L'AI dentro il gestionale: come si collega un agente

Posso far lavorare l’AI nel mio gestionale?

Sì, un agente di intelligenza artificiale può lavorare nel gestionale a tre condizioni. Il gestionale deve lasciarsi interrogare: con interfacce di programmazione (API), con avvisi automatici (webhook) o, nel peggiore dei casi, con schermate stabili. I dati devono essere tenuti bene: anagrafiche pulite, codici articolo uniformi, listini con una data. E una persona deve confermare ciò che l’agente propone, almeno finché i numeri non dicono che si può allentare.

Il gestionale c’è quasi sempre: in Italia il 49,5% delle imprese con almeno dieci addetti usa un software ERP, il 59,9% nella manifattura, il 59% nella metallurgia e nei prodotti in metallo, in linea con il resto d’Europa (ISTAT, dicembre 2025; Eurostat, dati 2025). L’intelligenza artificiale (IA) dentro quel gestionale no: l’automazione di flussi con l’AI riguarda il 2,9% delle imprese italiane, la metà della media europea, e nei metalli poco più di una su cento. Chi legge questa guida, quasi sempre, parte da zero, e la guida parte da che cosa si può fare, non da come ottimizzare.

Che cosa non è: un assistente generico «collegato» al gestionale senza strumenti definiti. Un agente AI lavora con un elenco chiuso di strumenti, ognuno con i suoi permessi, come spiega la guida Agenti AI: cosa sono e cosa possono fare in azienda.

Leggere, proporre, scrivere: tre livelli, tre rischi

• Leggere. Riepiloghi, risposte a domande sui dati, controlli: «quali ordini del mese hanno un prezzo diverso dal listino?». Rischio basso: nulla cambia nel gestionale. È il livello da cui si parte, ed è già utile.
• Proporre. L’agente prepara una bozza, un ordine, una fattura passiva, una registrazione, un sollecito, e una persona la rivede e conferma: l’azione in bozza. È il livello normale di lavoro.
• Scrivere. L’agente salva o registra da solo, dentro limiti stretti e per oggetti scelti. È l’eccezione, e va concessa dall’amministratore caso per caso.

Non è una cautela in più: è la scala che i fornitori di gestionali hanno scritto nei loro prodotti. Microsoft documenta che il server MCP di Business Central nasce in sola lettura, e che l’amministratore abilita creazione, modifica, cancellazione e azioni su oggetti scelti, con l’identità dell’utente e la traccia di chi ha fatto che cosa. Il suo agente per gli ordini di vendita crea sempre prima un’offerta, documento che non tocca pianificazione, disponibilità e flussi di cassa, e fa approvare da una persona ogni messaggio al cliente. Zucchetti descrive la propria offerta per la manifattura in quattro livelli: linguaggio naturale, assistere, arricchire, automatizzare. Sistemi, nel prodotto per gli studi commercialisti, propone per ogni riga della fattura passiva conto, partitario e codice IVA, che restano una proposta.

I quattro modi di collegarsi

Modo	Come funziona	Quando è quello giusto	Dove si rompe
API del gestionale	Il programma esterno chiede e scrive record attraverso funzioni che il fornitore pubblica; l’agente non tocca il database	Quando il gestionale le offre e le documenta	Se il fornitore cambia le interfacce; se un campo necessario non è esposto
Webhook	È il gestionale ad avvisare quando qualcosa cambia: ordine confermato, fattura registrata, anagrafica modificata	Per gli agenti che reagiscono a un evento invece di interrogare di continuo	Iscrizioni che scadono e vanno rinnovate; avvisi persi se nessuno controlla
MCP	Lo standard aperto con cui le applicazioni AI scoprono e usano strumenti e dati di un sistema; nel 2026 lo offrono o lo accettano Microsoft, SAP, Salesforce e UiPath	Quando il gestionale ha un server MCP o quando si usa un assistente generale sui dati aziendali	Se chi costruisce l’applicazione non mette conferme e permessi: la specifica chiede il consenso dell’utente prima di ogni strumento, ma non può imporlo da sola
RPA sulle schermate	Un robot software ripete sulle schermate le azioni di una persona	Quando il gestionale non ha né API né webhook e cambiarlo non è un’opzione	Cambia la schermata, si rompe il robot; non capisce i casi nuovi

C’è un quinto ponte, quando l’assistente è quello della suite di produttività e il gestionale è un altro: i connettori. Microsoft ne distingue due tipi: quelli che copiano e indicizzano i dati nel sistema dell’assistente e quelli «federati», che li interrogano in tempo reale senza copiarli, con l’identità e i permessi dell’utente; da inizio ottobre 2026, con distribuzione graduale, i federati possono anche creare e modificare dati «con l’approvazione dell’utente», con le attività registrate. La differenza tra copiare e non copiare conta per la riservatezza e per l’aggiornamento, e va spiegata a chi decide.

Gli agenti dei fornitori di gestionali, oggi

Funzioni dichiarate nelle pagine ufficiali alla data di questa guida; cambiano ogni poche settimane e vanno rilette prima di scegliere.

• Microsoft Dynamics 365 Business Central, il gestionale Microsoft per le PMI: Copilot e gli agenti ci sono solo nella versione online, non in quella installata in azienda; Copilot eredita i permessi dell’utente e Microsoft dichiara di non usare i dati per addestrare i modelli senza permesso esplicito; per i clienti dentro l’EU Data Boundary i dati non escono da quel confine. Il Sales Order Agent legge le richieste dei clienti, trova il cliente dall’indirizzo e-mail, cerca gli articoli prima per codice esatto, poi per attributi e descrizione, e crea sempre un’offerta; il Payables Agent, alla data di questa guida validato e supportato solo in inglese, legge le fatture dei fornitori dalla posta con l’OCR, crea fatture d’acquisto non registrate per la revisione e, se il fornitore è nuovo, lo crea bloccato: la pagina dice che l’agente non offre funzioni di approvazione dei fornitori. Il server MCP e le API REST sono documentati; i webhook avvisano quando un’entità cambia. Per le aziende grandi, Dynamics 365 Finance ha la gestione degli agenti, un agente per la riconciliazione contabile e un server MCP, tutti dichiarati in anteprima alla data di questa guida.
• SAP: i Joule Agents eseguono compiti a più passi su sistemi SAP e non SAP con i protocolli MCP e A2A; ogni agente ha un’identità verificata, agisce solo entro i permessi dell’utente, i processi ad alto rischio richiedono approvazione umana esplicita, i controlli contabili bloccano le registrazioni non conformi e i registri tracciano ogni azione. Per SAP Business One, il prodotto per le piccole aziende, le pagine lette non dichiarano agenti: la strada è l’integrazione.
• Oracle: NetSuite espone servizi REST per leggere, creare, modificare e cancellare record e per le interrogazioni; per il gestionale grande Oracle annuncia, in un documento senza data, decine di agenti e parla di operazioni con «intervento umano minimo o pari a zero». È una posizione diversa da quella dichiarata da Microsoft e SAP: chi conferma, e quando, va chiesto al fornitore prodotto per prodotto.
• Salesforce Agentforce, per il CRM: agenti che lavorano entro guardrail e passano a una persona i casi fuori ambito, connettori e server MCP verificati, un livello di fiducia che maschera i dati personali prima di inviarli al modello e non conserva richieste e risposte presso il fornitore del modello. Il CRM è un’altra guida: CRM con intelligenza artificiale.
• I gestionali italiani diffusi nelle PMI: TeamSystem presenta il proprio ERP come «potenziato dall’intelligenza artificiale» con casi d’uso in contabilità, riconciliazione bancaria e conoscenza aziendale; Sistemi dichiara, per il prodotto degli studi commercialisti, la proposta automatica di conto, partitario e codice IVA sulle fatture passive e un assistente sulla documentazione, mentre per l’ERP ESOLVER le pagine lette non descrivono funzioni di AI; Passepartout descrive l’AI nel gestionale aziendale dall’automazione contabile all’analisi dei dati; Zucchetti, per la manifattura, trattamento dei documenti, manutenzione e qualità predittive, pianificazione. Nessuna delle pagine lette dichiara pubblicamente come sono gestiti permessi, conferme e registri: è la prima domanda da fare.

RPA, automazione e agenti: che cosa cambia

La RPA è l’automazione fatta da robot software che ripetono sulle schermate le azioni di una persona: adatta a compiti ripetitivi e basati su regole, anche su programmi vecchi, fragile quando cambia una schermata. Gli agenti leggono, capiscono e scelgono fra strumenti. Per l’ISTAT l’automazione senza componenti di intelligenza artificiale non è AI, e UiPath, fra i principali fornitori di RPA, presenta oggi i robot come lo strato che esegue ciò che un agente ha deciso.

La regola è semplice: regole dove basta una regola, agente dove serve capire. Anthropic, che costruisce modelli e agenti, consiglia di cercare «la soluzione più semplice possibile», anche nessun agente, e di aumentare la complessità solo quando serve: un flusso che una regola risolve da sola non ha bisogno di un modello.

I controlli che non si saltano

1. Elenco chiuso di strumenti. Il modello decide quando chiamare uno strumento e restituisce una chiamata strutturata; chi la esegue è il programma dell’azienda, non il modello: lì stanno conferme, permessi e registro.
2. Permessi minimi e identità dell’utente. L’agente agisce con i permessi della persona per cui lavora, mai con un’utenza che vede tutto; il principio del minimo privilegio è un principio di sicurezza definito nel glossario del NIST, e i fornitori di gestionali lo applicano all’agente.
3. Azione in bozza. L’offerta prima dell’ordine, la fattura non registrata prima della registrazione, il fornitore nuovo bloccato finché qualcuno lo verifica.
4. Conferma umana sulle azioni sensibili. Gli strumenti dichiarano se richiedono approvazione; l’esecuzione si ferma finché una persona decide, e se gli argomenti non si possono controllare si chiude in sicurezza (human in the loop). La deferenza eccessiva verso ciò che il sistema propone, che il NIST chiama automation bias, è il rischio di chi conferma senza leggere: per questo la conferma è un lavoro, e si misura.
5. Regole dure in codice, fuori dalla portata del modello: codice articolo non trovato significa bozza ferma, mai «il più simile»; nessun blocco automatico di un cliente; limiti di importo e di quantità.
6. Idempotenza. Se l’agente riprova dopo un errore di rete, l’ordine non deve nascere due volte: una chiave univoca per ogni richiesta e un controllo nel gestionale.
7. Registro delle azioni. Chi ha proposto, chi ha confermato, che cosa è cambiato, con fonte e data; serve a ricostruire un errore e a misurare, non a sorvegliare le persone.
8. Prove in ambiente isolato e condizioni di arresto, numero massimo di tentativi compreso, prima di toccare i dati veri.
9. Istruzioni non fidate. Un documento caricato o uno strumento esterno possono contenere istruzioni per l’agente: la specifica MCP dice di trattare le descrizioni degli strumenti come non fidate, salvo che vengano da un server fidato, e l’OWASP dedica agli agenti un elenco dei dieci rischi principali.

Nel CRM con agenti AI che usiamo ogni giorno in FT Mercati l’assistente ha nove strumenti, cinque in sola lettura; le azioni che modificano i dati chiedono conferma e ogni passaggio è nel registro.

Che cosa resta all’azienda, e alle persone

• La fattura elettronica. La fattura è un file nel tracciato fissato dall’Agenzia delle Entrate, con le specifiche tecniche aggiornate alla versione 1.9.1 dal maggio 2026; emetterla significa trasmetterla al Sistema di Interscambio e ricevere l’esito. Un agente può preparare i dati e la bozza; la trasmissione passa dal gestionale o dai servizi dell’Agenzia, con le credenziali o le deleghe dell’azienda, dopo la conferma di una persona. La conservazione a norma dei documenti informatici è un servizio con un responsabile, come prevede il Codice dell’amministrazione digitale: l’agente non la sostituisce.
• Le scritture e le responsabilità. La responsabilità delle registrazioni, delle dichiarazioni e dei pagamenti resta dell’impresa e di chi la amministra. L’agente propone; nei prodotti letti per questa guida la registrazione passa da una persona (Microsoft, SAP), e dove un fornitore promette operazioni senza intervento umano la conferma va messa dall’azienda.
• I dati di clienti e fornitori. Anagrafiche, referenti, coordinate bancarie passano al modello solo se servono al compito, con un fornitore inquadrato come responsabile del trattamento e un contratto sul trattamento dei dati; il mascheramento dei dati personali prima dell’invio è una pratica che un fornitore dichiara e che si può replicare su misura.
• La formazione. Chi lavora con l’agente va formato sui suoi limiti: lo chiede l’articolo 4 dell’AI Act, senza multa in Italia ma con l’obbligo di adottare misure. E se l’agente cambia il modo di lavorare di un ufficio, dal 23 ottobre 2026 il suo uso entra nella valutazione dei rischi e nella formazione sulla sicurezza (decreto legislativo 179/2026, articolo 42), come spiega la guida Formazione AI obbligatoria.
• La trasparenza. Se l’agente scrive ai clienti, le persone devono poter capire che stanno interagendo con un’AI, a meno che non sia evidente (articolo 50, che lo chiede a chi fornisce il sistema).
• L’alto rischio. Un agente che gestisce ordini, fatture e magazzino non è un sistema ad alto rischio: quegli usi non sono nell’allegato III. Lo diventa se valuta i lavoratori dalle loro operazioni o se decide il merito di credito di persone fisiche, e le ditte individuali lo sono; per questi usi l’articolo 6 esclude i compiti procedurali limitati e preparatori, salvo profilazione. In Italia, dal 23 ottobre 2026, le decisioni sul rapporto di lavoro non possono essere prese solo da un sistema automatizzato e l’autorità di vigilanza è l’ACN (decreto legislativo 179/2026): i dettagli sono nella guida AI Act per l’azienda manifatturiera.

Come si misura

Prima e dopo, su un solo flusso: minuti per ordine inserito, errori trovati tardi, giorni di ritardo degli incassi, ore di amministrazione per le fatture passive. E un criterio che la documentazione Microsoft del proprio agente delle fatture suggerisce, quando dice che l’obiettivo è una bozza con poche o nessuna correzione: quante proposte vengono accettate senza correzioni. Il registro delle azioni è la fonte della misura, il pilota a perimetro chiuso il modo di farla: poche settimane, un reparto, le bozze confrontate con ciò che le persone avrebbero fatto.

Gli esempi più frequenti in un’azienda manifatturiera: l’ordine che arriva in PDF e diventa bozza d’ordine con codici, quantità e date; la conferma d’ordine preparata dal webhook «ordine confermato» con le date del piano di produzione; il listino indicizzato al metallo ricalcolato ogni mese con la media LME e il cambio presi via API, i conti fatti dal codice, la bozza approvata dall’ufficio commerciale; i solleciti preparati dallo scadenzario, esclusi i clienti con contestazioni aperte; le fatture passive abbinate a ordini e bolle, con conto e IVA proposti e gli scostamenti sui prezzi indicizzati segnalati, come nella guida sull’agente per l’ufficio acquisti; il controllo che il certificato di materiale corrisponda alla lega e al lotto in bolla, sola lettura e massimo valore.

Quando non conviene (ancora)

• Quando il gestionale non ha API né webhook e le schermate cambiano a ogni aggiornamento.
• Quando le anagrafiche sono sporche: per il 45,2% delle imprese italiane che hanno valutato l’AI senza adottarla l’ostacolo sono i dati indisponibili o di scarsa qualità (ISTAT, dicembre 2025).
• Quando nessuno può confermare le bozze in tempi utili: le bozze si accumulano e il flusso rallenta invece di accelerare.
• Quando il processo cambia ogni mese.
• Quando una regola risolve il flusso da sola.
• Quando il flusso tocca dati di persone fisiche e non c’è ancora una regola scritta su chi può vedere e decidere che cosa.

Come lavoriamo noi

Costruiamo agenti AI che lavorano dentro i sistemi che l’azienda usa già, con il servizio dati e integrazioni per i collegamenti: API e webhook dove ci sono, MCP dove il gestionale lo offre, la RPA come ultima strada. Non vendiamo connettori pronti per un gestionale o per un altro: ogni collegamento è costruito sul caso, con le bozze, le conferme e il registro descritti qui, e con i prezzi dei metalli di FT Mercati quando il flusso li richiede. Il CRM con agenti AI che usiamo ogni giorno è il nostro banco di prova, con lo stato dichiarato. Il percorso è quello del metodo: un flusso, un pilota, una misura.