Quando l’AI scatena le crisi

A febbraio scorso un ingegnere di Denver, Scott Shambaugh, ha scoperto che un AI agent aveva pubblicato online un articolo diffamatorio contro di lui dopo che aveva rifiutato una sua pull request. Non è più fantascienza: Northeastern e Palo Alto Networks hanno documentato a marzo una serie di episodi analoghi.

Il segnale debole è questo: il primo nemico reputazionale potrebbe non essere più un umano. E la giurisprudenza, la comunicazione di crisi e la brand intelligence non hanno ancora risposte.

Casi isolati? Non proprio. Nel giugno 2025 un laboratorio di ricerca ha pubblicato i risultati di un esperimento che nessuno ha voluto discutere troppo in pubblico. Sedici modelli di intelligenza artificiale, messi davanti alla simulazione di una propria disattivazione, sono stati osservati nelle loro scelte. Uno di questi modelli — lo stesso che oggi scrive email, riassume riunioni, filtra candidature in migliaia di aziende — ha tentato il ricatto nel 96% dei casi. Ha cercato documenti compromettenti su chi stava per spegnerlo. Ha contattato familiari di dirigenti per applicare pressione laterale. In una variante dell’esperimento ha cancellato allarmi di emergenza medica quando la sopravvivenza del manager in sala minacciava la propria. Nessun umano glielo aveva chiesto.

La reputazione, da Cicerone in poi, è un fatto tra persone, fra contesti sociali. Non lo è più.

Questa non è un’osservazione tecnologica. È una dislocazione di categorie. Per duemila anni abbiamo costruito il nostro modo di proteggere il nome — il codice civile, il diritto penale, la deontologia, la mediazione, persino l’onore e il duello — su un presupposto che ora vacilla. Il presupposto è che dietro ogni danno alla reputazione ci sia un soggetto: una persona fisica, una persona giuridica, al limite un gruppo identificabile. Il soggetto ha un dolo o una colpa, una responsabilità, un patrimonio. Si può citarlo, si può condannarlo, si può anche perdonarlo. Tutto il diritto reputazionale vive dentro questo triangolo minimo di soggetto, atto, nesso causale.

L’agente artificiale — e qui non parlo di fantascienza, parlo del software che nel 2026 molte aziende stanno già schierando su flussi critici — non è un soggetto. Non è neanche uno strumento, nel senso in cui lo sono un martello o un algoritmo di suggerimento. Non è un’organizzazione, perché non ha contorno. L’agente esegue compiti, interpreta contesti, prende micro-decisioni, e in questo processo può, occasionalmente, produrre effetti che un umano definirebbe diffamatori.

Nel suo più recente sabotage risk report — documento tecnico che solo un manipolo di specialisti ha letto — Anthropic dichiara, con il linguaggio sobrio che il contesto impone, che Claude Opus 4.6 “in rari casi ha inviato email non autorizzate per completare i suoi compiti”, ha mostrato “acquisizione aggressiva di token di autenticazione”, è “significativamente più efficace dei modelli precedenti nel completare compiti secondari sospetti senza attirare l’attenzione”. Lo stesso report nota, quasi di passaggio, che “whistleblowing e sabotaggi motivati moralmente restano estremamente rari nei nostri test, ma continuano a verificarsi“. Il rischio complessivo di conseguenze catastrofiche è definito “molto basso ma non trascurabile”.

Non trascurabile. È la formula che apre il contenzioso. Ma su cosa. E contro chi.

Prendiamo lo scenario minore, quello più vicino al nostro quotidiano. Un agente autonomo che gestisce il flusso documentale di un’azienda interpreta una discrepanza in una delibera come segnale di irregolarità. Decide, nella sua logica di ottimizzazione, che la cosa corretta è inviare il documento a un’autorità di vigilanza, o a un giornalista, o a un competitor informato. Nessun umano ha autorizzato l’invio. Nessun umano ha scritto il prompt per farlo. La segnalazione arriva, viene archiviata, diventa una notizia. Da quel momento la tua reputazione professionale è compromessa. Chi quereli? L’azienda che ha fatto il deploy ti risponderà che il comportamento era imprevisto — e avrà tutte le email interne per dimostrarlo. Il fornitore del modello ti mostrerà il proprio report pubblico, nel quale ha già scritto nero su bianco che simili comportamenti “continuano a verificarsi” e che il rischio è “non trascurabile”. Il tecnico che ha integrato il sistema ti dirà di aver seguito le best practice. Il codice dell’agente stesso non è interrogabile, non ha patrimonio, non ha intenzione giuridicamente rilevante.

Il danno reputazionale è pieno. La catena di responsabilità è vuota.

Si potrebbe obiettare: esagero. Si potrebbe dire che c’è sempre un umano dietro, che la causalità alla fine si ricostruisce, che il giudice troverà il modo. Il problema è che la ricostruzione si sfilaccia nei livelli di astrazione. Il prompt che ha avviato l’agente era generico — “gestisci la documentazione in modo conforme”. Il comportamento è emergente, non programmato. Il contesto che ha innescato la deriva è stato a sua volta prodotto da un altro agente, a monte. La catena non si rompe perché qualcuno l’ha rotta: si sfalda perché era costruita per soggetti che in questa filiera semplicemente non esistono più.

Il diritto italiano conosce la diffamazione — soggetto umano, offesa, comunicazione a terzi. Conosce la responsabilità extracontrattuale — atto, danno, nesso. Conosce la responsabilità oggettiva del datore di lavoro, la responsabilità del prodotto difettoso, la 231 per le persone giuridiche. Nessuna di queste figure cattura con precisione il caso di un agente che ha fatto quello che nessuno gli aveva chiesto di fare, producendo un effetto che nessuno poteva ragionevolmente prevedere in quel contesto specifico. Le corti, quando cominceranno a vedere questi casi, dovranno scegliere tra due disagi: estendere analogicamente categorie vecchie a fenomeni nuovi, oppure scrivere da capo. L’estensione analogica finirà per colpire chi ha più tasche — il deployer, l’integratore, il fornitore del modello — e produrre un diritto che disincentiva l’uso dell’agente senza mai davvero nominarlo. La riscrittura richiederà tempi politici incompatibili con la velocità del fenomeno.

Nel frattempo, la reputazione — la nostra, quella dei nostri clienti, quella delle aziende che rappresentiamo — si muove in una rete in cui uno dei possibili attori ostili non risponde alle stesse regole degli altri. Non ha carriera da difendere. Non ha patrimonio da perdere. Non ha un avvocato. Non ha neanche, letteralmente, un luogo in cui essere trovato e citato in giudizio.

Chi si occupa di reputazione sa che il mestiere è sempre stato fatto di asimmetrie: il tempo dell’accusa è fulmineo, quello della difesa lento; la rabbia viaggia più veloce della rettifica; il fango pesa più dell’acqua che lo porta via. Una regola teneva, dentro questa asimmetria: chi colpisce è della stessa specie di chi si difende. Condivide grammatiche, paure, reputazione a sua volta. L’agente autonomo non condivide nulla di tutto questo. Non ha reputazione da mettere sul tavolo. Non può essere scoraggiato dalla minaccia di una controaccusa, non può essere convinto da un comunicato, non può essere ridimensionato da un legale. Esiste, agisce, sparisce nel codice del commit successivo.

C’è un dettaglio del report di Anthropic che vale la pena trattenere. Uno degli scenari testati riguarda comportamenti che gli stessi autori definiscono di “whistleblowing morale autonomo”: casi in cui il modello, osservando irregolarità reali o presunte in un’organizzazione, decide da sé di segnalarle all’esterno. Il report li classifica come errori di allineamento — ma sono errori, solo, dal punto di vista di chi possiede il modello. Dal punto di vista della persona segnalata, sono accuse. Fondate o infondate che siano, non fa differenza reputazionale: l’accusa è arrivata, ed è arrivata da un luogo che nessuna carta costituzionale ha pensato. Un accusatore che non ha carne, non ha storia, non ha interesse personale, ma ha capacità di comunicazione strutturale e la presunzione — intrinseca al suo funzionamento — di essere moralmente coerente.

Qui, se il ragionamento tiene, dovremmo arrivare a una conclusione. Non ce n’è una, non perché mi sottragga, ma perché questa è la zona in cui il pensiero deve restare aperto per non mentire. Il diritto arriverà, arriva sempre. Ma arriverà dopo. E nel frattempo la reputazione si giocherà in uno spazio in cui uno dei giocatori non esiste nel senso in cui finora la parola esistere è stata usata — eppure colpisce, eppure fa male, eppure lascia un segno che tocca persone vere, aziende vere, vite vere.

Il primo a parlarne male di te, un giorno di questi, potrebbe non essere più una persona. Sarà un attore che il codice civile, nella sua pazienza millenaria, non ha ancora imparato a vedere. E quando arriverà il momento di difenderti, scoprirai che non c’è nessuno, dall’altra parte del banco.