L’analisi muove dalla constatazione che gli ambienti informativi aziendali e pubblici sono oggi popolati, in misura crescente e non sempre governata, da entità operative prive di corrispondente fisico: agenti di intelligenza artificiale dotati di credenziali proprie, capaci di autenticarsi presso sistemi terzi, di accumulare privilegi di accesso e di eseguire sequenze di azioni con intervento umano ridotto o nullo.Il fenomeno, noto nella letteratura tecnica anglosassone come non-human identity (di seguito, per brevità, NHI: locuzione che designa qualunque entità digitale capace di autenticarsi e agire all’interno di un sistema informativo senza che a essa corrisponda un utente umano univocamente identificato in via anagrafica), non costituisce una novità assoluta nell’architettura della sicurezza informatica, avendo precedenti consolidati negli account di servizio, nelle chiavi di programmazione applicativa (le cosiddette API key) e nei certificati macchina propri delle infrastrutture a microservizi.Ciò che muta, con l’adozione su scala degli agenti autonomi, non è la categoria tecnica, bensì il rapporto quantitativo e qualitativo tra identità umane e identità non umane all’interno del medesimo perimetro organizzativo, con effetti che investono simultaneamente tre distinti settori dell’ordinamento: la protezione dei dati personali, la responsabilità da reato degli enti e la disciplina della resilienza cibernetica introdotta dalla Direttiva NIS2.Indice degli argomenti