Il limite dell'output finale
Un sistema di intelligenza artificiale che si limita a generare un testo lascia dietro di sé una traccia relativamente semplice da esaminare: la risposta prodotta. Secondo l'analisi pubblicata da Agenda Digitale, questo approccio diventa insufficiente quando l'IA è agentica, cioè quando consulta archivi, utilizza credenziali, invoca strumenti e interagisce con applicazioni producendo effetti nel mondo esterno. In quel caso l'output finale non spiega da solo quanto è accaduto.
La fonte propone di ricostruire invece una sequenza articolata: obiettivo assegnato, istruzioni di sistema e dell'utente, contesto recuperato, memoria, configurazione, identità, deleghe, autorizzazioni, chiamate agli strumenti, risposte dei servizi e modifiche effettivamente registrate nei sistemi destinatari. È questa la catena probatoria che l'articolo indica come nuovo oggetto del lavoro forense.
Capacità operativa, non etichette commerciali
L'articolo invita a non fermarsi alla denominazione usata dal fornitore: un sistema può essere presentato come assistente, copilot o agente, ma ciò che conta tecnicamente è il grado di capacità operativa. Un chatbot riceve un input e restituisce un contenuto; un sistema agentico combina invece modello generativo, orchestratore, stato della sessione, memoria, fonti recuperate dinamicamente, regole di controllo e strumenti di azione.
L'autonomia, precisa la fonte, non è assoluta e può essere circoscritta, supervisionata o subordinata a conferme umane. Resta però la possibilità che tra istruzione iniziale e risultato si sviluppi un percorso non interamente predefinito, fatto di più chiamate al modello, tentativi falliti, correzioni, passaggi ad altri agenti e azioni compiute da servizi esterni. Per questo lo screenshot di una conversazione viene descritto come la sola superficie visibile di un processo più ampio e l'unità di analisi suggerita non è il singolo messaggio ma l'esecuzione nel suo complesso.
Attribuzione e fonti distribuite
La prova relativa a un agente è normalmente distribuita tra più infrastrutture: piattaforma di orchestrazione, log del provider del modello, sistemi di identità e accesso, servizi invocati e dispositivo dell'utente. L'articolo cita anche le convenzioni semantiche di OpenTelemetry per la GenAI, che prevedono attributi come identificativo e versione dell'agente, istruzioni di sistema, dati recuperati, identificativo della tool call, argomenti e risultato. Si tratta però di telemetria nata per osservabilità, sicurezza e diagnosi: può essere incompleta, campionata o soggetta a diverse politiche di conservazione e non costituisce automaticamente prova forense.
Sul piano dell'attribuzione la fonte distingue quattro elementi: identità dell'utente, identità dell'istanza agentica, credenziale utilizzata e ambito della delega. Un token valido dimostra che una richiesta è stata autenticata, ma non prova da solo chi l'abbia voluta, se rientrasse nell'autorizzazione conferita o se la credenziale sia stata usata in modo improprio. L'articolo segnala il caso delle azioni per conto di terzi, in cui un agente può disporre di privilegi superiori a quelli necessari.
