Un team rende disponibile una nuova API per verificare lo stato di una pratica. La pubblica sul gateway, aggiorna la documentazione e comunica il rilascio ai colleghi interessati. Perché anche un agente AI possa utilizzarla, servono informazioni ulteriori: a cosa serve quella funzionalità, in quali casi è pertinente, se può scoprirla e quale processo deve seguire per ottenere l’accesso.

Nelle integrazioni tradizionali, parte di queste informazioni viene ricostruita attraverso il confronto tra persone. Quando anche gli agenti partecipano ai processi, quella conoscenza deve diventare disponibile in forma strutturata, aggiornata e coerente con le regole dell’organizzazione.

È qui che l’adozione dell’AI incontra il modello operativo: chi pubblica le capacità disponibili, chi ne cura le informazioni, chi può scoprirle e chi ne autorizza l’utilizzo.

Gli agenti entrano nell’organizzazione con un doppio ruolo

Un modello operativo di API Governance definisce responsabilità, regole e processi per rendere i prodotti digitali disponibili e utilizzabili lungo il loro ciclo di vita. L’arrivo degli agenti ne estende il perimetro in due direzioni.

Gli agenti sono nuovi attori dell’ecosistema: cercano informazioni, utilizzano servizi e possono partecipare a processi operativi. Occorre identificarli, associarli a un responsabile e stabilire quali informazioni possano consultare e quali azioni possano compiere.

Sono anche prodotti digitali da governare, insieme alle API e ai server MCP: devono avere un owner, versioni identificabili, condizioni di utilizzo e un ciclo di vita gestito, fino alla dismissione.

Le due prospettive si completano. Censire un agente permette di sapere che esiste e chi ne risponde. Inserirlo nei processi permette di governare la sua partecipazione all’ecosistema.

Tre interventi sui processi di governance

1. Estendere ruoli e processi ai nuovi attori

Pubblicazione, discovery, richiesta di accesso e sottoscrizione devono contemplare anche la partecipazione degli agenti.

Per ciascun processo va chiarito quali passaggi possano essere svolti da un attore non umano, con quale profilo e sotto quale responsabilità. Le approvazioni previste devono restare riconoscibili e tracciabili anche quando la richiesta viene generata automaticamente.

Ad esempio, un agente potrebbe essere autorizzato a consultare i prodotti disponibili per una business unit e a richiederne l’utilizzo. L’abilitazione seguirà il processo previsto per quei prodotti, con approvazione del responsabile oppure automatica, se le regole aziendali lo consentono.

Questo consente di mantenere un modello condiviso, introducendo le specificità necessarie per gli attori non umani senza moltiplicare procedure separate per ogni iniziativa AI.

ApiShare | Operational AI Governance 2

2. Rendere il catalogo fruibile anche agli agenti

Per supportare la discovery, il catalogo deve raccogliere informazioni che consentano di comprendere le capacità disponibili: finalità, operazioni offerte, dati richiesti e restituiti, condizioni di utilizzo, stato del ciclo di vita e responsabilità.

La qualità di queste informazioni diventa parte del processo di pubblicazione. Descrizioni ambigue o non aggiornate rendono difficile individuare la funzionalità pertinente, anche quando l’API è tecnicamente disponibile.

Un catalogo attivo collega queste informazioni ai processi e ai sistemi che le mantengono aggiornate, rendendole consultabili secondo il profilo del soggetto che lo interroga. In questo modo può supportare anche gli agenti nella ricerca delle capacità utili al proprio compito.

Tornando all’esempio iniziale, la nuova funzione di verifica delle pratiche diventa individuabile dagli agenti autorizzati attraverso il catalogo. La possibilità di scoprirla resta distinta dall’abilitazione a eseguirla: quest’ultima dipende dalle condizioni di accesso e dai controlli applicati dai sistemi coinvolti.

3. Governare API, server MCP e agenti lungo il loro ciclo di vita

La gestione deve comprendere le relazioni tra i diversi prodotti digitali. Se un server MCP espone strumenti che utilizzano determinate API, queste dipendenze servono a valutare gli effetti di una modifica o di una dismissione.

Il processo deve stabilire chi aggiorna le informazioni, chi verifica gli impatti e come vengono gestiti i soggetti interessati. La stessa attenzione vale quando cambia la visibilità di un prodotto o viene revocata un’abilitazione.

Una nuova versione dell’API di verifica delle pratiche, ad esempio, potrebbe richiedere un adeguamento del tool che la espone. Conoscere la relazione tra i due prodotti permette di coinvolgere i responsabili corretti e coordinare l’aggiornamento.

Il catalogo sostiene così attività operative precise: pubblicare, abilitare, modificare e ritirare prodotti digitali mantenendo ricostruibili responsabilità e dipendenze.

Dall’API Governance all’Operational AI Governance

Questo è il percorso che ApiShare identifica nell’Operational AI Governance: rendere conoscenza, prodotti digitali e processi aziendali fruibili anche agli agenti, all’interno di un contesto organizzativo governato.

Il modello operativo definisce responsabilità e regole; il catalogo unificato rende disponibili le informazioni e supporta i processi; le integrazioni con gateway, sistemi di identità e altre tecnologie aziendali ne consentono l’attuazione. I servizi di accompagnamento sostengono l’adozione e l’evoluzione del modello nei team.

Il punto di partenza dipende dalla maturità dell’API Governance esistente. Ownership definite, informazioni affidabili e processi di accesso applicati con continuità costituiscono basi riutilizzabili anche per MCP e agenti.

Un assessment permette di verificare quali di queste basi siano già operative e quali richiedano un intervento. Da questa analisi può nascere una roadmap concreta: consolidare ciò che serve oggi per rendere sostenibile l’estensione ai nuovi attori e prodotti digitali.