La risposta breve
Missionforce National Security di Salesforce ha comunicato il 5 agosto 2026 che la sua piattaforma Agentforce 360 ha ricevuto l'autorizzazione Impact Level 5 (IL5) del Dipartimento della Difesa statunitense, consentendo agli agenti IA di lavorare su Controlled Unclassified Information (CUI) e dati non classificati dei National Security Systems. La piattaforma gira in una regione Amazon Web Services GovCloud isolata, gestita solo da personale statunitense, e l'US Army Human Resources Command è il primo ente del Dipartimento a distribuirla — con agenti che redigono sintesi di casi su decine di milioni di conversazioni mensili.
Il titolo è una pietra miliare: gli agenti hanno superato una delle soglie cloud più severe in assoluto. La lezione è nella nota a piè di pagina — secondo i resoconti, un modello generativo è stato disattivato per raggiungere IL5, mantenendo la piattaforma indipendente dal modello per il futuro. È lo schema che ogni team regolato dovrebbe interiorizzare: in cima alla scala della conformità, capacità e autorizzazione tirano in direzioni opposte, e il confine che si traccia attorno a un agente decide cosa gli è concesso di essere.
Cosa è stato davvero autorizzato
Nella sostanza, la notizia è circoscritta e precisa. Missionforce, la divisione per la sicurezza nazionale di Salesforce, ha comunicato che la piattaforma Agentforce 360 ha ricevuto l'autorizzazione Impact Level 5 (IL5) del Dipartimento della Difesa statunitense. IL5 autorizza la piattaforma a memorizzare e trattare Controlled Unclassified Information (CUI) e dati non classificati dei National Security Systems (NSS) — sensibili ma non classificati. L'ambiente gira in una regione Amazon Web Services GovCloud descritta come fisicamente e logicamente isolata e gestita esclusivamente da personale statunitense. Non è un livello di marketing; è un'autorizzazione formale a puntare software autonomo su dati che il governo tratta come sensibili.
Il primo utilizzatore rende l'entità concreta. L'US Army Human Resources Command è il primo ente del Dipartimento a distribuire gli agenti appena autorizzati, per redigere sintesi di casi — riportate a oltre 1.500 sintesi automatizzate al giorno — su circa 55 milioni di conversazioni al mese con soldati, civili, coniugi e veterani. La relazione commerciale più ampia si inserisce in un accordo quadro pluriennale del valore fino a 5,6 miliardi di dollari, annunciato all'inizio del 2026. Per chi costruisce seri sistemi di agenti IA, l'aspetto interessante non è la cifra; è che a un agente viene affidata la sintesi di documenti sensibili all'interno di un confine che il DoD ha approvato.
Perché IL5 è una soglia di altro tipo
La maggior parte dei team di ingegneria incontra la conformità cloud tramite FedRAMP o SOC 2. IL5 sta un gradino sopra, in entrambi i sensi. Si colloca vicino alla cima del Cloud Computing Security Requirements Guide del Dipartimento della Difesa, un livello sotto IL6, riservato ai dati classificati. Dove FedRAMP Moderate protegge le informazioni governative in generale, IL5 esige infrastruttura dedicata e isolata, gestione rigorosa da parte di personale statunitense e controlli dimensionati per dati di sicurezza nazionale. Superarlo dipende meno dallo spuntare un elenco più lungo che dal dimostrare che un ambiente preciso e delimitato non può trapelare in modi che contano.
È proprio per questo che il fatto che un agente superi IL5 è notevole. Un'applicazione SaaS classica ha un percorso dei dati piuttosto statico: un utente invia una richiesta, l'app legge e scrive record, e si può ragionare sul raggio d'impatto. Un agente è un'altra cosa — esegue azioni, concatena chiamate a strumenti e può raggiungere più sistemi con credenziali reali. Autorizzare questo comportamento su dati sensibili implica che un valutatore sia convinto non solo che l'archiviazione sia isolata, ma che le azioni dell'agente siano vincolate, attribuibili e registrate. Se è una prima volta, è perché «dimostrate cosa il vostro software autonomo farà e non farà» è stata finora una domanda difficile a questo livello di rigore.
Il segnale: un modello è stato disattivato
Il dettaglio più istruttivo si legge in fretta: per raggiungere IL5, la capacità generativa di Anthropic è stata disattivata nella configurazione autorizzata, e Salesforce ha mantenuto la piattaforma indipendente dal modello per poter sostituire componenti in seguito. Non leggetelo come una critica a un modello, ma come un'affermazione su come funziona davvero un'autorizzazione. L'autorizzazione è concessa a una configurazione, non a un marchio. Ogni modello, connettore di dati e integrazione all'interno del perimetro va valutato separatamente, e la via più rapida per superare una soglia elevata è spesso rimpicciolire il perimetro — disattivare ciò che non è ancora stato valutato, rilasciare il nucleo autorizzato e riaggiungere capacità dalla stessa porta rigorosa.
Per i team che progettano agenti, questo riformula una decisione che si crede puramente tecnica. Scegliere il modello che alimenta un agente è anche una scelta di conformità, perché nel momento in cui entrano in gioco dati sensibili un componente non valutato è una lacuna di controllo, per quanto capace sia. Le architetture vincenti trattano il modello come una parte sostituibile dietro un confine stabile e verificato — così superare un controllo significa riconfigurare, non ricostruire. È la differenza tra una piattaforma di agenti capace di salire la scala delle autorizzazioni e una che va ri-architettata ogni volta che la soglia si alza.
Cosa significa per i team software USA & italiani
La prima implicazione è che il confine di distribuzione è ora un artefatto di progettazione di primo piano. Per ogni agente che toccherà dati regolati, decidete in anticipo quali classi di dati può vedere, fissate il modello e la regione in cui gira e documentate le integrazioni all'interno del perimetro. I team che tracciano quel confine presto possono mostrarlo a un auditor; quelli che lasciano prima proliferare gli agenti tra modelli e percorsi di dati finiscono per tentare di ricostruire un confine a posteriori, cosa che raramente regge all'esame.
La seconda è che questo si sovrappone a obblighi che già portate, anche senza un contratto di difesa. IL5 è specifico del DoD, ma la forma si ripete: nell'UE, GDPR, DORA, il regolamento europeo sull'IA e le aspettative di cloud sovrano richiedono sempre più isolamento, localizzazione dei dati e prova che ogni azione fosse autorizzata. Una pista di audit a livello di chiamata a strumento e un'identità circoscritta e revocabile per agente sono esattamente le prove che questi regimi vogliono — la stessa base che trasforma «i nostri agenti sono governati» in qualcosa di dimostrabile sotto SOC 2. Per il lavoro regolato in FinTech e HealthTech, un agente che legge dati sensibili senza quel confine è un rilievo di audit che aspetta solo di essere formulato.
La terza è la disciplina architetturale attorno all'infrastruttura. L'ambiente autorizzato qui è una regione AWS GovCloud isolata, gestita da personale abilitato — un promemoria che il dove e il da chi un agente gira fanno parte del controllo, non sono un ripensamento. Forse non vi serve GovCloud, ma il principio si trasferisce: conoscete la vostra regione, il vostro modello di gestione e le vostre garanzie di localizzazione prima della produzione, e mantenete il tutto portabile perché un requisito più severo si traduca in un cambio di configurazione, non in un progetto di migrazione.
Cosa fare adesso
Non serve un programma IL5 per agire. Serve trattare l'autorizzazione degli agenti come qualcosa verso cui progettare, non da scoprire tardi. Ecco la versione operativa.
- Definite prima il confine dei dati. Decidete quali classi di dati ogni agente può toccare, e scrivetelo prima di collegare un solo strumento.
- Fissate modello e regione. Trattate modello, regione cloud e modello di gestione come parte della configurazione autorizzata, non come default intercambiabili.
- Date a ogni agente un'identità circoscritta. Sostituite le chiavi condivise con identità a privilegio minimo e revocabili, così ogni azione è attribuibile.
- Registrate le chiamate a strumento come prova di conformità. Tenete una pista di audit a livello di chiamata a strumento e mappatela sul quadro a cui rispondete — GDPR, DORA, EU AI Act, qualificazione ACN o SOC 2.
- Presupponete di dover disattivare qualcosa. Mantenete l'architettura indipendente dal modello perché disattivare un componente non valutato sia un cambio di configurazione, non una ricostruzione.
- Progettate per il livello successivo. Integrate isolamento e localizzazione presto; adattarli dopo che gli agenti toccano dati di produzione è la via costosa.
Nulla di questo è un verdetto su Agentforce in particolare; è un esempio forte di una soglia che l'intero settore sta ora attraversando. L'insegnamento duraturo: man mano che gli agenti passano dal rispondere a domande all'agire su dati sensibili, l'ambiente attorno a loro — isolamento, identità, audit e un confine di modello definito — diventa la storia di conformità del prodotto. I team che progettano quel confine ora supereranno la prossima soglia riconfigurando, non ricostruendo.
Domande frequenti
Che cos'è il DoD Impact Level 5 (IL5)?
L'Impact Level 5 (IL5) è un livello di autorizzazione cloud del Dipartimento della Difesa statunitense, definito dal DoD Cloud Computing Security Requirements Guide. È il livello più alto per gli ambienti cloud commerciali che memorizzano e trattano Controlled Unclassified Information (CUI) e dati non classificati dei National Security Systems (NSS), e richiede un forte isolamento fisico e logico, gestione da parte di personale statunitense e infrastruttura dedicata. I dati classificati stanno un livello più in alto, a IL6. In pratica IL5 è una soglia ben più severa dei più noti FedRAMP Moderate o High. In Italia l'equivalente più vicino alla classe di dati CUI sono i dati amministrativi qualificati come 'riservati'.
Cosa ha annunciato Salesforce il 5 agosto 2026?
Missionforce National Security di Salesforce ha rivelato che la sua piattaforma Agentforce 360 ha ottenuto l'autorizzazione Impact Level 5 (IL5) del Dipartimento della Difesa statunitense, consentendo agli agenti IA di lavorare in sicurezza con Controlled Unclassified Information e dati non classificati dei National Security Systems. La piattaforma gira in una regione Amazon Web Services GovCloud isolata, gestita esclusivamente da personale statunitense. L'US Army Human Resources Command è il primo ente del Dipartimento a distribuirla, con agenti che redigono sintesi di casi su vasta scala attraverso decine di milioni di conversazioni mensili per soldati, veterani e le loro famiglie.
Perché Salesforce ha disattivato un modello per ottenere IL5?
Secondo i resoconti sull'autorizzazione, le capacità di IA generativa di Anthropic sono state disattivate nella configurazione autorizzata per raggiungere la conformità IL5, mantenendo però la piattaforma indipendente dal modello per future modifiche di configurazione. La lezione: un'autorizzazione riguarda una configurazione precisa e valutata. Ogni modello, percorso dei dati e integrazione all'interno del perimetro va valutato, e la via più rapida per superare una soglia elevata è spesso ridurre ciò che vi rientra. Capacità e conformità tirano in direzioni opposte, e ai livelli più alti la conformità prevale finché ogni componente non è autorizzato separatamente.
È rilevante se non siamo fornitori della pubblica amministrazione?
Sì. IL5 è specifico della difesa, ma lo schema no. Qualsiasi team che mette agenti IA su dati regolati affronta una soglia analoga — in Italia una combinazione di GDPR, DORA, del regolamento europeo sull'IA (EU AI Act), della qualificazione cloud dell'ACN e dell'AgID e di aspettative di cloud sovrano. Il filo conduttore è lo stesso: gli agenti che agiscono su dati sensibili hanno bisogno di un ambiente isolato, verificabile, localizzato nell'UE, di un confine modello-e-dati definito e della prova che ogni azione sia stata autorizzata. Se la vostra roadmap prevede agenti che toccano dati FinTech o HealthTech, questa è un'anteprima dei controlli che i vostri auditor chiederanno.
Cosa dovrebbero fare ora i team di ingegneria?
Trattate il confine di distribuzione come una decisione di progettazione, non come un dettaglio di deployment. Decidete presto quali classi di dati un agente può toccare e fissate modello, regione e integrazioni all'interno di un confine documentato. Date a ogni agente un'identità circoscritta e revocabile invece di chiavi condivise, e registrate ogni chiamata a strumento come prova di conformità. Partite dal presupposto di dover disattivare una capacità per superare un controllo, quindi mantenete l'architettura indipendente dal modello e portabile. E mappate l'intero progetto sul quadro normativo a cui rispondete davvero — GDPR, DORA, EU AI Act, qualificazione ACN o SOC 2 — prima che gli agenti arrivino in produzione, non dopo.
Fonti
DefenseScoop — Salesforce previews plans to deliver newly authorized 'AI agents' across DOD
SC Media — Salesforce's Agentforce 360 platform approved for sensitive Defense Department data
Salesforce — Missionforce National Security unveils IL5-authorized AI agents and apps