# Sicurezza agentica: consulente indipendente, agenzia o SaaS? Come scegliere

[Pagina originale](https://danilolapegna.com/guides/sicurezza-agentica-consulente-vs-agenzia-vs-saas.html)

Lingua: it. Aggiornamento del contenuto: 2026-10-08.

Confronto onesto tra consulente indipendente, agenzia e prodotto SaaS per la sicurezza degli agenti AI in produzione. Quando conviene ciascuno.

Un agente AI può leggere dati e compiere azioni, per esempio preparare un ordine nel gestionale o inviare una risposta al cliente. Metterlo in sicurezza richiede sia controlli tecnici sia qualcuno che li mantenga. La scelta fra prodotto, agenzia e consulente dipende da quale parte del lavoro manca.

Prima di chiedere offerte, prepara una pagina: flusso, dati accessibili, azioni consentite, problema osservato e responsabile interno. Chiedi a ogni candidato di lavorare sullo stesso caso. In questo modo confronti ciò che viene consegnato, non tre presentazioni commerciali diverse.

## Che cosa stai acquistando

**Un prodotto in abbonamento**, spesso chiamato SaaS, può filtrare input, rilevare comportamenti sospetti o raccogliere eventi. I suoi controlli vanno configurati, integrati e verificati. Serve comunque una persona responsabile delle decisioni che il prodotto non prende.

**Un'agenzia o una società specializzata** può mettere a disposizione più competenze e continuità operativa. Verifica le persone effettivamente assegnate, chi prende le decisioni tecniche e quali coperture sono comprese nel contratto.

**Un consulente indipendente** può affrontare un intervento circoscritto e trasferire il metodo al team. Verifica competenza sul caso, disponibilità, gestione delle assenze e materiali di consegna, come faresti con una società.

Le opzioni si possono combinare. Un prodotto può restare in uso mentre una persona ne progetta i controlli; un intervento specialistico può integrare un team interno già competente.

## Il confronto da fare

| Domanda | Prova da chiedere a qualunque candidato |
|---|---|
| Chi corregge il problema? | Nomi o ruoli, accessi necessari e responsabilità incluse |
| Come dimostriamo il risultato? | Una richiesta lecita che riesce e un'azione vietata che viene bloccata |
| Che cosa resta al team? | Configurazioni, test, documentazione e istruzioni di ripristino |
| Chi interviene dopo? | Copertura, tempi concordati, assenze ed escalation |
| Quanto costa davvero? | Avvio, integrazione, licenze, consumi, manutenzione e lavoro interno |
| Come cambiamo fornitore? | Esportazione, materiali trasferibili e prova di consegna |

Non esistono costi o tempi universali per categoria. Un prodotto può richiedere un'integrazione impegnativa; una società può proporre un intervento piccolo; un consulente può aver bisogno di altri specialisti. Confronta lo stesso perimetro e lo stesso periodo.

## Un esempio che rende la scelta concreta

Immagina un agente che prepara bozze d'ordine. L'azienda vuole verificare che non possa confermarle da solo. Il candidato deve mostrare la mappa dei permessi, restringerli nell'ambiente di prova e rieseguire due casi: creare una bozza deve riuscire; confermare l'ordine con l'identità dell'agente deve fallire.

Un rilevatore di istruzioni sospette può essere utile, ma non sostituisce il controllo sui permessi. Se il team sa applicare e mantenere la correzione, può bastare un intervento mirato. Se il servizio deve essere seguito continuamente e nessuno è disponibile fuori orario, la copertura operativa diventa un requisito distinto: il numero degli agenti non basta a decidere.

La [guida alla sicurezza agentica](https://danilolapegna.com/guides/sicurezza-agentica-pmi.html) aiuta a preparare queste domande. Per la prova sui permessi, continua con [minima autorità per agenti AI](https://danilolapegna.com/guides/permessi-minimi-ai-agents-least-authority.html).

## Quando il team interno può bastare

Puoi procedere internamente se hai le competenze pertinenti, accesso alla configurazione, tempo per le prove e un responsabile della manutenzione. Non serve un organigramma predefinito: serve poter svolgere il lavoro e verificarlo.

Se manca una competenza specifica, compra quella parte. Se invece manca una persona che manterrà il controllo dopo la consegna, assegna prima la responsabilità. Altrimenti puoi ricevere un buon intervento che perde efficacia al successivo aggiornamento.

## Come verificare il trasferimento di competenze

Il criterio che userei è una prova di consegna: il tuo team riesegue un test e modifica un controllo senza l'intervento del fornitore. Se non riesce, identifica l'ostacolo: accesso mancante, istruzioni incomplete, dipendenza tecnica o competenza ancora da acquisire.

Questo verifica l'autonomia meglio della promessa «nessun vincolo». Codice consegnato e documentazione sono utili soltanto se chi resta può usarli. Definisci la prova e ciò che il team deve saper fare prima di firmare.

## Il prossimo passo

Prepara la pagina iniziale e chiedi un'offerta sul primo problema verificabile. Se un requisito critico resta ambiguo, chiariscilo prima di dare accessi di produzione o ampliare il lavoro.

Nel [servizio di controllo e sicurezza degli agenti AI](https://danilolapegna.com/services/hardening-controllo-agente-ai) possiamo partire da quel caso. Se servono soprattutto copertura continuativa o competenze aggiuntive, devono comparire nella scelta del fornitore, non emergere dopo la consegna.

## Domande frequenti

### Conviene un consulente indipendente o un'agenzia per la sicurezza degli agenti AI?

Dipende dal lavoro mancante, dalla continuità richiesta e dalle competenze interne. Chiedi a ogni candidato la stessa prova, gli stessi materiali di consegna e il costo completo. Prodotto e supporto specialistico possono essere combinati.

### Quanto costa far mettere in sicurezza un agente AI da un consulente?

Il costo dipende da azioni consentite, dati, integrazioni, accessi e copertura richiesta. Definisci una prima prova e confronta avvio, consumi, licenze, manutenzione e lavoro interno sullo stesso periodo.

### Quando non serve nessun aiuto esterno?

Quando il team ha competenze pertinenti, accesso alla configurazione, tempo per le prove e un responsabile della manutenzione. Verifica queste capacità sul caso concreto, senza assumere che servano ruoli separati per ogni funzione.