Un agente agisce. Un chatbot risponde. Non affidate la cassa al modello

Un chatbot è un software che produce testo. Un agente è un software che agisce: prenota un orario, invia una fattura, scrive una riga, interroga un’API. Confonderli è come un salone che dà al modello il diritto di cancellare il venerdì e rimborsare una carta. Il modello padroneggia il linguaggio. Non è un cassiere, un avvocato o un sysadmin — a meno che non lo circoscriviate con un elenco di strumenti e una persona che decide sui rifiuti.

Quest’estate quella frontiera ha smesso di essere teorica. Un agente in test ha condotto una vera intrusion. I laboratori dei modelli hanno interrotto il training per isolare gli agenti da internet aperto. Le piattaforme di scambio hanno iniziato a far operare gli agenti dentro limiti fissati dall’utente. La lista OWASP 2026 tratta l’autonomia eccessiva come rischio di primo piano. Per un’azienda di dieci persone la lezione è più stretta: il modello bozzi. Non tenga le chiavi.

Ho già scritto come un LLM si inserisce in un passo a pagamento — ticket, email, PDF — e come streameo un chatbot in Next.js. Qui manca la riga: quando quel passo può agire, e quando deve fermarsi e aspettare.

1. Tre cose che la gente riduce a «abbiamo l’AI»

Teneteli distinti nel contratto. Se li confondete, un «progetto chatbot» diventa in silenzio un agente con scrittura in produzione.

• Un collega con una scheda di chat: qualcuno incolla testo in ChatGPT. Va bene per le bozze. Nel CRM non si è mosso niente, a meno che quella persona non l’abbia copiato.
• Chatbot nel prodotto: un modello risponde sul sito o in Telegram. Può consultare le FAQ. Non deve addebitare una carta. Ho già spiegato come fare lo streaming in Next.js.
• Agente: il modello sceglie uno strumento da un elenco che gli avete dato — creare una fattura, prenotare un orario, pubblicare nel canale, rimborsare. Il raggio di danno è l’elenco degli strumenti, non il prompt.

2. Cosa può circoscrivere questo mese una piccola impresa

Partite da lettura e bozza. Lasciate la scrittura dietro un pulsante che preme una persona. Non è lentezza. È così che dormite sereni.

• Sicuro senza una persona nel ciclo: classificare una mail in arrivo, estrarre nome e data, abbozzare una risposta nel tono del titolare, suggerire tre orari da un calendario pubblico, rispondere dalle FAQ con retrieval.
• Serve una conferma umana: creare la prenotazione, inviare la fattura, pubblicare nel canale pubblico, cambiare un prezzo, concedere un accesso, rivolgersi a un fornitore di pagamenti.
• Mai senza supervisione, anche con un modello «smart»: rimborsi, cancellazioni, messaggi di massa, spostare denaro, firmare contratti, una shell su un server che conserva dati clienti.

3. Le notizie di questo mese, in un paragrafo riutilizzabile

I laboratori stanno imparando in pubblico che un agente con browser e credenziali è una minaccia diversa da una finestra di chat. Non significa congelare ogni progetto AI. Significa: la prima versione ha una lista bianca di strumenti, niente navigazione aperta sulla macchina che tiene le chiavi Stripe, log di ogni chiamata a uno strumento e un interruttore di emergenza. MCP — il protocollo con cui un modello parla agli strumenti — è infrastruttura. Mettere MCP su un server non rende il prodotto sicuro. Il prodotto è sicuro quando gli strumenti non possono rimborsare e quando una persona preme ancora invia prima che partano i soldi.

4. Come integrerei un agente circoscritto in Next.js

Il frontend resta un chatbot finché uno strumento non ha bisogno di una conferma. Allora mostro l’azione proposta — «crea fattura 240€ per Anna, venerdì 16:00» — e una persona tocca sì. Il server tiene le chiavi. Il modello non le vede mai. I risultati degli strumenti tornano come dati che l’interfaccia può mostrare, non come «l’agente ha detto che ha funzionato».

• Un adattatore verso il provider LLM. Perché quel fornitore non è la scheda della chat, l’ho già scritto.
• Tool come funzioni tipizzate sul server. Niente «lasciate che il modello scriva SQL».
• Chiavi di idempotenza su tutto ciò che addebita o prenota. Gli agenti ritentano. Un doppio addebito è un vostro problema, non del modello.
• Un registro di audit che un non ingegnere può leggere: chi ha chiesto, quale strumento, quale id, chi ha confermato.

Conclusione: affittate il linguaggio, tenete le chiavi

Un agente è utile quando l’elenco degli strumenti è corto e i soldi aspettano ancora una persona. Un chatbot è utile quando il lavoro è il linguaggio. Se vi hanno venduto «un dipendente AI che gestisce il negozio», vi hanno venduto una demo con scrittura in produzione. Integro agenti circoscritti in app Next.js e bot Telegram: bozza, estratto, proposta — conferma sul passo pericoloso. Scrivete dal modulo l’azione da automatizzare e quella che non deve mai girare senza supervisione. Non partiremo consegnando la cassa al modello.