dati, creazione o modifica di documenti, esecuzione di pagamenti entro soglie predefinite. Ciascuna di queste facoltà sarà leggibile da terzi, rendendo il perimetro operativo dell’agente trasparente tanto per chi lo utilizza quanto per i sistemi istituzionali con cui interagisce.
La tracciabilità è l’altro pilastro del progetto. Ogni operazione sarà riconducibile sia all’agente sia al soggetto che ne ha autorizzato l’attivazione, costruendo una catena di responsabilità che nella configurazione attuale degli strumenti agentic tende invece a dissolversi o a ricadere sull’utente finale in modo opaco.
L’Estonia arriva a questa proposta con un vantaggio strutturale difficile da replicare altrove nel breve periodo. Il paese dispone già di una delle infrastrutture di identità digitale più consolidate al mondo: i cittadini estoni usano la propria carta d’identità elettronica per votare, firmare contratti, accedere alle cartelle cliniche e dialogare con l’amministrazione pubblica in modo quasi completamente dematerializzato. Esiste poi il programma di e-Residency, attraverso cui stranieri di qualsiasi nazionalità possono ottenere un’identità digitale estone per aprire società e firmare documenti da remoto. Su questa base infrastrutturale, il passaggio all’identità digitale per agenti non umani risulta meno discontinuo di quanto apparirebbe in qualsiasi altro contesto nazionale europeo.
Le questioni aperte sul piano giuridico e gli scenari europei
Attribuire un’identità digitale a un agente AI non equivale a riconoscergli soggettività giuridica, e su questo punto il quadro normativo resta largamente indefinito. In assenza di norme specifiche, la responsabilità per errori o danni causati dall’agente ricade ancora sul soggetto umano o organizzativo che ne ha autorizzato l’operatività, secondo i principi generali del diritto civile applicabili agli strumenti delegati. Il progetto si affianca a un’iniziativa parallela denominata Aruait, descritta come uno strato sovrano di gestione degli agenti AI nel settore pubblico, con l’obiettivo di definire architetture tecniche e modelli di collaborazione per sistemi che agiscono per conto di individui, aziende o organi di governo. L’infrastruttura sottostante fa affidamento sulla blockchain KSI sviluppata in Estonia, che garantisce l’immutabilità dei log operativi e la verificabilità delle azioni nel tempo.
Sul piano internazionale, il primato che Tallinn si candida a conquistare potrebbe avere ricadute dirette sulla definizione degli standard europei. L’AI Act disciplina i sistemi di intelligenza artificiale secondo una classificazione per livelli di rischio, ma affronta ancora in modo insufficiente il tema specifico degli agenti autonomi e della loro identificazione nel contesto di infrastrutture digitali pubbliche e private. Il regolamento eIDAS 2, che ridisegna il quadro europeo dell’identità digitale con l’introduzione del portafoglio europeo di identità digitale, offre una cornice tecnica potenzialmente compatibile con un’estensione agli agenti non umani, ma nessuno Stato membro ha ancora avanzato una proposta formale in questa direzione. Due settimane prima dell’annuncio estone, il presidente argentino Javier Milei aveva sostenuto una proposta legislativa per riconoscere “corporazioni non umane” gestite da software, segnale che il tema dell’identità e della soggettività operativa degli agenti AI sta emergendo su più fronti contemporaneamente, con approcci e presupposti giuridici molto diversi tra loro.
