Nella strategia di ServiceNow, l’adozione dell’AI agentica nelle imprese tiene conto del bisogno di tenere insieme due esigenze. La prima è il controllo: quando gli agenti entrano in produzione accedono ai dati aziendali, usano strumenti e delegano compiti ad altri agenti, e l’organizzazione deve sapere in ogni momento che cosa sono autorizzati a fare. La seconda è l’autonomia dei dipendenti: tra backlog dell’IT e risorse di sviluppo limitate, le persone più vicine ai processi spesso non possono costruire da sé le soluzioni AI di cui hanno bisogno. ServiceNow punta a soddisfare entrambe le esigenze su un’unica piattaforma, con un solo modello dati e regole di governance comuni. Gli annunci vanno in questa direzione: AI Passport e l’ampliamento di Super Intelligence Control Tower (la nuova denominazione di AI Control Tower) rispondono alla prima esigenza, la terza generazione di EmployeeWorks alla seconda. Entriamo nei dettagli.
“Non si può controllare ciò che non si riconosce e identifica”, osserva in occasione della presentazione Nenshad Bardoliwalla, senior vice president, AI Products di ServiceNow. Cio, Ciso e Chro chiedono come riconoscere la shadow AI, misurare i costi degli agenti e revocarne subito gli accessi quando qualcosa va storto. La possibilità di “spegnere l’AI”, già presente nella piattaforma, da solo non basta. “Quell’interruttore binario acceso/spento non è il modo in cui funziona la governance. La governance reale è graduale – riprende Bardoliwalla – assomiglia quindi piuttosto a un dimmer”. Monitorare, sospendere, limitare e infine disattivare un agente presuppone però un parametro di confronto: “Senza quella base di riferimento, ogni guardrail si rivela solo consultivo”. E non va bene.
AI Passport, governance di sicurezza per l’intelligenza artificiale
È qui che si colloca la proposta AI Passport, una credenziale firmata crittograficamente, emessa dalla Super Intelligence Control Tower e contestualizzata attraverso il Cmdb, le policy di governance, rischio e conformità e i processi di approvazione aziendali. Gli agenti, proprietari o di terze parti, devono rapportarsi di continuo con essa durante l’esecuzione: entro il perimetro autorizzato operano liberamente, al di fuori scattano risposte progressive, dal reindirizzamento alla limitazione, fino all’interruzione. Sviluppata su specifiche aperte, AI Passport permette a soluzioni di governance, identity provider e punti di controllo di generare e verificare credenziali in ogni fase di un workflow multi-agente; per gli agenti di terze parti si ottiene un registro verificabile dei permessi, senza affidarsi alle dichiarazioni dell’agente. ServiceNow inquadra allora il passaggio nel proprio approccio Shift Zero (la visione strategica dell’azienda per la autonomous cybersecurity) prevenire le azioni non autorizzate anziché ricostruirle a posteriori, come avviene con gli audit trail tradizionali.
Nvidia partecipa come partner di progettazione e lancio, con un’implementazione di enforcement basata su Nvidia Open Agent Safety Platform, che integra il software open source Nvidia OpenShell e il framework di sicurezza Nvidia Sentry. Itay Ozery, director of Product Marketing for Networking and Cybersecurity di Nvidia, offre una lettura interessante su come è cambiata la natura del lavoro affidato agli agenti: “Man mano che gli agenti si fanno carico di più lavoro, hanno anche bisogno di più permessi”. Il contesto di business, cioè chi ha autorizzato il lavoro e a quali dati si può accedere, appartiene all’impresa; l’infrastruttura applica i confini su esecuzione, connettività e risorse e, secondo Ozery, “può fornire anche una protezione indipendente se un agente riesce a sfuggire al proprio confine software o se l’host viene compromesso”. “La parte più difficile – aggiunge – è rendere efficace la policy aziendale nel punto di esecuzione”. I controlli esistenti sono nati per persone e applicazioni prevedibili, mentre gli agenti scelgono gli strumenti dinamicamente e si passano il lavoro: le possibilità di controllo devono quindi seguirne il percorso.
Vedere, misurare, intervenire
Super Intelligence Control Tower estende la governance su riconoscimento, visibilità, controllo, misurazione e conformità su un unico modello dati, eliminando i passaggi manuali tra team. Tornando all’importanza di rilevare la shadow AI, sono disponibili oltre 400 connettori preconfigurati per individuare strumenti AI di piattaforme e fornitori diversi, la mappatura degli accessi sui privilegi effettivi e per abilitare l’osservabilità continua del comportamento degli agenti. Sul piano degli economics, per esempio, Cost Governance e Value Intelligence collegano spesa, consumi, qualità e valore generato, mentre AI Cost Management, parte di IT Asset Management, consolida in un’unica vista i costi di modelli frontier, funzionalità AI dei servizi SaaS, hyperscaler e Gpu nei data center. Policy Enforcement gradua la risposta dall’avviso al blocco.
Il banco di prova indicato è il settore finance: secondo il Banking AI Maturity Index 2026 di ServiceNow, il 100% delle banche dichiara di usare l’AI, ma solo il 24% dispone di strutture di governance adeguate. Ecco che per il vertical, la soluzione Operational Resilience, già disponibile, offre a Cro e Ciso la stessa visibilità in tempo reale e tratta un agente non autorizzato o mal configurato come qualsiasi altro asset esposto, da individuare, segnalare e, se necessario, disattivare.
Un ambiente per aiutare chi non sa programmare
“La vera promessa dell’AI è colmare il divario tra intenzione e azione”, spiega Jacqui Canney, chief People and AI Enablement officer di ServiceNow. Ed EmployeeWorks, presentato a febbraio come punto unico di accesso per le richieste dei dipendenti, poggia ora sulla terza generazione della piattaforma AI centrata sulle persone.
Bhavin Shah, senior vice president, employee experience group di ServiceNow e cofondatore di Moveworks, ne rivendica la specificità: “Se si guardano tutti gli ‘harness’ in circolazione, credo che tutti stiano inseguendo lo sviluppatore”. EmployeeWorks parte invece dal ruolo e dal contesto di chi lavora, con un vincolo preciso: “Non si tratta solo di un’AI che fa le cose da sola – precisa Shah – si tratta di seguire le regole stabilite per i processi di business”.
Arrivano i Productivity Assistants che sono assistenti specializzati per ruolo, con memoria persistente e capacità di gestire ricerche approfondite e processi di lunga durata; i dipendenti li creano senza codice, entro controlli definiti dagli amministratori, a partire da Research Analyst e Calendaring Assistant e, su HR Service Delivery, da assistenti per manager e talent acquisition. Le Productivity Routines eseguono invece in background attività ripetitive: un responsabile commerciale può così far analizzare il calendario e preparare i materiali per gli incontri con i clienti prima dell’inizio della giornata. Dedicato proprio agli sviluppatori, invece, c’è ToolSmith, che Shah descrive come “uno strumento di vibe coding che costruisce le connessioni e gli strumenti di cui potrebbero avere bisogno, il tutto entro i confini dell’impresa”. Addestrato su oltre 75mila Api, pianifica l’implementazione, recupera i log e propone correzioni, riducendo da giorni a minuti, secondo ServiceNow, i tempi di realizzazione. Tutte le componenti, Conversations API incluse, sono oggi in controlled availability.
Esempio concreto quello raccontato da Jamie Robins, head of ServiceNow practice di Ntt Data, che racconta di un’organizzazione cresciuta per acquisizioni, con circa 2.500 applicazioni ereditate e nove sistemi Human Resources Information System (Hris) da consolidare, in tempi che non coincidono con le attese di dirigenti e dipendenti. Interessante la metafora usata: “Vogliamo che i dipendenti vedano solo un cigno elegante che si muove sull’acqua – racconta Robins – mentre tutti noi, dietro le quinte, lavoriamo per generare l’ambiente che lo consente”. La prima esigenza resta la visibilità: “L’AI sta crescendo più velocemente di quanto chiunque, credo, avesse previsto. E sta crescendo più velocemente di quanto riuscissimo a vedere facesse”. Super Intelligence Control Tower serve a ricondurre sotto governance strumenti non approvati e casi d’uso duplicati. Con EmployeeWorks, un manager con il team distribuito su più Hris potrebbe evitare di entrare in tre sistemi diversi solo per verificare le ferie dei collaboratori. Di ToolSmith, Robins valorizza la velocità: “Posso avere un singolo sviluppatore che mi costruisce queste funzionalità e queste esperienze molto rapidamente, e le testa, ne risolve i problemi”.
Nella logica di ServiceNow, estendere ai dipendenti la creazione di agenti diventa praticabile se ogni agente porta con sé un’autorizzazione verificabile. Il rilascio delle componenti previste entro fine anno e l’uscita delle novità di EmployeeWorks dalla controlled availability diranno con quale rapidità questa architettura entrerà nei processi delle imprese.
© RIPRODUZIONE RISERVATA
