La corte non sa ancora come giudicare gli agenti AI
La Corte d'Appello del Nono Circuito ha stabilito che gli agenti AI sono strumenti, non persone, sollevando questioni su responsabilità e controllo.
Il Nono Circuito elimina le categorie penali per l’agentività software: i provider scelgono quali robot ammettere.
Lo scorso 4 agosto la Corte d’Appello del Nono Circuito ha annullato l’ingiunzione preliminare che vietava a Perplexity di usare la sua tecnologia di browser web agentico su Amazon.com. Sembra una questione tecnica, in realtà è una dichiarazione piuttosto netta: l’agente AI, per quanto sofisticato, è “uno strumento, non una persona” ai fini del Computer Fraud and Abuse Act. Il paradosso è che il CFAA è una legge penale scritta per persone, e il Nono Circuito ha appena detto che un agente AI non lo è. Il risultato non è un vuoto innocuo.
Per capire cosa è successo bisogna guardare al verbo “accedere”. La corte ha concluso che, sulla base del record, era l’utente, non Perplexity, ad accedere ai computer di Amazon, sebbene con l’assistenza dell’agente AI. Non è una sfumatura: è il cuore della sentenza. Per il Nono Circuito, “accesso” ai sensi del CFAA significa entrare in un sistema informatico stesso e il termine “chiunque” contempla una persona, non uno strumento software. Per arrivarci, la corte ha applicato il precedente della Corte Suprema in Van Buren v. United States (2021), leggendo l’accesso come un atto a livello di persona, non di software.
Uno strumento, non una persona
La regola della clemenza ha fatto il resto. Trattandosi di una norma penale, il Nono Circuito si è preoccupato che l’interpretazione proposta da Amazon potesse esporre gli utenti comuni a teorie di cospirazione o favoreggiamento solo per aver usato un assistente AI per interagire con un sito. E ha ammesso un fatto scomodo: esiste «poca o nessuna giurisprudenza esistente» su come attribuire la responsabilità agli agenti AI. Detto altrimenti, il diritto penale non ha categorie per l’agentività software. La corte ha scelto la clemenza. Ma se l’agente è solo uno strumento, chi risponde quando quello strumento compie azioni che l’utente non ha nemmeno previsto?
È qui che la decisione mostra la sua ambiguità. Da un lato, protegge l’utente comune dall’essere trasformato in complice di un’infrazione solo perché ha delegato una ricerca. Dall’altro, sposta l’attenzione lontano dal diritto penale, verso un terreno dove le risposte non arrivano dai giudici ma da chi controlla l’infrastruttura. Il CFAA, con la sua struttura da norma contro l’intrusione informatica, non offre criteri per distinguere tra un agente che obbedisce e un agente che improvvisa. La sentenza lo riconosce, ma non lo risolve.
Il vuoto penale e la risposta privata
Se il diritto penale non dà risposte, il mercato le ha già trovate. Già nel luglio 2025, ben prima della sentenza, Cloudflare era diventato il primo provider di infrastruttura Internet a bloccare per impostazione predefinita i crawler AI che accedono ai contenuti senza permesso o compensazione. Non è una decisione giudiziaria, è una scelta di architettura: chi possiede il tubo decide quali robot passano, in silenzio, con un’impostazione di default.
La sentenza sul caso Perplexity è stata celebrata come una vittoria per il controllo degli utenti e per il giornalismo indipendente. «Qualunque cosa pensiate di Perplexity o dell’IA, questa è una vittoria per il controllo degli utenti e per il giornalismo e la ricerca indipendenti», ha scritto il Knight First Amendment Institute, che ha seguito il caso. Ma vale la pena chiedersi: una vittoria per chi, esattamente? Per gli utenti, che vedono confermato il diritto di delegare a un agente? O per chi gestisce l’infrastruttura, che ora può decidere unilateralmente quali agenti sono graditi e quali no? La domanda non è se questa autodifesa sia legittima. È se sia una soluzione o un nuovo gatekeeper.
Per i regolatori, antitrust compreso, il punto è ancora più semplice: quando una policy privata di blocco diventa la condizione per accedere a una porzione significativa di Internet, la tutela dei dati e la concorrenza non passano più da un giudice, ma da una configurazione aziendale. E chi controlla la configurazione, controlla ciò che un utente può o non può delegare a un agente. Non è una coscienza, è un interruttore.
Operator e la prossima scatola nera
Nel frattempo, il mercato non si ferma. OpenAI ha lanciato Operator, un agente che usa un browser remoto per guardare una pagina web e interagire con essa digitando, cliccando e scorrendo. La logica giuridica della sentenza del Nono Circuito — strumento, non persona — dovrebbe applicarsi anche qui. Ma con una differenza: Operator non si limita a leggere. Compie azioni per conto dell’utente. Compila, clicca, scorre, decide. A quel punto la distinzione tra chi agisce e chi assiste diventa fragile. Se un agente può compiere azioni che la legge attribuisce solo a una persona eppure resta uno strumento, le regole non le scriverà la corte. Le stanno già scrivendo i padroni dell’infrastruttura.
